ขอบเขตที่ไม่ได้เขียน: เมื่อข้อพิพาทเรื่องขอบเขตการทดสอบการเจาะระบบกลายเป็นความรับผิดชอบทางกฎหมาย

ภูมิทัศน์ความปลอดภัยทางไซเบอร์เต็มไปด้วยความเสี่ยง และองค์กรต่างๆ มักจะจ้างผู้ทดสอบการเจาะระบบเพื่อระบุช่องโหว่ก่อนที่ผู้โจมตีจะทำ อย่างไรก็ตาม รูปแบบที่เกิดขึ้นซ้ำๆ และซ่อนเร้นได้ปรากฏขึ้น: การทดสอบการเจาะระบบ ซึ่งตั้งใจให้เป็นมาตรการรักษาความปลอดภัยเชิงรุก กลับหลงทางเนื่องจากขอบเขตที่กำหนดไม่ชัดเจนหรือไม่เป็นลายลักษณ์อักษร นำไปสู่ผลที่ไม่คาดคิด ข้อพิพาททางกฎหมาย และการหยุดชะงักของการดำเนินงาน นี่ไม่ใช่แค่ความผิดพลาดตามสัญญาเท่านั้น แต่เป็นการล้มเหลวพื้นฐานในการบริหารความเสี่ยงซึ่งอาจนำไปสู่ความรับผิดชอบที่รุนแรงได้

เกิดอะไรขึ้น

ในสถานการณ์จริงหลายกรณี องค์กรต่างๆ ได้ว่าจ้างการทดสอบการเจาะระบบโดยมีความเข้าใจในขอบเขตของการทำงานที่ไม่ได้รับการบันทึกหรือตกลงร่วมกันเป็นลายลักษณ์อักษรอย่างสมบูรณ์ รูปแบบเหตุการณ์ล่าสุดเน้นให้เห็นว่าความคลุมเครือดังกล่าวสามารถบานปลายได้อย่างไร ตัวอย่างเช่น องค์กรบริการทางการเงินที่ต้องการตรวจสอบความถูกต้องของพอร์ทัลลูกค้าใหม่ ได้ว่าจ้างผู้ให้บริการทดสอบการเจาะระบบจากภายนอก ข้อตกลงด้วยวาจา หรือข้อกำหนดการทำงานที่กำหนดไว้อย่างหลวมๆ ครอบคลุม 'ความปลอดภัยของแอปพลิเคชัน' โดยไม่มีรายละเอียดที่ชัดเจนเกี่ยวกับโดเมนย่อยเฉพาะ การรวมระบบของบุคคลที่สาม หรือความลึกที่อนุญาตของกิจกรรมหลังการโจมตี การขาดการอนุญาตที่เป็นลายลักษณ์อักษรอย่างชัดเจนนี้หมายความว่า เมื่อผู้ทดสอบในการแสวงหาช่องโหว่ที่สำคัญ เข้าถึงสภาพแวดล้อมจำลองที่สะท้อนข้อมูลการผลิต หรือส่งผลกระทบโดยไม่ตั้งใจต่อระบบที่ไม่สำคัญแต่เชื่อมต่อกัน ลูกค้ามองว่าเป็นการละเมิดความไว้วางใจและการบุกรุกโดยไม่ได้รับอนุญาต

