يقوم مكتب MKB Juristen بصياغة المستندات القانونية المخصصة
من الأفضل عدم تجميع أو نسخ العقود والشروط والأحكام المهمة، وغيرها من المستندات القانونية بنفسك. نحن نساعد رواد الأعمال ذوي الميزانية المحدودة من خلال حلول قانونية مصممة خصيصًا لهم، وتكاليف واضحة مسبقًا، وشروحات عملية.
- العقود المخصصة، والشروط والأحكام، والوثائق القانونية
- مناسب للميزانية وواضح بشأن التكاليف مقدماً
- اطلب استشارة مجانية أو عرض سعر بدون أي التزام
ما هو تنازل اختبار الاختراق؟ هو بيان موافقة وتعويض كتابي، بموجبه تمنح المؤسسة مُختبِرًا أخلاقيًا إذنًا باختراق أنظمتها ضمن نطاق مُتفق عليه، ويُعفى بموجبه مُختبِر الاختراق من المسؤولية عن أي انتهاك أمني طالما بقي ضمن هذا النطاق. بدون هذا التنازل، يُعد اختراق نظام حاسوبي جريمة يُعاقب عليها بموجب المادة 138ab من قانون العقوبات الهولندي، حتى لو كان بحسن نية. يُزيل تنازل اختبار الاختراق عدم مشروعية الاختراق من خلال إثبات الموافقة المُسبقة من صاحب الحق.
الإجابة المختصرة
- ما هو المطلوب: الموافقة بالإضافة إلى التعويض عن اختبار الاختراق، أو اختبار التسلل الخاضع للرقابة.
- لماذا: إن اقتحام المنازل بدون إذن يعاقب عليه القانون، المادة 138ab من قانون العقوبات الهولندي.
- الأساسيات: النطاق، والتفويض، والمسؤولية، والسرية، واتفاقية الإفصاح المسؤول.
- من: صاحب حقوق النظام يوقع، إلى جانب مختبر الاختراق.
- الهدف: العثور على نقاط الضعف بشكل قانوني وآمن قبل أن يكتشفها مهاجم حقيقي.
ما هو الإعفاء من اختبار الاختراق ولماذا تحتاجه؟
اختبار الاختراق، أو اختبار الاختراق اختصارًا، هو محاولة مُحكمة لاختراق نظام تقني بهدف اكتشاف الثغرات الأمنية. وهذا ما يفعله المخترقون الخبيثون أيضًا، ولكن بإذنٍ منهم وبهدف مساعدة المؤسسة. قانونيًا، الفرق دقيق. فبدون إذن صاحب الحقوق، يُعدّ الدخول المتعمد إلى نظام حاسوبي تعديًا على أمن الحاسوب، يُعاقب عليه بموجب المادة 138ab من قانون العقوبات الهولندي. كما يُعاقب أيضًا على جعل البيانات غير قابلة للاستخدام (المادة 350a من قانون العقوبات) أو تعطيل خدمة (المادة 138b من قانون العقوبات).
يُحلّ هذا الأمر بموجب إعفاء اختبار الاختراق. فبفضل منح صاحب الحقوق إذنًا كتابيًا مسبقًا، ينعدم عنصر عدم الشرعية. وبالتالي، لا يتصرف المخترق ضد إرادة صاحب الحقوق، بل بناءً على تعليماته. وعليه، يكون الاختبار قانونيًا، شريطة أن يلتزم مختبر الاختراق بالحدود المتفق عليها.
الموافقة تُسقط المسؤولية الجنائية
جوهر التنازل هو موافقة الشخص الذي يتحكم بالنظام. ومن المهم في هذا الصدد:
- لا يملك الإذن إلا صاحب الحقوق. إذا كنت تختبر أنظمة تعمل على مزود خدمة استضافة أو خدمة سحابية، فإن إذن مؤسستك غير كافٍ. يجب أن يوافق مالك البنية التحتية الأساسية أيضًا؛ وإلا فإنك تختبر على أنظمة طرف ثالث دون إذنه.
