Как обозначить разрешённые объекты пентеста, чтобы доступ к соседней системе не считался согласованным?

Разрешение должно определять конкретные объекты. Общая связь системы с заказчиком не подтверждает право проверять любую соседнюю инфраструктуру.

Civius, юридическая компания Умар Ильясов, старший юрист; правовая позиция на 2025-08-21

Короткий ответ

Перечислите конкретные системы, домены, IP-адреса и серверы, которые входят в согласованный объём. Для пентеста общего названия компании или фразы «вся инфраструктура заказчика» может быть недостаточно, особенно при связанных ресурсах третьих лиц.

Экспертная рекомендация от 21 августа 2025 года предлагает определить эти границы заранее. Обнаружение технической связи с соседней системой не означает, что её проверка тоже разрешена.

Как оформить перечень

Привяжите список к договору и определённой версии приложения. Укажите, как различаются тестовая и рабочая среда, какие компоненты входят в объём и какие прямо исключены. Для изменяемой инфраструктуры нужен порядок актуализации, позволяющий установить состав на дату проверки.

Проверьте полномочия лица, которое согласует доступ. Заказчик может пользоваться системой, но не иметь права разрешать любые действия в ней. Сторонняя облачная площадка или ресурс партнёра требует отдельного анализа разрешений.

Такой перечень относится к предмету и границам B2B-услуг.

Что делать с новым или спорным объектом

Заранее согласуйте обязанность остановиться на границе, запросить подтверждение и не расширять проверку по одному техническому обнаружению. Обновление перечня должно исходить от уполномоченного лица и сохраняться вместе с другими разрешениями.

При подготовке договора услуг отделите объекты от методов: разрешение на систему ещё не разрешает любое воздействие на неё. Документ должен описывать действительное согласие в необходимых пределах. Он помогает подтвердить границы, но не создаёт безусловного освобождения от последствий действий за их пределами.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.