// Testautorisatie
Testautorisatie
Laatst bijgewerkt:
Deze pagina is een openbare autorisatiechecklist en kopieerbaar sjabloon, geen ondertekende autorisatie en geen toestemming om te starten. Eén volledig ondertekende overeenkomst kan alle afgebakende assessments autoriseren die daarin uitdrukkelijk zijn genoemd en gepland wanneer zij de toepasselijke doelwitten, uitsluitingen, Rules of Engagement, testvensters, noodcontactpersoon, veiligheidsgrenzen en data-afspraken bevat. Er is geen afzonderlijke handtekening, Work Order of menselijke uitvoeringsvrijgave per assessment nodig. Alles buiten die ondertekende autorisatie-envelop vereist vóór het testen een ondertekende wijziging of nieuwe overeenkomst.
1. Partijen en bevoegdheid
Het ondertekende dossier vermeldt de juridische entiteit van de klant, eigenaar van de middelen, bevoegde ondertekenaar en contactgegevens, samen met Loki Intelligence B.V. Als een bureau, hostingprovider of andere derde is betrokken, beschrijft het dossier de rol van iedere partij en voegt het de schriftelijke toestemming van de eigenaar toe. De ondertekenaar bevestigt bevoegd te zijn precies de vastgelegde toestemming te geven.
2. Identiteit van het gedekte assessment
De overeenkomst geeft ieder gedekt assessment een unieke assessment-ID en legt het doel, de omgeving, planning of het afgebakende testvenster, gewenste resultaten, toepasselijke scope, Rules of Engagement en data-afspraken vast, evenals of het een nieuw assessment of afgebakende hertest is. Eén overeenkomst kan meerdere geplande assessments benoemen. Een maandplan op zichzelf autoriseert geen test.
3. Geautoriseerde middelen en uitsluitingen
Het ondertekende dossier vermeldt exacte domeinen, subdomeinen, URL's, API-endpoints, IP-reeksen, applicatie-ID's en omgevingen die mogen worden getest, plus aangeleverde testrollen of -accounts. Het noemt afzonderlijk uitgesloten hosts, diensten van derden, cloudaccounts of -middelen, OT, betalingsuitvoering en kwetsbare processen. Alles wat niet uitdrukkelijk is opgenomen, valt buiten de scope.
4. Testvenster, bron en noodcontacten
De Rules of Engagement leggen de goedgekeurde begin- en eindtijd met tijdzone vast, eventuele onderhouds- of uitsluitingsperioden, de afgesproken bron-IP's of andere identificatoren van Loki, monitoringverwachtingen van de klant en een primair en vervangend noodcontact bij beide partijen. Via de stoproute moet de klant of Loki de test snel kunnen pauzeren wanneer onverwacht risico ontstaat.
5. Toegestane technieken en veiligheidsgrenzen
Toegestane handelingen kunnen bestaan uit niet-destructieve verkenning, geauthenticeerde controles met aangeleverde testaccounts, veilige gecontroleerde validatie, minimaal noodzakelijke bewijsverzameling en één afgebakende hertest. Het dossier bepaalt snelheidslimieten, kostenplafonds, productiebeperkingen, verboden gegevens, escalatievoorwaarden en eventuele techniek-specifieke toestemming. Destructieve tests, blijvende toegang, malware, denial of service, betalingsuitvoering, social engineering, cloudaccount- of OT-assessments en onveilige productiewijzigingen vallen buiten de huidige dienst en worden niet door dit sjabloon geautoriseerd.
6. Bewijs, gegevens en rapportage
De ondertekende data-afspraken benoemen welk bewijs mag worden vastgelegd, hoe dit wordt beperkt en geredigeerd, waar het wordt geleverd, wie het mag ontvangen en wanneer het wordt teruggegeven of verwijderd. Bewijs kan bestaan uit beperkte screenshots, geredigeerde verzoeken en antwoorden, logs, metadata en reproductienotities die nodig zijn om een bevinding uit te leggen. Rapporten blijven geblokkeerd totdat een mens ze heeft beoordeeld en vrijgegeven.
7. Handtekeningen en vrijgavepoort
De bevoegde ondertekenaar van de klant en Loki ondertekenen en dateren de overeenkomst die het autorisatiedossier bevat. Iedere uitvoering wordt daarna intern onveranderlijk gekoppeld aan één assessment dat door die overeenkomst wordt gedekt en één keer geclaimd. Deze interne uitvoeringscontrole is geen nieuwe handtekening, Work Order of menselijke uitvoeringsvrijgave. Bevindingen en rapporten blijven geblokkeerd tot menselijke beoordeling en goedkeuring voor publicatie.
// LOKAAL SJABLOON
Sjabloon testautorisatie en Rules of Engagement
Kopieer of download deze platte-tekstchecklist, vul hem samen met beide partijen in en bewaar de ondertekende versie bij de overeenkomst en data-afspraken. Het document kan meerdere assessments dekken wanneer ieder assessment uitdrukkelijk is genoemd en gepland. Downloaden of invullen van een ongetekende versie start geen test.
