Regole d'ingaggio per i test di sicurezza
Sono lo standard che ogni membro della rete si impegna a rispettare quando prova un sistema: dove si può lavorare, quando, cosa non si fa mai e cosa succede se qualcosa si ferma. Sono pubbliche apposta: chi commissiona un test può leggerle prima, e qualunque professionista può usarle come base del proprio contratto. Sono un modello preimpostato: vanno adattate a ogni lavoro, al perimetro e alle esigenze del cliente.
- Si lavora solo dove è scritto. Si provano esclusivamente i sistemi elencati per iscritto dal cliente. Quello che non è scritto non si tocca, nemmeno se è raggiungibile da quelli autorizzati. I servizi di terzi collegati — pagamenti, posta, statistiche — restano fuori, salvo permesso scritto anche del loro fornitore.
- Si lavora solo quando è concordato. Le prove si eseguono dentro le date e la fascia oraria concordate, con gli orari scritti a 24 ore e il fuso orario accanto. Fuori da quella finestra non si esegue nulla. Se serve più tempo, si concorda per iscritto.
- Da remoto, salvo accordo. Il lavoro si svolge attraverso la rete, sui soli sistemi indicati. La presenza fisica in sede si concorda a parte e per iscritto.
- Cosa non si fa, mai. Niente prove che mirano a far cadere o rallentare i sistemi. Niente dati cancellati, modificati o cifrati. Niente telefonate o email ingannevoli al personale, se non previste espressamente e per iscritto. Prove di carico o di ingegneria sociale si concordano a parte.
- Se qualcosa si ferma, si ferma tutto. Se un sistema si blocca o rallenta, le prove si interrompono subito e si chiama il riferimento indicato dal cliente, che deve essere raggiungibile per tutta la finestra.
- Niente armi consegnate. Exploit, ransomware o malware non vengono consegnati a nessuno né lasciati sui sistemi. Quello che serve a dimostrare un difetto si cancella a fine test. Il cliente riceve cosa era esposto, quanto è grave e come si chiude — non lo strumento usato.
- La crittografia si guarda sempre. In ogni test si controlla come sono protetti dati e accessi: chiavi scritte nel codice, protezioni superate, certificati scaduti o configurati male, password conservate in modo debole. Un test non è una certificazione di conformità: quella la rilascia un ente accreditato.
- Quello che si vede resta riservato. I dati riservati incontrati durante un test restano coperti da riservatezza senza scadenza, non si copiano fuori se non nel minimo necessario a dimostrare il problema, e nel referto sono oscurati.
- Il referto è del cliente. Il documento finale è di proprietà del cliente. Non si usa come caso di studio e il nome del cliente non compare in nessun materiale senza la sua autorizzazione scritta.
- La copia di sicurezza è consigliata. Prima di un test si raccomanda una copia di sicurezza recente e verificata: il rischio di un test non si azzera mai. Se il cliente non l'ha, si lavora con la massima prudenza e il rischio resta suo, dichiarato per iscritto.
- Cosa un test non è. Un test dice cosa è stato trovato nel perimetro e nel tempo concordati. Non garantisce che il sistema sia inattaccabile.
- Chi autorizza deve poterlo fare. Chi commissiona il test dichiara per iscritto di essere titolare dei sistemi, o di avere il permesso scritto di chi lo è. Se i sistemi stanno presso un fornitore terzo, serve anche il suo permesso.
Gli accordi economici e il contratto restano fra il membro e il cliente: Boutique Hacker non è parte del lavoro, verifica le certificazioni di chi entra e pubblica queste regole. Il modello si fornisce così com'è: definire il perimetro, ottenere le autorizzazioni e adattare le regole al singolo lavoro è responsabilità esclusiva del membro e del cliente. Boutique Hacker non risponde di errori nel perimetro, di autorizzazioni mancanti né di danni derivanti dal lavoro svolto.