ในทำนองเดียวกัน องค์กรด้านการดูแลสุขภาพได้ทำสัญญาสำหรับการทดสอบการเจาะระบบเครือข่าย สมมติฐานโดยนัยคือการทดสอบจะเกิดขึ้นในช่วงนอกเวลาทำการและหลีกเลี่ยงระบบที่สำคัญ เมื่อทีมทดสอบที่ปฏิบัติงานภายใต้คำสั่ง 'โครงสร้างพื้นฐานเครือข่าย' โดยกว้าง ได้กระตุ้นสัญญาณเตือนบนระบบตรวจสอบผู้ป่วยโดยไม่ตั้งใจ หรือทำให้บริการเสื่อมสภาพชั่วคราวบนเครือข่ายภายในที่ไม่ใช่การผลิตแต่มีความละเอียดอ่อน ทีมรักษาความปลอดภัยภายในของลูกค้าตอบสนองราวกับว่าอยู่ภายใต้การโจมตีจริง ความสับสนที่เกิดขึ้น ผลกระทบต่อการดำเนินงาน และการตรวจสอบทางกฎหมายในภายหลังได้เปิดเผยช่องว่างที่สำคัญ: คำจำกัดความที่แม่นยำของ 'โครงสร้างพื้นฐานเครือข่าย' และความทนทานต่อความเสี่ยงที่ยอมรับได้สำหรับกิจกรรมการทดสอบไม่เคยถูกบันทึกเป็นลายลักษณ์อักษรอย่างชัดเจน นำไปสู่การอ้างสิทธิ์ในการเข้าถึงโดยไม่ได้รับอนุญาตและความเสียหายที่อาจเกิดขึ้น

ทำไมรูปแบบนี้จึงเกิดซ้ำ

การเกิดซ้ำของเหตุการณ์เหล่านี้เกิดจากปัญหาเชิงระบบหลายประการภายในวงจรการจัดซื้อจัดจ้างและการดำเนินการด้านความปลอดภัยทางไซเบอร์ ประการแรก ความซับซ้อนโดยธรรมชาติของสภาพแวดล้อมไอทีสมัยใหม่ทำให้การกำหนดขอบเขตที่ครอบคลุมและละเอียดเป็นเรื่องที่ต้องใช้เวลาและท้าทาย องค์กรมักประสบปัญหาในการระบุส่วนประกอบ การพึ่งพา และจุดที่อาจได้รับผลกระทบทุกจุด การทดสอบการเจาะระบบ โดยธรรมชาติแล้วเกี่ยวข้องกับการเข้าถึงผ่านการโจมตี ซึ่งอาจรวมถึงกิจกรรมต่างๆ เช่น การได้มาซึ่งข้อมูลประจำตัวผ่านวิศวกรรมสังคม หรือการโจมตีโครงสร้างพื้นฐานเครือข่าย ประการที่สอง มักมีความรู้สึกปลอดภัยที่ผิดพลาดในข้อตกลงระดับสูง ซึ่งทั้งสองฝ่ายต่างสันนิษฐานว่ามีความเข้าใจร่วมกันที่ไม่มีอยู่จริงในรายละเอียด ประการที่สาม แรงกดดันในการเริ่มการทดสอบอย่างรวดเร็ว ซึ่งเกิดจากกำหนดเวลาการปฏิบัติตามข้อกำหนดหรือข้อกังวลด้านความปลอดภัยเร่งด่วน อาจนำไปสู่การลดขั้นตอนในขั้นตอนการวางแผนและการกำหนดขอบเขตที่สำคัญ การล่อลวงให้ข้ามกระบวนการที่เข้มงวดในการบันทึกระบบเป้าหมายเฉพาะทุกระบบ ประเภทสภาพแวดล้อม (การผลิตเทียบกับการไม่ผลิต) และวิธีการทดสอบที่ยอมรับได้ เป็นข้อผิดพลาดทั่วไป องค์กรอาจไม่สามารถกำหนดสภาพแวดล้อมที่ไม่ใช่การผลิต สภาพแวดล้อมจำลอง หรือสภาพแวดล้อมการทดสอบให้เป็นเป้าหมายเดียวได้อย่างชัดเจน หรือไม่สามารถตกลงเป็นลายลักษณ์อักษรอย่างชัดเจนหากระบบการผลิตจะถูกรวมไว้ โดยยอมรับถึงความเสี่ยงที่เพิ่มขึ้น