- يجب أن يكون الرضا قابلاً للإثبات. التعليمات الشفهية ضعيفة قانونياً. يُعدّ التنازل الموقّع، مع ذكر التاريخ والنطاق وتوقيع الشخص المخوّل، دليلاً على السماح بالدخول.
- هذا الإذن محدود، إذ يقتصر على الأنظمة والأساليب والفترة الزمنية المحددة في التنازل. إذا تجاوز مختبر الاختراق هذه الحدود، فإن ذلك الجزء لا يندرج ضمن الإذن وقد يتعرض للعقاب.
ما الذي ينظمه التنازل عن اختبار الاختراق؟
في جوهرها، تتضمن اتفاقية الإعفاء الجيدة من اختبار الاختراق ما يلي:
- النطاق والتفويض: ما هي الأنظمة ونطاقات عناوين IP والتطبيقات والأساليب التي يمكن اختبارها، وما هو خارج النطاق بشكل صريح.
- الإطار الزمني: وقت إجراء الاختبار، حتى تتمكن المنظمة من تمييزه عن الهجوم الحقيقي.
- التعويض: يقوم صاحب الحقوق بتعويض مختبر الاختراق عن المسؤولية عن الوصول والإجراءات التي تقع ضمن النطاق.
- المسؤولية والضرر: ماذا يحدث في حالة حدوث ضرر أو عطل غير مقصود أثناء الاختبار.
- السرية: يحافظ مختبر الاختراق على سرية الثغرات الأمنية والبيانات المكتشفة.
- الإفصاح المسؤول: كيف ولمن يتم الإبلاغ عن النتائج، وعدم نشرها للعامة.
- البيانات الشخصية: إذا كان الاختبار يتضمن بيانات شخصية، فإن متطلبات اللائحة العامة لحماية البيانات (GDPR) تنطبق، وعادة ما تكون هناك حاجة إلى اتفاقية معالجة البيانات.
مثال توضيحي موجز: يخضع نظام الطلبات في متجر إلكتروني لاختبار. ينصّ التنازل على النطاقات وعناوين IP المشمولة بالاختبار، وأنّ مزوّد خدمة الدفع مستثنى صراحةً، وأنّ الاختبار يُجرى ليلاً، وأنّ القائم باختبار الاختراق لا يحق له الاحتفاظ بأي بيانات عملاء يتمّ العثور عليها. وعندما يتسبّب الاختبار عن غير قصد في عطل، يكون قد تمّ تحديد الجهة المتحمّلة للمخاطر مسبقاً.
حدود الإعفاء
لا يغطي التنازل كل شيء. فموافقة مؤسستكم لا تنطبق على أنظمة الجهات الخارجية، لذا يلزم الحصول على موافقة منفصلة للبنية التحتية المشتركة. ويقتصر سريان التعويض على الأطراف الموقعة فقط، ولا يُلزم الأطراف الخارجية المتضررة. ويظل نظام حماية البيانات العامة (GDPR) ساري المفعول: فإذا قمتم بمعالجة البيانات الشخصية أثناء الاختبار، فيجب أن يتم ذلك بشكل قانوني وآمن، مع وجود أساس قانوني وتدابير مناسبة وفقًا للمادة 32 من نظام حماية البيانات العامة. كما أن الضرر المتعمد أو الناتج عن الإهمال الجسيم يقع عمومًا خارج نطاق التعويض. يُضفي التنازل الشرعية على الاختبار ضمن الإطار المتفق عليه، ولكنه لا يُعفي من المسؤولية في كل شيء.
توصية صادقة
لإجراء اختبار داخلي بسيط على أنظمتك الخاصة التي تديرها بالكامل، والذي لا يؤثر على البيانات الشخصية أو أنظمة الجهات الخارجية، يكفي نموذج موافقة موجز وموقع. تأكد من تحديد نطاق الاختبار وإطاره الزمني وسلطة التوقيع بوضوح. بهذه الطريقة، تكون قد استوفيت الحد الأدنى من المتطلبات القانونية.
