يقوم مكتب MKB Juristen بصياغة المستندات القانونية المخصصة
من الأفضل عدم تجميع أو نسخ العقود والشروط والأحكام المهمة، وغيرها من المستندات القانونية بنفسك. نحن نساعد رواد الأعمال ذوي الميزانية المحدودة من خلال حلول قانونية مصممة خصيصًا لهم، وتكاليف واضحة مسبقًا، وشروحات عملية.
- العقود المخصصة، والشروط والأحكام، والوثائق القانونية
- مناسب للميزانية وواضح بشأن التكاليف مقدماً
- اطلب استشارة مجانية أو عرض سعر بدون أي التزام
يتضمن إعداد تنازل عن اختبار الاختراق تسجيل إذن صاحب الحق، ونطاق الاختبار، وتعويض مُختبِر الاختراق، والاتفاقيات المتعلقة بالمسؤولية والسرية والبيانات الشخصية في وثيقة واحدة موقعة. يُلغي هذا التنازل المسؤولية الجنائية عن اختراق الحاسوب (المادة 138ab من قانون العقوبات الهولندي) من خلال منح الموافقة المسبقة وتحديد حدود الاختبار بوضوح. يضمن استكمال جميع العناصر الأساسية إجراء الاختبار بشكل قانوني، وتوضيح المسؤولية عن كل طرف مسبقًا. فيما يلي قائمة بما يجب تضمينه بالتحديد.
الإجابة المختصرة
- الأطراف وصاحب الحقوق: من يعطي الموافقة ومن يقوم بالاختبار.
- النطاق والتفويض: أي الأنظمة والأساليب والفترة الزمنية.
- التعويض: يتم تعويض مختبر الاختراق عن الإجراءات التي تقع ضمن النطاق.
- المسؤولية والتعويضات في حالة الفشل غير المقصود.
- السرية والإفصاح واللائحة العامة لحماية البيانات (GDPR) .
صياغة تنازل عن اختبار الاختراق: الأساسيات
يرتكز أي تنازل عن اختبار الاختراق على موافقة الجهة المالكة للأنظمة. وبدون هذه الموافقة، يُعدّ الاختراق تعديًا على أمن الحاسوب، وفقًا للمادة 138ab من قانون العقوبات الهولندي. لذا، يجب أولًا تحديد صاحب الحقوق والجهة المخوّلة بالتوقيع نيابةً عن المؤسسة. إذا كانت الأنظمة مُستضافة لدى مزوّد خدمة استضافة أو خدمة سحابية، فأنت بحاجة أيضًا إلى موافقة تلك الجهة، لأن مؤسستك ليست صاحبة حقوق البنية التحتية الأساسية. فقط عند صحة سلسلة الموافقة هذه، يُمكنك صياغة التنازل بشكلٍ فعّال.
النطاق والتفويض
يُعدّ النطاق أهمّ جزء، لأنّ الموافقة لا تسري إلا ضمن هذه الحدود. حدّد ذلك بشكل ملموس:
- الأنظمة المشمولة: ما هي المجالات ونطاقات عناوين IP والتطبيقات والشبكات التي يمكن اختبارها.
- خارج نطاق هذا الاتفاق صراحةً: أنظمة الطرف الثالث، أو مزودي خدمات الدفع، أو مكونات الإنتاج التي يجب ألا تتأثر.
- الأساليب المسموح بها: على سبيل المثال، يُسمح باختبار الشبكة والتطبيقات، ولكن لا يُسمح بالهندسة الاجتماعية أو حجب الخدمة، إلا إذا تم الاتفاق على ذلك بشكل منفصل.
- الإطار الزمني: وقت إجراء الاختبار، حتى تتمكن المنظمة من تمييزه عن الهجوم الحقيقي.
- الأشخاص الذين يمكن الاتصال بهم: والذين يمكن الوصول إليهم في حالة حدوث خطأ ما واحتياج الاختبار إلى التوقف.
يضمن نطاق واضح حماية كلا الطرفين. يعرف مختبر الاختراق ما هو مسموح به، ويعرف العميل أن الاختبار لا يتم خارج نطاق الاتفاقيات.
التعويض والمسؤولية والأضرار
تقوم هذه الكتلة بتوزيع المخاطر:
- التعويض: يُقرّ صاحب الحقوق بأنّ مُختبِر الاختراق يعمل بإذنٍ منه، ويُعفيه من المسؤولية عن الوصول والإجراءات التي تتمّ ضمن نطاق هذا الاختبار. وهذا ما يجعل الاختبار آمناً من الناحية القانونية.
- الأضرار غير المقصودة: قد يتسبب اختبار الاختراق في حدوث خلل أو توقف عن العمل. حدد الجهة التي تتحمل هذا الخطر، وعادةً ما يكون العميل ضمن نطاق الاختبار، وما إذا كانت هناك خطة احتياطية أو خطة استعادة بيانات.
- حدود التعويض: لا يشمل التعويض الأضرار المتعمدة أو الناتجة عن إهمال جسيم، والأفعال الخارجة عن نطاق التغطية. يرجى توضيح ذلك صراحةً.
- مسؤولية مختبر الاختراق: تحديد معقول للمسؤولية، إلى جانب العناية الواجبة وربما التأمين ضد المسؤولية المهنية.
مثال: قامت إحدى الشركات الصغيرة والمتوسطة باختبار بوابة عملائها. ينصّ التنازل على أن يقوم العميل بعمل نسخة احتياطية مسبقًا، وأن يُجرى الاختبار خارج ساعات العمل الرسمية، وأن أي أعطال غير مقصودة ضمن نطاق الاختبار تقع على عاتق العميل. عندما تسبب الاختبار في عطل مؤقت، لم يكن هناك أي نزاع بشأن الفاتورة.