นอกจากนี้ คำจำกัดความของ 'การทดสอบการเจาะระบบ' เองก็อาจถูกเข้าใจผิดได้ แตกต่างจากการสแกนหรือการประเมินช่องโหว่ โดยเกี่ยวข้องกับการพยายามเข้าถึงผ่านการโจมตี ซึ่งอาจจำลองการโจมตีในโลกจริง หากไม่มีขอบเขตที่ชัดเจนเป็นลายลักษณ์อักษร เส้นแบ่งระหว่างการทดสอบที่ถูกต้องกับการบุกรุกโดยไม่ได้รับอนุญาตจะพร่ามัวอย่างอันตราย ข้อตกลงตามสัญญามาตรฐานสำหรับบริการรักษาความปลอดภัยมักระบุไว้อย่างชัดเจนว่าการทดสอบอาจดำเนินการกับระบบเป้าหมายที่ลูกค้าระบุไว้อย่างชัดเจนเท่านั้น และลูกค้าเป็นเจ้าของหรือได้รับอนุญาตตามกฎหมายให้ทดสอบ ข้อตกลงดังกล่าวมักกำหนดให้ระบบที่อยู่ในขอบเขตควรเป็นสภาพแวดล้อมที่ไม่ใช่การผลิต สภาพแวดล้อมจำลอง หรือสภาพแวดล้อมการทดสอบ เว้นแต่จะตกลงเป็นลายลักษณ์อักษรอย่างชัดเจนโดยทั้งสองฝ่าย โดยเฉพาะอย่างยิ่งสำหรับระบบการผลิตที่ยอมรับถึงความเสี่ยงที่เพิ่มขึ้นของผลกระทบต่อบริการ

กลยุทธ์ของผู้โจมตีทีละขั้นตอน

ในขณะที่ผู้ทดสอบการเจาะระบบเป็นศัตรูที่ได้รับอนุญาต แต่ระเบียบวิธีของพวกเขามักจะสะท้อนถึงผู้ไม่ประสงค์ดี ซึ่งเน้นย้ำถึงความจำเป็นในการกำหนดขอบเขตที่แม่นยำ กระบวนการทดสอบการเจาะระบบโดยทั่วไปจะเกี่ยวข้องกับหลายขั้นตอน: การวางแผนและการสำรวจ การค้นหา (การสแกนและการประเมินช่องโหว่) การเข้าถึงผ่านการโจมตี การดำเนินการหลังการโจมตีและการรักษาการเข้าถึง และสุดท้าย การวิเคราะห์และการรายงาน

ในระยะการสำรวจ ผู้ทดสอบจะรวบรวมข้อมูลเกี่ยวกับเป้าหมาย เหมือนกับผู้โจมตี ซึ่งอาจเกี่ยวข้องกับการรวบรวมข้อมูลแบบพาสซีฟ การระบุโดเมนย่อย พอร์ตที่เปิดอยู่ และการเปิดเผยที่เกี่ยวข้อง ระยะการค้นหาจะใช้เครื่องมือเพื่อสแกนหาช่องโหว่ ขั้นตอนสำคัญคือการเข้าถึงผ่านการโจมตี ซึ่งช่องโหว่ที่ระบุจะถูกใช้ประโยชน์ นี่คือจุดที่ 'ความผิดพลาด' มักจะเกิดขึ้น หากขอบเขตไม่ได้กำหนดอย่างชัดเจนว่า ระบบใด ที่สามารถใช้เป็นเป้าหมายในการโจมตีได้ หรือ ระดับการเข้าถึงใด ที่ได้รับอนุญาต ผู้ทดสอบอาจติดตามห่วงโซ่การประนีประนอมที่นำพวกเขาเข้าสู่พื้นที่ที่ไม่คาดคิด ตัวอย่างเช่น หากการทดสอบการเจาะระบบเครือข่ายได้รับอนุญาตสำหรับ 'เครือข่ายองค์กร' โดยทั่วไปโดยไม่ได้ระบุข้อยกเว้น ผู้ทดสอบอาจระบุและโจมตีช่องโหว่บนเซิร์ฟเวอร์การพัฒนา จากนั้นจึงย้ายไปยังระบบที่อยู่ติดกันที่มีความละเอียดอ่อนมากขึ้น ซึ่งลูกค้าไม่เคยตั้งใจให้เป็นส่วนหนึ่งของการทดสอบ ระยะหลังการโจมตี ซึ่งผู้ทดสอบรักษาการเข้าถึงและสำรวจเพิ่มเติม อาจทำให้ปัญหานี้รุนแรงขึ้นไปอีกหากขอบเขตของ 'สิ่งที่ต้องสำรวจ' ไม่ได้ถูกระบุไว้อย่างชัดเจนเป็นลายลักษณ์อักษร

