Как разграничить случайный сбой при согласованном пентесте и применение запрещённого метода?
Сбой в пределах согласованной проверки и нарушение запрета требуют разной оценки. Условие о рисках не означает полного освобождения исполнителя.
Короткий ответ
В договоре отдельно опишите риск сбоя при соблюдении согласованных условий и последствия выхода за разрешённые методы. Непреднамеренный сбой и нарушение прямого запрета – разные обстоятельства. Но отсутствие намерения вызвать проблему само по себе не означает отсутствия ответственности.
Экспертная рекомендация от 21 августа 2025 года предлагает разделять эти ситуации. Оговорка о рисках не подтверждает допустимость полного освобождения исполнителя за любые последствия.
На каких фактах строится разграничение
Нужно установить, какие объекты и методы были согласованы, что исполнитель фактически делал и как это связано со сбоем. Сохраните определённые версии задания и разрешений, время действий и доступные сведения о событии.
Если стороны не определили пределы разрешения, будет трудно отличить допустимую проверку от превышения. Общая фраза «возможны технические проблемы» не даёт исполнителю права использовать запрещённый метод.
Согласованный объём нужно описать вместе с качеством и ответственностью по B2B-услугам.
Что предусмотреть при обнаружении проблемы
Определите порядок остановки, уведомления и сохранения сведений для разбора причин. Назовите контактных лиц и условия возобновления. Действия по восстановлению и их оплату также лучше согласовать заранее, если они входят в модель работы.
При подготовке договора услуг проверьте допустимость ограничений ответственности применительно к конкретным нарушениям. Не нужно приравнивать принятие заказчиком известного риска к отказу от любых требований. При споре оцениваются и договорные условия, и фактическое соблюдение разрешения, и причинная связь, поэтому один ярлык «случайный сбой» не завершает проверку.
Если нужно применить ответ к Вашей ситуации или документам, Разработать договор услуг между компаниями: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
Что ещё полезно знать
Частые вопросы по теме
- Зачем в договоре пентеста отдельно согласовывать методы проверки и запрещённые действия?
- Как обозначить разрешённые объекты пентеста, чтобы доступ к соседней системе не считался согласованным?
- Как оформить пентест, если заказчиком выступает посредник, а система принадлежит третьему лицу?
- От какого события считать начало пентеста, если заказчик сначала должен подготовить систему?
- Какие условия bug bounty сохранить до начала проверки, если правила программы могут измениться?