Bereikt een pentest een gekoppeld systeem buiten de afgesproken scope? Test daar niet verder op basis van toestemming van uw eigen klant alleen. Controleer wie het systeem beheert en welke toestemming werkelijk bestaat. Het NCSC adviseert een duidelijke scope, afbakening van uitgesloten systemen en afspraken over wijzigingen tijdens de test.
Een koppeling maakt een systeem niet automatisch onderdeel van uw testopdracht. Stop die testtak en controleer de toestemming.
Leg de grens vast vóór de eerste test
Noem omgevingen, domeinen, adressen en toegestane accounts concreet. Maak onderscheid tussen productie en acceptatie. Bespreek ook identiteitsdiensten, betaalproviders en leveranciers die vanuit uw applicatie bereikbaar zijn. Een schermafbeelding van een architectuur is onvoldoende als niemand heeft vastgesteld wie toestemming kan geven voor elk onderdeel.
Spreek een bereikbaar contact, stopprocedure en hervattingsbesluit af. Bij twijfel bewaart u alleen de minimaal nodige vaststelling van de onverwachte route. Ga geen extra klantgegevens verzamelen om de bevinding overtuigender te maken. Laat een uitbreiding pas uitvoeren nadat de bevoegde partijen de nieuwe scope aantoonbaar hebben goedgekeurd.
Voorbeeld: de testomgeving verwijst naar een betaalprovider
Fictief: de opdracht noemt test.winkelvoorbeeld.nl. Tijdens inloggen verschijnt een domein van de externe betaalprovider. De tester legt de verwijzing vast en stopt onderzoek op dat domein. De eigen klant bevestigt dat de koppeling bestaat, maar heeft nog geen testtoestemming van de provider. De koppeling blijft daarom buiten de vervolgtest.
Beslis afzonderlijk of andere toegestane onderdelen veilig doorgetest kunnen worden. Vermeld de uitgesloten koppeling in het rapport, zodat een positief resultaat geen zekerheid over de provider suggereert. Plan eventueel een aparte gezamenlijke test met passende toestemming, contactpersonen en een nieuw testvenster.