Perché è un documento, non una formalità
Chi arriva a questa pagina ha di solito già deciso di fare il test, e scopre che prima serve un contratto. Non è burocrazia: è la cosa che rende legale tutto il resto. La stessa sequenza di azioni — provare a entrare, cercare i punti deboli — è un servizio professionale se autorizzata e un reato se non lo è. L'autorizzazione scritta è la linea, ed è per questo che un fornitore serio la pretende prima ancora di voi: non vi sta chiedendo un favore, si sta mettendo, e mettendovi, al riparo.
Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza è punito...
Codice penale, art. 615-ter (accesso abusivo a un sistema informatico)
Cosa deve contenere
Gli elementi di un'autorizzazione utile
- Chi autorizza: una persona che ha titolo a concederlo per l'azienda proprietaria del sistema.
- Il perimetro esatto: quali indirizzi, domini e sistemi sono compresi — e, altrettanto importante, quali sono esclusi.
- La finestra temporale: in quali giorni e ore il test può avvenire.
- I limiti di intensità: cosa si può fare e cosa no, per esempio se sono ammessi test che sollecitano il carico.
- I contatti di emergenza: chi chiamare, da entrambe le parti, per fermare tutto se qualcosa va storto.
- La gestione dei dati trovati: come vengono trattati e conservati i dati eventualmente incontrati durante il test.
- Le responsabilità: chi risponde di eventuali interruzioni o danni, ed entro quali limiti.
Le due cose che quasi tutti dimenticano
- 01
Avvisare il fornitore del cloud o dell'hosting
Se il sistema è ospitato da terzi, il loro contratto quasi sempre richiede un preavviso per i test di sicurezza — altrimenti i loro sistemi di difesa scambiano il test per un attacco reale, con conseguenze che vanno dal blocco alla sospensione del servizio. L'autorizzazione del proprietario del sistema non sostituisce quella del fornitore su cui gira.
- 02
Verificare chi possiede davvero il sistema
Non sempre chi commissiona il test è chi ha titolo ad autorizzarlo su tutto il perimetro: un componente può essere di un fornitore, un servizio collegato di un terzo. Testare qualcosa che non è del committente, anche in buona fede, ricade fuori dall'autorizzazione. Il perimetro va verificato, non dato per scontato.