สิ่งที่ผู้ป้องกันพลาดไป

ผู้ป้องกัน ซึ่งโดยทั่วไปคือ CISO และวิศวกรความปลอดภัย มักจะพลาดความสำคัญที่สำคัญของ ข้อตกลงขอบเขตที่เป็นลายลักษณ์อักษรที่มีรายละเอียดชัดเจนและมีผลผูกพันทางกฎหมาย ในความเร่งรีบในการรักษาความปลอดภัยของระบบ การกำกับดูแลหลักคือการล้มเหลวในการก้าวข้ามข้อตกลงแนวคิดระดับสูงไปสู่เอกสารที่ละเอียดและเป็นรหัส เอกสารนี้ควรกำหนดอย่างแม่นยำถึง:

1. เป้าหมายที่อนุญาต: ช่วง IP, โดเมน, แอปพลิเคชัน, สภาพแวดล้อมคลาวด์ และตำแหน่งทางกายภาพที่เฉพาะเจาะจงใดบ้างที่อยู่ในขอบเขต ซึ่งควรกำหนดความแตกต่างอย่างชัดเจนระหว่างสภาพแวดล้อมการผลิต สภาพแวดล้อมจำลอง และสภาพแวดล้อมการพัฒนา ตัวอย่างเช่น การทดสอบการเจาะระบบแอปพลิเคชันจะมุ่งเป้าไปที่เว็บแอปพลิเคชันและสภาพแวดล้อมพื้นฐาน ในขณะที่การทดสอบการเจาะระบบเครือข่ายจะมุ่งเป้าไปที่โครงสร้างพื้นฐานเครือข่าย รวมถึงเซิร์ฟเวอร์ โดเมนย่อย โฮสต์ และพอร์ตที่เปิดอยู่ ลูกค้าต้องกำหนดเป้าหมายเหล่านี้อย่างชัดเจน
2. เป้าหมายที่ต้องห้าม: อะไรที่ อยู่นอก ขอบเขตอย่างชัดเจน รวมถึงระบบของบุคคลที่สาม โครงสร้างพื้นฐานเก่าที่สำคัญ หรือพื้นที่เก็บข้อมูลที่ละเอียดอ่อนเฉพาะ
3. ระเบียบวิธีและเครื่องมือการทดสอบ: ประเภทของการทดสอบที่อนุญาต (เช่น กล่องดำ กล่องขาว กล่องเทา) พารามิเตอร์วิศวกรรมสังคม และเครื่องมือหรือเทคนิคเฉพาะใดๆ ที่ไม่อนุญาต
4. กรอบเวลาและโปรโตคอลการสื่อสาร: เมื่อใดที่การทดสอบสามารถเกิดขึ้นได้ ใครควรได้รับการแจ้งเตือนในกรณีที่เกิดเหตุการณ์หรือผลกระทบต่อบริการ และขั้นตอนการติดต่อฉุกเฉิน
5. การจัดการและการเก็บรักษาข้อมูล: ข้อมูลที่เข้าถึงได้จะถูกจัดการ จัดเก็บ และล้างอย่างไร
6. ระดับความเสี่ยงที่ยอมรับได้: ขอบเขตของการหยุดชะงักที่อาจเกิดขึ้นหรือผลกระทบที่ยอมรับได้ในระหว่างการทดสอบ โดยเฉพาะอย่างยิ่งเมื่อเกี่ยวข้องกับระบบการผลิต