السرية والإفصاح والبيانات الشخصية
تحمي اللبنات الأساسية الأخيرة المعلومات والأشخاص المعنيين:
- السرية: يحافظ مختبر الاختراق على سرية الثغرات الأمنية التي تم العثور عليها والبيانات المكتشفة، لفترة تستمر بعد الاختبار.
- الإفصاح المسؤول: يتم إبلاغ العميل فقط بالنتائج، ولا يتم نشرها للعامة، وهناك مهلة زمنية للتصحيح.
- البيانات الشخصية واللائحة العامة لحماية البيانات (GDPR): إذا تضمن الاختبار بيانات شخصية، فتُطبق متطلبات اللائحة العامة لحماية البيانات. يجب أن يتضمن ذلك أساسًا قانونيًا، وضمانات مناسبة وفقًا للمادة 32 من اللائحة العامة لحماية البيانات، وعادةً اتفاقية لمعالجة البيانات. يجب الموافقة على عدم الاحتفاظ بأي بيانات شخصية يتم العثور عليها.
- الإرجاع والتدمير: ما يحدث للبيانات التي تم جمعها وتقرير الاختبار بعد الاختبار.
توصية صادقة
لإجراء اختبار داخلي بسيط على الأنظمة التي تديرها بنفسك بالكامل، دون بيانات شخصية أو أنظمة تابعة لجهات خارجية، يمكنك صياغة نموذج موافقة موجز وموقع. تأكد من وضوح نطاق الاختبار وإطاره الزمني وسلطة التوقيع. هذا يغطي الحد الأدنى من المتطلبات.
بمجرد إدخال أنظمة خارجية، أو بيانات عملاء، أو بيئات إنتاج، أو الاستعانة بمختبر اختراق خارجي، يصبح إعداد تنازل عن المسؤولية في اختبار الاختراق عملية معقدة لا تقتصر على ملء الفراغات. فتعريف نطاق الاختبار، والتعويض، وأحكام اللائحة العامة لحماية البيانات (GDPR) هي التي تحدد مدى قانونية الاختبار ومن يتحمل المخاطر في حال حدوث أي ضرر. وقد يؤدي نطاق الاختبار الواسع جدًا أو عدم الحصول على موافقة مزود خدمة الاستضافة إلى تحميل كل من مختبر الاختراق والعميل المسؤولية الجنائية. لذا، يُنصح باستشارة محامٍ لصياغة أو مراجعة التنازل قبل بدء الاختبار.
المزيد حول الشرح والتكاليف: التنازل عن اختبار الاختراق، ما هو التنازل عن اختبار الاختراق وكيفية صياغة التنازل عن اختبار الاختراق.
الأسئلة الشائعة
كحد أدنى: الأطراف وصاحب الحقوق، والنطاق والتفويض، والإطار الزمني، والتعويض، وأحكام المسؤولية والأضرار، والسرية، والإفصاح المسؤول، وجانب اللائحة العامة لحماية البيانات إذا كانت البيانات الشخصية متضمنة.
لأن الموافقة لا تسري إلا ضمن النطاق المتفق عليه. فإذا أجرى مختبر الاختراق اختبارات خارج الأنظمة أو الأساليب المتفق عليها، فإن ذلك الجزء لا يندرج تحت نطاق الموافقة، وقد يشكل مع ذلك تعديًا على الحاسوب، يُعاقب عليه بموجب المادة 138ab من قانون العقوبات الهولندي.
إذا كانت الأنظمة المراد اختبارها تعمل على مزود خدمة استضافة أو خدمة سحابية، فالإجابة نعم. في هذه الحالة، لا تملك مؤسستك حقوق البنية التحتية الأساسية، وبالتالي فإنك تختبر على أنظمة طرف ثالث دون إذنه أو موافقته.
حدد الجهة التي تتحمل مخاطر الأعطال غير المقصودة ضمن نطاق العمل، وعادةً ما يكون العميل، وتأكد من وجود خطة احتياطية أو خطة استعادة. يُستثنى من التعويض الأضرار المتعمدة أو الناتجة عن إهمال جسيم، والأفعال الخارجة عن نطاق العمل.
إذا تضمن الاختبار بيانات شخصية، فتسري متطلبات اللائحة العامة لحماية البيانات (GDPR): أساس قانوني، وضمانات مناسبة وفقًا للمادة 32 من اللائحة، وعادةً اتفاقية معالجة بيانات مع مختبر الاختراق. يجب الموافقة على عدم الاحتفاظ بأي بيانات شخصية يتم العثور عليها.
السرية والإفصاح المسؤول: لا يُبلغ مختبر الاختراق عن الثغرات الأمنية إلا للعميل، ولا ينشرها للعامة، ويحافظ على سرية البيانات المكتشفة. يتم الاتفاق على فترة معالجة، وترتيب إعادة البيانات والتقرير أو إتلافهما.
لإجراء اختبار داخلي بسيط على أنظمتك الخاصة، قد يكفي بيان موجز. أما عند التعامل مع أنظمة جهات خارجية، أو بيانات العملاء، أو الاستعانة بخبير اختبار اختراق خارجي، يُنصح باتباع نهج مُخصص، لأن نطاق الاختبار، والتعويضات، وجوانب اللائحة العامة لحماية البيانات (GDPR) هي التي تُحدد المخاطر.
