بررسیِ تخصصیِ بند 29 — قرارداد آزمون نفوذ و ارزیابی امنیتی

بندهای خاص همین قرارداد که نباید فراموش شود: • جدول دارایی‌های اسکوپ به‌صورت پیوست زنده با نسخه و تاریخ • پروتکل Kill Switch و کانال خارج از باند • تعهد پاکسازی IOCها، حساب‌های ایجادشده، وب‌شل، persistence ظرف مهلت معین و گواهی پاکسازی • ممنوعیت استخراج انبوه دادهٔ واقعی مشتریان؛ در صورت ناگزیری، نمونه‌سازی و پوشینه‌سازی (masking) • سیاست برخورد با آسیب‌پذیری روز-صفر و افشای مسئولانه • تفکیک «یافته» از «حادثه امنیتی واقعی» و اینکه گزارش آزمون به‌خودی‌خود اقرار به نقض امنیت کارفرما در برابر ثالث نیست • تعهد کارفرما که دستور توقف یا تغییر اسکوپ را فقط از کانال معرفی‌شده صادر کند • ساعات ممنوع (اوج تراکنش، تسویه بانکی، انتخابات، و غیره) در صورت اعلام • مالکیت لاگ‌های آزمون و حق کارفرما برای دریافت رونوشت • شرط عدم ارائهٔ ضمانتِ «فاقد آسیب‌پذیری بودن» سامانه پس از آزمون (Disclaimer of Completeness) • رعایت اخلاق حرفه‌ای و منع فروش یافته به ثالث