Klausul di bawah berlaku untuk penetration testing, operasi red team, riset 0-day, maupun secure code analysis. Bacalah bersama ketentuan layanan dan kebijakan privasi: ketentuan layanan mengatur hubungan komersial, kebijakan privasi mengatur data pribadi, dan aturan ini mengatur pengujiannya sendiri.
2. Lingkup adalah daftar tertutup
Kami menguji apa yang disebut dalam ruang lingkup dan tidak lebih. Host, domain, rentang alamat, aplikasi, dan akun dicantumkan secara eksplisit; apa pun yang tidak tercantum berada di luar lingkup meskipun ditemukan selama pekerjaan dan meskipun jelas berkaitan. Bila aset dalam lingkup berada di infrastruktur yang bukan milik Anda, kami memerlukan persetujuan tertulis dari penyedianya sebelum aset itu disentuh.
3. Jendela waktu dan intensitas
Pengujian berjalan di dalam jendela waktu yang disepakati. Teknik denial-of-service dan volumetrik dikecualikan secara bawaan. Segala tindakan yang benar-benar merusak - menghapus data, mengubah konfigurasi produksi, mematikan kontrol - hanya dilakukan dengan instruksi tertulis terpisah yang menyebut tindakan tersebut. Bila kami melihat teknik yang dapat membuktikan temuan namun berisiko pada ketersediaan, kami menjelaskannya dan bertanya, bukan menjalankannya.
4. Lead bernama dan kanal bersama
Setiap engagement memiliki lead bernama di pihak kami dan mitra bernama di pihak Anda, dan keduanya bekerja pada satu kanal bersama yang dibuka saat kick-off. Pertanyaan, perubahan lingkup, dan temuan semuanya melewati kanal itu agar ada satu catatan engagement, bukan tersebar di banyak utas surel pribadi.
5. Eskalasi temuan kritis
Temuan kritis, paparan yang sudah dieksploitasi, atau bukti kompromi terdahulu tidak menunggu laporan. Semuanya disampaikan kepada mitra bernama Anda melalui kanal bersama pada hari yang sama saat kami memastikannya, dengan detail yang cukup untuk ditindak sebelum temuan tertulis selesai.
6. Penanganan data dan bukti
NDA ditandatangani sebelum detail ruang lingkup berpindah tangan. Bukti dienkripsi saat transit maupun saat disimpan, ditempatkan pada sistem yang dikhususkan untuk pekerjaan engagement, dan hanya dapat diakses oleh orang yang terlibat. Bukti dimusnahkan setelah retest ditutup, atau atas permintaan tertulis sebelum itu. PGP tersedia untuk apa pun yang dikirim melalui surel.
7. Minimalisasi data
Kami mengambil data seminimal mungkin untuk membuktikan sebuah temuan. Data pribadi, kredensial, dan catatan pelanggan hanya diambil secukupnya untuk menunjukkan paparan, disamarkan dalam laporan, dan tidak pernah dibawa keluar dari sistem engagement. Bila sebuah temuan dapat dibuktikan tanpa menyentuh catatan asli sama sekali, begitulah cara kami membuktikannya.
8. Dekonfliksi
Sebelum pekerjaan dimulai kami menyepakati alamat sumber yang kami gunakan, penanda yang dapat dicari tim Anda, dan nomor yang dapat dihubungi tim pertahanan Anda untuk memastikan apakah sebuah alert berasal dari kami. Dengan begitu, penyusupan nyata selama jendela waktu tidak dianggap sebagai pengujian, dan pengujian tidak dieskalasi sebagai penyusupan nyata.
9. Kondisi penghentian
Kedua pihak dapat menghentikan sementara engagement kapan saja melalui kontak bernama, dan kami berhenti atas inisiatif sendiri bila target ternyata di luar otorisasi, bila sebuah sistem menjadi tidak stabil, bila kami menemukan bukti kompromi aktif oleh pihak ketiga, atau bila pihak ketiga keberatan diuji. Pekerjaan dilanjutkan hanya setelah alasannya diselesaikan secara tertulis.
10. Pelaporan dan retest
Anda menerima laporan tertulis berisi temuan, bukti, langkah reproduksi, dan saran perbaikan, disertai ringkasan eksekutif yang dapat diedarkan secara terpisah. Setelah tim Anda memperbaiki temuan, kami memverifikasi perbaikannya dan mencatat mana yang tertutup dan mana yang masih terbuka. Laporan menjadi milik Anda; perkakas, metodologi, dan pengetahuan internal kami tetap milik kami.
11. Pihak ketiga dan hukum
Tidak ada bagian dari aturan ini yang memberi izin menguji sistem pihak lain, dan tidak ada yang mengesampingkan hukum Indonesia atau kewajiban salah satu pihak kepada regulator. Bila sebuah engagement menyentuh layanan bersama atau layanan hosting, kebijakan pengujian penyedia tersebut berlaku sebagai tambahan atas aturan ini, bukan penggantinya.
Halaman ini menjelaskan praktik baku kami dan diterbitkan demi transparansi. Halaman ini bukan kontrak. Aturan yang mengikat sebuah engagement adalah aturan dalam dokumen yang ditandatangani kedua pihak untuk engagement tersebut, dan dokumen itu mengesampingkan apa pun yang tertulis di sini.