بمجرد استخدام أنظمة جهات خارجية، أو بيانات العملاء، أو بيئات الإنتاج، أو الاستعانة بفاحص اختراق خارجي، يصبح وجود نموذج إخلاء مسؤولية جيد لاختبار الاختراق أمرًا بالغ الأهمية. يحدد نطاق الاختبار، والمسؤولية عن الأضرار، والامتثال للائحة العامة لحماية البيانات (GDPR) الجهة التي تتحمل المخاطر في حال حدوث أي خطأ. قد يؤدي غياب بند التعويض أو اتساع نطاق الاختبار بشكل مفرط إلى مشاكل لكل من فاحص الاختراق والعميل. لذا، يُنصح باستشارة محامٍ لصياغة أو مراجعة نموذج إخلاء المسؤولية قبل بدء الاختبار، لا سيما فيما يتعلق بالبنية التحتية المشتركة والبيانات الشخصية.
المزيد حول الصياغة والتكاليف: تنازل اختبار الاختراق، وصياغة تنازل اختبار الاختراق ، والاستعانة بشخص لصياغة تنازل اختبار الاختراق.
الأسئلة الشائعة
بيان موافقة وتعويض مكتوب بموجبه تمنح المنظمة مخترقًا أخلاقيًا إذنًا لاختبار أنظمتها ضمن نطاق متفق عليه، وبموجبه يتم تعويض مختبر الاختراق عن المسؤولية عن اختراق الكمبيوتر طالما أنه يبقى ضمن هذا النطاق.
نعم. يُعدّ الدخول المتعمد إلى نظام حاسوبي دون إذن تعديًا على أمن الحاسوب، ويعاقب عليه بموجب المادة 138ab من قانون العقوبات الهولندي. كما يُعاقب أيضًا على تعطيل الخدمة أو إتلاف البيانات. ويُسقط التنازل هذه المسؤولية الجنائية بإثبات الموافقة المسبقة.
يُشترط الحصول على إذن من صاحب حقوق الأنظمة، ممثلاً بشخص مُخوّل بالتوقيع، بالإضافة إلى مُختبِر الاختراق. وفي حال تشغيل الأنظمة على مُزوّد خدمة استضافة أو خدمة سحابية، يُشترط الحصول على إذن من ذلك الطرف أيضاً، باعتباره صاحب حقوق البنية التحتية الأساسية.
يُحدد نطاق الاختبار الأنظمة ونطاقات عناوين IP والتطبيقات والأساليب التي يُمكن اختبارها، وما يقع خارج نطاق الاختبار. ولا يسري هذا الإذن إلا ضمن هذا النطاق. وإذا تجاوز مُختبِر الاختراق هذا النطاق، فإن ذلك الجزء لا يندرج تحت الإذن، وقد يُعرّضه للعقاب.
يتم تحديد ذلك مسبقًا في اتفاقية التنازل. عادةً، يتحمل العميل مخاطر أي عطل غير مقصود ضمن نطاق التغطية، بينما لا يشمل التعويض الأضرار المتعمدة أو الناتجة عن إهمال جسيم. يجب تحديد من يتحمل أي مخاطر بوضوح.
نعم، بمجرد أن يتضمن الاختبار بيانات شخصية. يجب أن تكون المعالجة قانونية وآمنة وفقًا للائحة العامة لحماية البيانات (GDPR)، مع اتخاذ التدابير المناسبة بموجب المادة 32 منها. غالبًا ما يُشترط وجود اتفاقية لمعالجة البيانات مع مختبر الاختراق، ويجب أن تظل أي بيانات يتم العثور عليها سرية.
اتفاقية بشأن كيفية الإبلاغ عن الثغرات الأمنية المكتشفة: للعميل فقط، وبشكل سري، وليس علنًا. وهذا يمنح المؤسسة فرصة لمعالجة نقاط الضعف قبل أن يتمكن مهاجم حقيقي من استغلالها.
