Зачем в договоре пентеста отдельно согласовывать методы проверки и запрещённые действия?

Разрешение проверить объект не означает согласия на любой метод. Допустимые действия и запреты нужно определить отдельно от состава инфраструктуры.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2025-08-21

Короткий ответ

Потому что согласие проверить систему не означает разрешения применять любой способ воздействия. В договоре нужно отдельно определить допустимые методы, модель доступа и прямые запреты. Иначе стороны могут одинаково понимать объект, но по-разному – границы действий исполнителя.

Экспертная рекомендация от 21 августа 2025 года предлагает включать эти условия до начала проверки. Пентест должен оставаться в пределах действительного согласия уполномоченных лиц.

Что согласовать по методам

Опишите уровень предоставленного доступа, категории допустимых действий и ограничения по времени или воздействию на рабочие процессы. Не заменяйте перечень формулой «все методы по усмотрению исполнителя», если заказчик рассчитывает на более узкую проверку.

Если предполагается социальная инженерия, её нужно выделить отдельно: круг участников, допустимые контакты, использование сведений и исключения. Согласие на техническую проверку сервера само по себе не описывает взаимодействие с сотрудниками и внешними лицами.

Условия относятся к определённому объёму услуг между компаниями.

Как оформить запреты и изменения

Прямо назовите запрещённые действия и порядок остановки при риске выхода за согласованные границы. Определите, кто вправе подтвердить новый метод и каким способом. Рабочее сообщение от человека без нужных полномочий не должно автоматически расширять разрешение.

При подготовке договора согласуйте связь методов с объектами и условиями доступа. Если нужен дополнительный способ проверки, сначала подтвердите его допустимость и разрешение. Наличие договора на пентест помогает определить объём, но не превращает любую выбранную исполнителем технику в согласованную и не гарантирует освобождения от ответственности за последствия.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.