企業侵入テスト/フィッシング
会社がセキュリティ会社を雇ってシステムに「ハッキング」し、このセキュリティ会社が偽のフィッシングメールを従業員に送信することに同意した場合...
...その会社（またはセキュリティ会社）が法的責任を負っているかどうか-フィッシングメールのいずれかを入手する過程で、従業員が個人のソーシャルネットワークの資格情報を入力し、それを（おそらく会社以外のシステムへのログインを介して）使用する場合会社（クライアント）のシステムへのエントリを取得しますか？
これはTesting Scopeに該当し、侵入テストのすべての関係者は、テスト中に保護されたデータとプライベート資格情報の発見を予期する必要があります。
お客様が定義した期待は、収集されたデータとソーシャルメディアの資格情報がスコープの範囲内で使用され、プライベートであり、ペネトレーションの侵入テスターの管理下にあることを明示的かつ合理的に保証する必要があります。試験完了後の期間と所定の期間、および結果を文書化する目的のみ。
あなたの特定の環境で従業員が個人のソーシャルメディアの資格情報を介して企業の資料にアクセスできる場合は、契約の範囲内にそれを含める必要があります。ペンテスターは、ソーシャルメディアプロバイダー自身に対して違法なことをすべきではありません。
収集したデータ、個人の資格情報、およびすべての「トロフィー」、およびそれらを前進またはキャプチャしたすべての内部資料を効果的に破棄する明示的な条項は、合意された日付までに、よく知られ、業界で受け入れられて破棄されます承認のデータ消去方法。
あなたのペンテスターを違法な活動から隔離する契約上の合意はありません。もし彼らが捕まえられたソーシャルメディアの資格情報で彼らが愚かに、違法に振る舞うならば、それらは民事および犯罪者の両方に適用される法的結果の対象となります。クライアント（YOU）彼らの訴追では発言権がありません....そのようなことがこれまでに起こった場合