Bezmaksas audita noteikumi

1. Vispārīgie noteikumi

1.1. Šie noteikumi regulē kārtību, kādā SIA SAM MARTIN GROUP, reģ. Nr. 40203520646, juridiskā adrese: Matīsa iela 16-2, Rīga, LV-1001 (turpmāk – EvoEX), veic bezmaksas tīmekļa drošības auditu (turpmāk – Audits) Klientiem, kuri piesakās pakalpojumam EvoEX tīmekļa vietnē.

1.2. Audits ir informatīvs, ierobežota apjoma pakalpojums, kas tiek sniegts bez maksas un kura mērķis ir palīdzēt Klientam identificēt potenciālas ievainojamības tīmekļa vietnē vai lietotnē, taču tas nav pilna apjoma penetrācijas tests vai sertificēts drošības audits, kā arī neveido nekādu drošības garantiju.

1.3. Piesakoties bezmaksas auditam EvoEX tīmekļa vietnē https://evoex.eu/lv/bezmaksas-audits, aizpildot un iesniedzot pieteikuma formu, Klients apliecina, ka ir izlasījis šos noteikumus, tos saprot un tiem piekrīt.

1.4. Piekrišana šiem noteikumiem tiek uzskatīta par izteiktu brīdī, kad pieteikums ir veiksmīgi iesniegts un reģistrēts EvoEX klientu attiecību pārvaldības sistēmā (CRM). EvoEX CRM sistēmā fiksētais pieteikuma ieraksts kalpo kā pietiekams pierādījums tam, ka Klients ir iepazinies ar noteikumiem un piekritis tiem, ja vien Klients nepierāda pretējo.

1.5. Ja Klients nepiekrīt šiem noteikumiem, viņš nedrīkst iesniegt pieteikumu bezmaksas Auditam un EvoEX nav pienākuma sniegt Auditu šādam Klientam.

1.6. Šie noteikumi ir vispārēja politika un netiek individuāli saskaņoti ar katru Klientu atsevišķi; tie piemērojami visiem bezmaksas Audita pieteikumiem.

2. Pakalpojuma apraksts un testēšanas raksturs

2.1. Audits tiek veikts, izmantojot OWASP Zed Attack Proxy (OWASP ZAP) un/vai citus dinamiskās lietotņu drošības testēšanas (DAST) rīkus, kas paredzēti tīmekļa lietotņu ievainojamību identificēšanai.

2.2. OWASP ZAP ir atvērtā koda rīks, kas veic vietnes kartēšanu, pasīvo skenēšanu un aktīvo skenēšanu, analizējot HTTP pieprasījumus un atbildes, un izmantojot zināmus uzbrukuma vektorus, lai identificētu ievainojamības.

2.3. OWASP ZAP izstrādātāji un kopiena norāda, ka aktīvā skenēšana ir potenciāli bīstama un atkarībā no lietotnes var izraisīt datu izveidi, izmaiņas vai dzēšanu, kā arī radīt sistēmas darbības traucējumus, tāpēc to nedrīkst izmantot bez īpašnieka atļaujas un pienācīgas sagatavošanās.

2.4. Audita laikā EvoEX pēc saviem ieskatiem var ierobežot OWASP ZAP un citu rīku testu apjomu, lai samazinātu riskus, taču pilnībā izslēgt ietekmes iespēju nav iespējams, jo aktīvie testi pēc būtības simulē uzbrukuma scenārijus.

2.5. Audita rezultāts ir kopsavilkums / īss ziņojums par identificētajām problēmām un vispārīgiem ieteikumiem to novēršanai; EvoEX neuzņemas saistības sniegt pilnīgu sarakstu ar visām iespējamām ievainojamībām un negarantē, ka nepaliek neatklātas citas ievainojamības vai drošības problēmas.

2.6. EvoEX nav pienākuma testēt visas sistēmas daļas, lietotāju lomas, API galapunktus, trešo pušu integrācijas, maksājumu sistēmas, iekšējos tīklus vai avota kodu, ja tas nav skaidri norādīts un tehniski iespējams.