หากไม่มีรายละเอียดในระดับนี้ องค์กรจะเปิดเผยตัวเองต่อการอ้างสิทธิ์ในการเข้าถึงโดยไม่ได้รับอนุญาต การละเมิดข้อมูล (แม้ว่าผู้ทดสอบจะตั้งใจก็ตาม) และการละเมิดกฎระเบียบที่อาจเกิดขึ้น เช่น กฎระเบียบการปกป้องข้อมูลทั่วไปที่กำหนดให้มีการแจ้งเตือนการละเมิดข้อมูลส่วนบุคคลภายในกรอบเวลาที่กำหนด บริการรักษาความปลอดภัยทางไซเบอร์โดยทั่วไปจะให้บริการภายใต้ข้อตกลงที่เป็นลายลักษณ์อักษรแยกต่างหาก ข้อตกลงบริการหลัก (MSA) พร้อมกับข้อเสนอหรือข้อกำหนดการทำงานที่เกี่ยวข้อง ซึ่งเน้นย้ำถึงความถูกต้องตามกฎหมายที่จำเป็น

ข้อผิดพลาดที่สำคัญไม่ใช่การขาดความตระหนักด้านความปลอดภัย แต่เป็นการล้มเหลวในการแปลความตระหนักนั้นไปสู่ข้อตกลงที่แข็งแกร่งตามกฎหมายและได้รับการบันทึกอย่างละเอียดเพื่อป้องกันไม่ให้ความคลุมเครือกลายเป็นความรับผิดชอบ

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อลดความเสี่ยงของการทดสอบการเจาะระบบที่ผิดพลาดเนื่องจากปัญหาขอบเขต CISO และวิศวกรความปลอดภัยควรนำโปรโตคอลก่อนการทำงานที่เข้มงวดมาใช้:

• กำหนดขอบเขตเป็นลายลักษณ์อักษร: ตรวจสอบให้แน่ใจว่าการทดสอบการเจาะระบบทุกครั้งอยู่ภายใต้ข้อกำหนดการทำงาน (SOW) หรือภาคผนวกที่เป็นลายลักษณ์อักษรและมีรายละเอียด ซึ่งกำหนดสินทรัพย์ที่อยู่ในและนอกขอบเขต วิธีการ และข้อควรพิจารณาด้านสิ่งแวดล้อมอย่างชัดเจน
• ระบุประเภทสภาพแวดล้อม: กำหนดอย่างชัดเจนว่าการทดสอบจะเกิดขึ้นในสภาพแวดล้อมที่ไม่ใช่การผลิต สภาพแวดล้อมจำลอง หรือสภาพแวดล้อมการผลิต โดยมีข้อตกลงเป็นลายลักษณ์อักษรอย่างชัดเจนสำหรับการทดสอบระบบการผลิตใดๆ โดยยอมรับความเสี่ยงที่เพิ่มขึ้น
• กำหนดการกระทำที่อนุญาต: อธิบายประเภทของการโจมตี การเข้าถึงข้อมูล หรือกิจกรรมหลังการโจมตีที่ได้รับอนุญาตอย่างละเอียด และระบุการกระทำที่ต้องห้าม
• สร้างเมทริกซ์การสื่อสาร: สร้างแผนการสื่อสารที่ชัดเจน รวมถึงผู้ติดต่อฉุกเฉิน ขั้นตอนการรายงานเหตุการณ์ และกำหนดการตรวจสอบปกติในระหว่างการทดสอบ
• การตรวจสอบทางกฎหมาย: ให้ทนายความตรวจสอบเอกสารขอบเขตทั้งหมดเพื่อให้แน่ใจว่าเป็นไปตามนโยบายภายใน ข้อกำหนดด้านกฎระเบียบ และเพื่อป้องกันความรับผิดชอบที่อาจเกิดขึ้น
• การปรับแนวทางการรับมือเหตุการณ์: แจ้งทีมรับมือเหตุการณ์ภายในเกี่ยวกับการทดสอบการเจาะระบบที่กำลังดำเนินอยู่ โดยให้ขอบเขตและกิจกรรมที่คาดไว้เพื่อหลีกเลี่ยงการเตือนที่ผิดพลาดหรือการระบุผู้ทดสอบผิดว่าเป็นภัยคุกคามจริง
• การตรวจสอบล่วงหน้าก่อนการทดสอบ: จัดการประชุมก่อนการทดสอบเพื่อทบทวนขอบเขตที่เป็นลายลักษณ์อักษรร่วมกับทีมทดสอบ เพื่อให้แน่ใจว่ามีความเข้าใจร่วมกันและยืนยันความเป็นไปได้ทางเทคนิคและความปลอดภัยของกิจกรรมที่วางแผนไว้