LOKI SJABLOON TESTAUTORISATIE / RULES OF ENGAGEMENT STATUS Dit is een ongetekend sjabloon. Het is geen autorisatie en start geen test. 1. PARTIJEN EN BEVOEGDHEID Juridische naam klant: [invullen] Registratienummer en adres: [invullen] Eigenaar van de middelen, indien anders: [invullen] Bevoegde ondertekenaar klant, functie en e-mail: [invullen] Bureau of andere tussenpersoon en rol, indien van toepassing: [invullen] Toestemming van derde of hostingpartij bijgevoegd, indien vereist: [ja/nee/niet van toepassing] Dienstverlener: Loki Intelligence B.V., KvK 42116362 Ondertekenaar en contact bij LOKI: [invullen] 2. OVEREENKOMST EN AUTORISATIE-ENVELOP Overeenkomst-ID en versie: [invullen] Ingangsdatum en looptijd: [invullen] Commerciële bijlage-ID en versie: [invullen] Data-afspraken / verwerkersovereenkomst-ID en versie: [invullen] Aantal assessments dat deze overeenkomst autoriseert: [invullen] 3. GEDEKTE ASSESSMENTS — HERHAAL VOOR IEDER ASSESSMENT Assessment-ID: [invullen] Soort assessment: [nieuw web/API-assessment of afgebakende hertest] Doel en verwachte resultaten: [invullen] Omgeving: [productie/test/anders] Domeinen, subdomeinen, URL's en API-endpoints binnen scope: [invullen] IP-reeksen/applicatie-ID's binnen scope: [invullen] Goedgekeurde testrollen of -accounts: [invullen] Uitdrukkelijke uitsluitingen en middelen van derden: [invullen] Begindatum/-tijd/tijdzone: [invullen] Einddatum/-tijd/tijdzone: [invullen] Onderhouds- of uitsluitingsperioden: [invullen] Goedgekeurde bron-IP's of testidentificatoren van LOKI: [invullen vóór uitvoering] Monitoring- of allowlist-instructies klant: [invullen] 4. RULES OF ENGAGEMENT Geef aan of iedere regel voor alle gedekte assessments geldt of alleen voor genoemde assessment-ID's. Toegestane technieken en validatiegrenzen: [invullen] Verboden technieken/handelingen: [invullen] Snelheidslimieten en gelijktijdigheid: [invullen] Kostenplafond en beperkingen op betaalde handelingen: [invullen] Kwetsbare processen, productiebeperkingen en verboden gegevens: [invullen] Voorwaarden voor pauze of escalatie: [invullen] 5. NOOD- EN ESCALATIECONTACTEN Primair noodcontact klant en direct kanaal: [invullen] Vervangend noodcontact klant en direct kanaal: [invullen] Primaire en vervangende noodcontacten LOKI: [invullen] Pauze-instructie en bevestigingsroute: [invullen] 6. BEWIJS EN GEGEVENS Toegestane bewijscategorieën: [invullen] Eisen voor redactie of minimalisatie: [invullen] Goedgekeurde ontvangers/leveringskanaal: [invullen] Instructies voor bewaring, teruggave en verwijdering: [invullen] Goedgekeurde aanbieders, locaties en doorgifte-afspraken: [invullen] 7. AUTORISATIEVERLENING De klant bevestigt eigenaar te zijn van de genoemde middelen of gedocumenteerde toestemming van de eigenaar te hebben en autoriseert Loki Intelligence B.V. om alle afgebakende assessments uit te voeren die in deze overeenkomst uitdrukkelijk zijn genoemd en gepland, uitsluitend binnen de toepasselijke scope, het venster, de Rules of Engagement, noodcontacten, veiligheidsgrenzen en data-afspraken. Eén volledig ondertekende overeenkomst kan meerdere assessments autoriseren. Er is geen afzonderlijke handtekening, Work Order of menselijke uitvoeringsvrijgave per assessment nodig. Alles buiten deze ondertekende autorisatie-envelop valt buiten de scope en vereist vóór het testen een ondertekende wijziging of nieuwe overeenkomst. 8. HANDTEKENINGEN Namens klant / eigenaar van de middelen Naam en functie: [invullen] Handtekening: [ondertekenen] Datum/tijd/tijdzone: [invullen] Namens Loki Intelligence B.V. Naam en functie: [invullen] Handtekening: [ondertekenen] Datum/tijd/tijdzone: [invullen] 9. INTERNE UITVOERINGSKOPPELING LOKI — GEEN KLANTGOEDKEURING Uitvoerings-ID: [intern invullen] Gedekte assessment-ID: [intern invullen] Ondertekende overeenkomst-ID, versie en digest: [intern invullen] Gekoppeld doelwit, bron en venster: [intern invullen] Eenmalige claimregistratie en tijdstip: [intern invullen] 10. MENSELIJKE RAPPORTBEOORDELING EN PUBLICATIE Beoordelaar en beslissing: [intern invullen] Beoordeeld assessment en rapport-ID: [intern invullen] Tijdstip publicatiebeslissing: [intern invullen]