3. Klienta piekrišana un pilnvarojums

3.1. Piesakoties Auditam un iesniedzot pieteikumu EvoEX tīmekļa vietnē, Klients apliecina, ka viņam pieder testējamā sistēma vai arī viņš tiesiski kontrolē šo sistēmu un ir pilnvarots atļaut tās drošības testēšanu.

3.2. Klients apliecina, ka Audits netiek pieteikts pret trešo personu sistēmām bez šo personu piekrišanas un ka pieteikumā norādītie domēni, URL un sistēmas ir viņa kontrolē.

3.3. Klients apņemas nodrošināt, ka Audita laikā izmantotie domēni, URL, testu konti, konfigurācijas un citi resursi ir Klienta kontrolē un ka to testēšana nepārkāpj likumus, līgumus vai trešo personu tiesības.

3.4. Ja vēlāk izrādās, ka Klients ir pieteicis Auditu sistēmai, kurai viņam nav tiesību, Klients piekrīt, ka vienpersoniski uzņemas pilnu juridisko un finansiālo atbildību un kompensē EvoEX jebkādus šādas situācijas rezultātā radušos zaudējumus vai prasības.

3.5. Klients nodrošina, ka ir saņēmis visus nepieciešamos iekšējos apstiprinājumus (no vadības, akcionāriem, IT departamenta u.c.), ja šādi apstiprinājumi ir nepieciešami, un EvoEX nav atbildīgs, ja Klients to nav izdarījis.

4. Testēšanas riski un “nav uzlaušana”

4.1. Audits izmanto drošības testēšanas metodes, kas tehniski var līdzināties uzbrukuma darbībām (piemēram, injekciju testēšana, kļūdu ierosināšana, ievades manipulācijas, neatļautu piekļuves mēģinājumu simulācija u.c.).

4.2. Audits vienmēr tiek veikts tikai ar Klienta iepriekšēju piekrišanu un pilnvarojumu, ar mērķi uzlabot Klienta sistēmas drošību, nevis nodarīt kaitējumu vai gūt nelikumīgu labumu; līdz ar to Audits nav uzskatāms par “uzlaušanu” vai nesankcionētu piekļuvi.

4.3. Klients skaidri atzīst un piekrīt, ka tehniski Audita laikā tiek izmantoti uzbrukuma testēšanas rīki un metodes, taču, tā kā šie testi tiek veikti ar Klienta atļauju un Klienta interesēs, Klientam nav tiesību vēlāk interpretēt šo Auditu kā neatļautu uzbrukumu vai mēģinājumu uzlauzt sistēmu.

4.4. Ja Klienta iekšējie vai ārējie normatīvie akti paredz, ka šāda veida testi jāapstiprina atsevišķi (piemēram, ar IT nodaļu, valdi, īpašnieku utt.), Klients apņemas šos apstiprinājumus saņemt pirms Audita pieteikuma iesniegšanas, un EvoEX nav atbildīgs, ja Klients to nav izdarījis.

4.5. Klients apzinās, ka drošības testēšana ir būtiska kiberuzbrukumu risku mazināšanai, un Audits tiek veikts kā drošības pasākums, nevis kā ļaunprātīga rīcība.

5. Atbildības izslēgšana un ierobežojums

5.1. EvoEX skaidri brīdina, ka aktīvā skenēšana var izraisīt sistēmas darbības traucējumus, palēninājumu, kļūdas, datu izmaiņas vai dzēšanu, kā arī datubāzes kļūmes, īpaši, ja tests tiek veikts produkcijas vidē vai pret dzīvu datubāzi.

5.2. Klients piekrīt, ka visas šādas sekas tiek pilnībā uzskatītas par Klienta uzņemtajām risku sekām, un EvoEX nav atbildīgs par jebkādu servera “krišanu”, sistēmas dīkstāvi, resursu pārslodzi, datu bojājumu, datu zudumu, transakciju neizpildi, biznesa procesa traucējumiem vai reputācijas zaudējumiem.

