Hva du kan bestille, og hva det koster

Det hender vi finner noe som er større enn det så ut som. Da bruker vi tiden som trengs for å vise hvor langt det faktisk rekker, i stedet for å stoppe på det første steget og skrive «kan muligens utnyttes videre».

Det koster ikke noe ekstra. Så lenge det ligger innenfor det signerte scopet, betaler du prisen som ble avtalt. Se på det som en del av jobben.

Å grave videre betyr dypere tilgang, ikke mer data. Vi henter fortsatt bare nok til å bevise funnet, og vi utvider aldri scopet på egen hånd. Dukker det opp noe utenfor, spør vi først.

Vi tester aldri en tredjepart. Ikke med samtykke, ikke etter avtale, ikke i det hele tatt. Det eneste vi rører er ressurser dere selv eier.

At noe ligger hos Microsoft, Amazon eller en driftsleverandør endrer ikke på det. Deres leietaker, deres lagring og deres applikasjon er fortsatt deres, og det er dem vi tester. Selve plattformen til leverandøren er aldri målet.

Ligger ressursene hos en leverandør, er dere ansvarlige for at testing er tillatt etter leverandørens vilkår. Vi hjelper gjerne med å finne ut hva som kreves, og vi setter ikke i gang før det er avklart.

Når dere bestiller, bekrefter dere at dere har vurdert at det er lovlig for oss å teste systemene som er oppgitt, og at det er i orden med en eventuell leverandør eller driftspartner.

Vi arbeider i god tro på grunnlag av det dere oppgir. Viser opplysningene om eierskap, fullmakt eller leverandørvilkår seg å ikke stemme, er ikke Glippen ansvarlig for det.

Dette er ikke en formalitet vi gjemmer i vilkårene. Det står her, det står i scope-dokumentet dere signerer, og vi spør om det på nytt hvis noe virker uklart.

Det er en risiko å slippe noen inn i systemene sine. Vi mener den er verdt å ta: dette er et planlagt angrep, avgrenset i tid, utført av noen som sier fra underveis og skriver ned alt som ble gjort. Alternativet er at de samme hullene blir funnet av noen som ikke har noen avtale med dere, og som ikke kommer til å sende en rapport.

Sikkerhetstesting har en iboende risiko. Vi gjør alt vi kan for at ingenting skal gå ned, og vi reverserer det som lar seg reversere, men vi kan ikke garantere at ingenting ryker. Skjer det noe, sier vi fra med en gang.

Glippen er ikke ansvarlig for driftsavbrudd, ustabilitet, tap av data eller annet tap som oppstår under eller etter testen. Dere er ansvarlige for å ha ferske og verifiserte sikkerhetskopier før testvinduet åpner, og for å si fra til driftsleverandøren om at testen pågår.

Hele ansvarsbegrensningen står i scope-dokumentet dere signerer. Den gjelder så langt loven tillater det. Norsk rett tillater ingen å fraskrive seg ansvar for forsett eller grov uaktsomhet, og det forsøker vi heller ikke på.