Как оформить пентест, если заказчиком выступает посредник, а система принадлежит третьему лицу?

Обещание посредника не заменяет проверки полномочий. Разрешение нужно подтвердить у лица, которое вправе определять доступ к системе.

Civius, юридическая компания Мария Кузнецова, старший юрист; правовая позиция на 2025-08-21

Короткий ответ

До начала проверки подтвердите разрешение у лица, которое вправе определять доступ к системе. Экспертная рекомендация от 21 августа 2025 года предлагает отдельное письменное согласие фактического владельца с указанием конкретного исполнителя и договора на пентест.

Одного заверения посредника о наличии полномочий недостаточно, чтобы считать все риски устранёнными. Нужно проверить само основание разрешения и его пределы.

Что должно быть понятно из согласия

Укажите систему, объекты проверки, исполнителя и связь с конкретным договором. Согласуйте разрешённые методы, сроки и существенные ограничения либо точную ссылку на определённое приложение с ними.

Проверьте полномочия подписанта. Должность технического контакта или право пользоваться сервисом не обязательно включает возможность разрешать такую проверку. Если система размещена у другого владельца инфраструктуры, проверьте и эту часть отношений.

Эти вопросы входят в определение объёма услуг между компаниями.

Как распределить дальнейшие согласования

Определите, кто сообщает об изменении объектов и кто вправе расширить разрешение. Исполнитель должен понимать, у кого получать подтверждение при спорной ситуации и когда остановить действия до ответа.

При подготовке договора услуг свяжите обязательства посредника, согласие владельца и техническое задание. Условия о возмещении потерь со стороны посредника проверяются отдельно: они не превращают отсутствующее разрешение в действительное.

Сохраните полученные подтверждения и версии приложений до начала работы. Важно иметь доказательство согласованных границ на момент действий, а не только обещание позднее оформить нужные бумаги после завершения проверки.

Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.