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

แนวทางการทดสอบเชิงรุกสมัยใหม่เน้นความแม่นยำ การตรวจสอบอย่างต่อเนื่อง และการพิสูจน์แนวคิดที่ดำเนินการได้ ซึ่งช่วยลดความคลุมเครือของขอบเขตโดยธรรมชาติ ตัวอย่างเช่น แพลตฟอร์มขั้นสูงที่มีความสามารถในการอนุญาตให้ทดสอบ ให้การทดสอบเชิงรุกแบบอัตโนมัติพร้อม PoC ที่ดำเนินการได้ แนวทางนี้จำเป็นต้องมีความเข้าใจที่มีโครงสร้างสูงและเป็นรหัสของสภาพแวดล้อมเป้าหมายตั้งแต่เริ่มต้น

ก่อนที่จะเริ่มการทดสอบอัตโนมัติ แพลตฟอร์มดังกล่าวต้องได้รับการอนุญาตอย่างชัดเจนสำหรับเป้าหมายเฉพาะ นี่ไม่ใช่ 'เครือข่าย' หรือ 'แอปพลิเคชัน' แบบกว้างๆ แต่เป็นการกำหนดที่ละเอียด เช่น คำสั่งที่กำหนดเป้าหมายระบบระบุตัวตนโดยเฉพาะ ระดับความเฉพาะเจาะจงนี้บังคับให้องค์กรต้องกำหนดขอบเขตที่แม่นยำล่วงหน้า ความสามารถของแพลตฟอร์มในการสร้างการพิสูจน์แนวคิดที่ดำเนินการได้หมายความว่าผลกระทบของช่องโหว่ที่อาจเกิดขึ้น และด้วยเหตุนี้ขอบเขตของการทดสอบ จึงแสดงให้เห็นในลักษณะที่ควบคุมและตรวจสอบได้ ซึ่งช่วยลดความเป็นไปได้ของผลข้างเคียงที่ไม่ตั้งใจ หากการทดสอบได้รับการกำหนดค่าให้กำหนดเป้าหมายแอปพลิเคชันเว็บเฉพาะ ระบบอัตโนมัติจะปฏิบัติตามขอบเขตนั้นอย่างเคร่งครัด โดยพยายามโจมตีเช่น SQL injection หรือการควบคุมการเข้าถึงที่เสียหายภายในแอปพลิเคชันที่กำหนด แทนที่จะย้ายไปยังระบบที่อยู่ติดกันที่ไม่ได้รับอนุญาต สิ่งนี้ช่วยขจัดปัจจัย 'การตีความของมนุษย์' ซึ่งมักนำไปสู่การขยายขอบเขตในการทำงานแบบดั้งเดิม

