Rules of Engagement für Sicherheitstests
Das ist der Standard, zu dem sich jedes Mitglied des Netzwerks verpflichtet, wenn es ein System testet: wo gearbeitet werden darf, wann, was nie getan wird und was passiert, wenn etwas stehen bleibt. Die Regeln sind bewusst öffentlich: Wer einen Test beauftragt, kann sie vorher lesen, und jede Fachperson kann sie als Grundlage ihres eigenen Vertrags verwenden. Sie sind eine Vorlage: an jeden Auftrag, seinen Umfang und die Bedürfnisse des Kunden anzupassen.
- Gearbeitet wird nur, wo es schriftlich steht. Getestet werden ausschließlich die Systeme, die der Kunde schriftlich aufgeführt hat. Was nicht aufgeführt ist, wird nicht angefasst, auch wenn es von freigegebenen Systemen aus erreichbar ist. Angebundene Drittdienste — Zahlungen, E-Mail, Statistik — bleiben außen vor, außer auch deren Anbieter erteilt eine schriftliche Erlaubnis.
- Gearbeitet wird nur zur vereinbarten Zeit. Tests laufen innerhalb der vereinbarten Daten und Zeitfenster, mit Uhrzeiten im 24-Stunden-Format und Zeitzone. Außerhalb dieses Fensters wird nichts ausgeführt. Mehr Zeit wird schriftlich vereinbart.
- Aus der Ferne, sofern nicht anders vereinbart. Die Arbeit erfolgt über das Netz, nur an den genannten Systemen. Präsenz vor Ort wird gesondert und schriftlich vereinbart.
- Was nie getan wird. Keine Tests, die Systeme lahmlegen oder verlangsamen sollen. Keine Daten gelöscht, verändert oder verschlüsselt. Keine täuschenden Anrufe oder E-Mails an Mitarbeitende, außer ausdrücklich schriftlich vereinbart. Lasttests oder Social Engineering werden gesondert vereinbart.
- Wenn etwas stehen bleibt, bleibt alles stehen. Hängt oder verlangsamt sich ein System, werden die Tests sofort unterbrochen und die vom Kunden genannte Kontaktperson angerufen, die während des ganzen Fensters erreichbar sein muss.
- Keine Waffen werden übergeben. Exploits, Ransomware oder Malware werden niemandem übergeben und nicht auf Systemen zurückgelassen. Was zum Nachweis einer Schwachstelle dient, wird nach dem Test gelöscht. Der Kunde erhält, was offenlag, wie schwer es wiegt und wie es geschlossen wird — nicht das verwendete Werkzeug.
- Die Kryptografie wird immer geprüft. Jeder Test prüft, wie Daten und Zugänge geschützt sind: im Code hinterlegte Schlüssel, veraltete Schutzverfahren, abgelaufene oder falsch konfigurierte Zertifikate, schwach gespeicherte Passwörter. Ein Test ist keine Konformitätszertifizierung: Diese stellt eine akkreditierte Stelle aus.
- Was man sieht, bleibt vertraulich. Vertrauliche Daten, auf die man bei einem Test stößt, bleiben unbefristet vertraulich, werden nur im nötigen Mindestmaß zum Nachweis kopiert und im Bericht geschwärzt.
- Der Bericht gehört dem Kunden. Das Abschlussdokument ist Eigentum des Kunden. Es wird nicht als Fallstudie verwendet, und der Name des Kunden erscheint ohne schriftliche Erlaubnis in keinem Material.
- Eine Datensicherung wird empfohlen. Vor jedem Test wird eine aktuelle, geprüfte Datensicherung empfohlen: Das Risiko eines Tests ist nie null. Hat der Kunde keine, wird mit größter Vorsicht gearbeitet und das Risiko bleibt schriftlich beim Kunden.
- Was ein Test nicht ist. Ein Test sagt, was im vereinbarten Umfang und Zeitraum gefunden wurde. Er garantiert nicht, dass das System unangreifbar ist.
- Wer beauftragt, muss dazu berechtigt sein. Wer den Test beauftragt, erklärt schriftlich, Eigentümer der Systeme zu sein oder die schriftliche Erlaubnis des Eigentümers zu haben. Liegen die Systeme bei einem Drittanbieter, ist auch dessen Erlaubnis nötig.
Finanzielle Vereinbarungen und Vertrag bleiben zwischen Mitglied und Kunde: Boutique Hacker ist nicht Partei der Arbeit, prüft die Zertifizierungen der Mitglieder und veröffentlicht diese Regeln. Die Vorlage wird ohne Gewähr bereitgestellt: Den Umfang festzulegen, die Erlaubnisse einzuholen und die Regeln an den einzelnen Auftrag anzupassen, liegt allein in der Verantwortung von Mitglied und Kunde. Boutique Hacker haftet nicht für Fehler im Umfang, fehlende Erlaubnisse oder Schäden aus der geleisteten Arbeit.