5.3. EvoEX nepiedāvā un neuzņemas nekādas garantijas (ne tiešas, ne netiešas) par Audita rezultātu, tai skaitā:

• Audits var neatklāt visas ievainojamības;
• konstatētās problēmas var nebūt vienīgās vai nopietnākās;
• pēc Audita veikšanas sistēma nav uzskatāma par “drošu” vai “pilnībā aizsargātu”.

5.4. Audits tiek sniegts “kā ir” un “kā pieejams” (as-is, as-available), un EvoEX nav atbildīgs par kļūdām, nepilnībām, neprecizitātēm vai izlaidumiem Audita rezultātos.

5.5. Tā kā Audits ir bezmaksas pakalpojums, jebkāds EvoEX potenciālais materiālais pienākums pret Klientu ir ierobežots līdz 0,00 EUR, un Klients nepārprotami atsakās no tiesībām pieprasīt kompensāciju vai atlīdzību no EvoEX par jebkuru Audita rezultātā vai laikā radušos zaudējumu.

5.6. Klients piekrīt, ka EvoEX nevar tikt atzīts par atbildīgu ne krimināli, ne civiltiesiski par Audita laikā veiktajām tehniskajām darbībām, jo tās tiek veiktas uz Klienta pilnvaras pamata ar mērķi uzlabot Klienta sistēmu drošību, un Klients pats uzņemas pilnīgu juridisko un komerciālo risku.

6. Klienta sagatavošanās pienākumi

6.1. Klients, cik vien iespējams, nodrošina, ka Audits tiek veikts testēšanas vidē vai atsevišķā vidē, kas pēc iespējas tuva produkcijai, bet neveido tiešu risku dzīvajai produkcijas datubāzei.

6.2. Ja Audits tiek veikts produkcijas vidē, Klients apzinās, ka tas ir paaugstināts risks, un piekrīt, ka EvoEX nav atbildīgs par šādas izvēles sekām.

6.3. Klients nodrošina rezerves kopijas, monitoringu, incidentu pārvaldības procesus un citus pasākumus, kas nepieciešami, lai operatīvi atjaunotu sistēmas darbību Audita laikā vai pēc tā, ja tas kļūst nepieciešams.

6.4. Klients atzīst, ka ne OWASP ZAP, ne citi testēšanas rīki, ne EvoEX komanda nevar garantēt pilnīgu testu nekaitīgumu un ka drošākais risinājums vienmēr ir atsevišķa testēšanas vide.

7. Datu apstrāde un konfidencialitāte

7.1. Audita laikā EvoEX apstrādā tehniskus datus, tostarp URL, HTTP pieprasījumus un atbildes, kļūdu ziņojumus, galvenes un citu tehnisko informāciju, kas nepieciešama Audita veikšanai.

7.2. Šie dati tiek izmantoti tikai Audita veikšanai, rezultātu sagatavošanai un saziņai ar Klientu, izņemot gadījumus, kad normatīvie akti paredz vai pieprasa citu izmantošanu vai izpaušanu.

7.3. EvoEX nodrošina Audita laikā iegūto datu konfidencialitāti un neizpauž tos trešajām personām bez Klienta piekrišanas, izņemot likumā noteiktajos gadījumos.

7.4. Klients apliecina, ka viņam ir tiesisks pamats ļaut EvoEX apstrādāt audita veikšanai nepieciešamos tehniskos datus.

8. Noteikumu piemērošana un grozījumi

8.1. Šie noteikumi piemērojami visiem Klientiem, kas piesakās bezmaksas Auditam, un ir saistoši no brīža, kad Klients iesniedz pieteikuma formu un tā tiek reģistrēta EvoEX CRM sistēmā.

8.2. EvoEX patur tiesības jebkurā laikā vienpusēji grozīt šos noteikumus, publicējot atjaunināto versiju savā tīmekļa vietnē; uz jau saņemtajiem pieteikumiem attiecas tā noteikumu redakcija, kas bija spēkā pieteikuma iesniegšanas brīdī.

8.3. Ja kāds no šiem noteikumiem kļūst spēkā neesošs vai nepiemērojams, tas neietekmē pārējo noteikumu spēkā esamību.