นอกจากนี้ การที่แพลตฟอร์มมุ่งเน้นไปที่เส้นทางการโจมตีเฉพาะ เช่น ช่องโหว่ของโปรโตคอลการรับรองความถูกต้อง การโจมตีเพื่อขโมยข้อมูลประจำตัว หรือการยกระดับสิทธิ์ที่นำไปสู่การเข้าถึงผู้ดูแลระบบโดเมน หมายความว่าขอบเขตไม่ได้เป็นเพียงแค่ อะไร ที่จะทดสอบ แต่เป็น วิธีการ ทดสอบ และ เส้นทางที่แน่นอน ที่ผู้โจมตีจะใช้ ความแม่นยำนี้ ควบคู่ไปกับข้อกำหนดในการอนุญาตอย่างชัดเจนสำหรับสถานการณ์การทดสอบแต่ละครั้ง ทำหน้าที่เป็นกลไกในตัวเพื่อป้องกันข้อพิพาทเรื่องขอบเขตโดยการตรวจสอบให้แน่ใจว่าการกระทำทุกอย่างที่ดำเนินการโดยระบบการทดสอบเชิงรุกได้รับการอนุมัติล่วงหน้าและบันทึกไว้

สิ่งที่ต้องจับตาดูต่อไป

อุตสาหกรรมความปลอดภัยทางไซเบอร์น่าจะเห็นการตรวจสอบทางกฎหมายที่เพิ่มขึ้นในด้านสัญญาของการทดสอบการเจาะระบบและบริการรักษาความปลอดภัยเชิงรุก เนื่องจากการก่ออาชญากรรมทางไซเบอร์เพิ่มขึ้น — โดยเหตุการณ์การขโมยข้อมูลเพิ่มขึ้นอย่างมีนัยสำคัญ — ความเสี่ยงทางกฎหมายและการเงินสำหรับองค์กรจึงสูงกว่าที่เคย ความแตกต่างระหว่างการทดสอบการเจาะระบบที่ได้รับอนุญาตกับการแฮกที่ไม่ได้รับอนุญาต ซึ่งเป็นอาชญากรรมในหลายเขตอำนาจศาล จะมีความสำคัญมากยิ่งขึ้น กฎหมายและข้อบังคับด้านความปลอดภัยทางไซเบอร์มักทำให้การเข้าถึงข้อมูลหรือเครือข่ายโทรคมนาคมโดยไม่ได้รับอนุญาตเป็นอาชญากรรม กรอบกฎหมายนี้เน้นย้ำถึงความจำเป็นในการอนุญาตที่เป็นลายลักษณ์อักษรอย่างชัดเจนสำหรับการทดสอบความปลอดภัยใดๆ ที่สำรวจระบบหรือหลีกเลี่ยงมาตรการรักษาความปลอดภัย

องค์กรจะต้องนำโซลูชันความปลอดภัยเชิงรุกที่ซับซ้อน เป็นอัตโนมัติ และกำหนดขอบเขตอย่างแม่นยำมาใช้เพื่อลดความเสี่ยงจากข้อผิดพลาดของมนุษย์หรือการตีความที่ผิดพลาดในการทำงานการทดสอบ การเปลี่ยนไปใช้โมเดล 'การอนุญาตให้ทดสอบ' ซึ่งทุกการกระทำในการทดสอบได้รับการอนุมัติอย่างชัดเจน จะกลายเป็นแนวปฏิบัติที่ดีที่สุด นอกจากนี้ คาดว่าจะเห็นกรอบกฎหมายที่แข็งแกร่งขึ้นและภาษาตามสัญญาที่เป็นมาตรฐานสำหรับการทดสอบการเจาะระบบ ซึ่งจะช่วยลดพื้นที่สีเทาที่ปัจจุบันนำไปสู่ข้อพิพาท อนาคตของความปลอดภัยเชิงรุกจะไม่เพียงต้องการความเชี่ยวชาญทางเทคนิคเท่านั้น แต่ยังรวมถึงสุขอนามัยทางกฎหมายและสัญญาที่ไร้ที่ติเพื่อปกป้องทั้งลูกค้าและผู้ให้บริการทดสอบด้วย