← Назад к документации

Специальные условия проведения испытаний информационной безопасности

Последнее обновление: 26 августа 2026

1. Назначение документа

Настоящие Специальные условия регулируют исследования информационной безопасности, которые из-за характера, интенсивности либо возможного воздействия не разрешены стандартной Политикой ответственного раскрытия уязвимостей ChartilaCorp.

Публикация настоящего документа сама по себе не является разрешением на проведение специальных испытаний.

Каждое специальное испытание допускается только после отдельного письменного разрешения Администрации ChartilaCorp с указанием конкретного Scope, периода, разрешённых действий и дополнительных ограничений.

2. Соотношение с VDP

Для обычных исследований применяется Политика ответственного раскрытия уязвимостей.

Настоящие условия применяются только к действиям, которые прямо указаны в индивидуальном разрешении. Все ограничения VDP, не изменённые таким разрешением, продолжают действовать.

3. Испытания, требующие отдельного разрешения

Отдельного согласования требуют, в частности:

  • нагрузочное и стресс-тестирование;
  • контролируемая проверка устойчивости к DoS/DDoS;
  • интенсивное автоматизированное сканирование;
  • испытания механизмов rate limiting и защиты от автоматизированных атак;
  • высокоинтенсивные проверки средств аутентификации;
  • контролируемые испытания отказоустойчивости;
  • иные действия, способные повлиять на доступность, производительность или стабильность сервисов.

4. Индивидуальное разрешение

Специальное разрешение оформляется для конкретного испытания и должно содержать как минимум:

  • уникальный номер разрешения формата ST-YYYY-NNN;
  • исследователя и контакт для связи;
  • точный перечень разрешённых доменов, IP-адресов, систем или компонентов;
  • разрешённые виды испытаний;
  • дату и время начала и окончания разрешения;
  • разрешённые источники тестового воздействия;
  • критерии аварийной остановки;
  • контакт Администрации для экстренной связи;
  • дополнительные ограничения, если они необходимы.

Любое действие, не указанное в разрешении, не считается санкционированным только потому, что оно технически связано с разрешённым испытанием.

5. Scope специальных испытаний

В Scope входят только системы, прямо перечисленные в индивидуальном разрешении.

Наличие ресурса в доменной зоне *.chartilacorp.ru, в той же сети, на том же сервере, за тем же reverse proxy либо у того же хостинг-провайдера не означает его автоматического включения в Scope.

Инфраструктура третьих лиц не может быть разрешена настоящим документом без соответствующих полномочий её владельца или оператора.

6. DoS/DDoS и нагрузочные испытания

Проверка устойчивости к DoS/DDoS либо иное тестирование, способное повлиять на доступность, допускается только при прямом указании такого вида испытания в индивидуальном разрешении.

До начала испытания должны быть согласованы цель, временное окно, источники тестового воздействия, пределы допустимого воздействия, критерии прекращения теста и порядок экстренной связи.

Исследователь обязан прекратить испытание при возникновении непредусмотренного воздействия на пользователей, соседние сервисы, системы хранения данных, сетевую инфраструктуру или системы третьих лиц.

Разрешение ChartilaCorp не распространяется на сторонние CDN, DNS-сервисы, операторов связи, хостинг-провайдеров и иную инфраструктуру третьих лиц, если соответствующее разрешение не предоставлено её владельцем отдельно.

7. Персональные данные и конфиденциальная информация

Специальное разрешение не является разрешением на сбор, копирование, использование или распространение персональных данных третьих лиц.

При случайном доступе к персональным данным, секретам, ключам, токенам либо иной конфиденциальной информации исследователь обязан прекратить дальнейший доступ и сообщить об этом Администрации.

8. Целостность систем и данных

Если индивидуальным разрешением прямо не предусмотрено иное для изолированной тестовой среды, запрещаются:

  • необратимое изменение или уничтожение пользовательских данных;
  • повреждение файловых систем, резервных копий или конфигураций;
  • удаление или подмена журналов событий;
  • создание backdoor, web-shell, скрытых учётных записей и иных средств persistence;
  • использование полученного доступа для перехода на системы вне согласованного Scope.

9. Аварийная остановка

Администрация вправе в любой момент потребовать немедленного прекращения испытаний. После получения такого требования активные действия должны быть прекращены.

Испытания также подлежат прекращению при потере контроля над средствами тестирования, непредусмотренном влиянии на третьих лиц, угрозе целостности данных, существенном нарушении доступности либо обнаружении инцидента с персональными данными.

10. Результаты испытаний

После завершения специального испытания исследователь предоставляет отчёт с описанием выполненных действий, обнаруженных проблем, фактического воздействия и рекомендаций.

В отчёт не следует включать избыточные персональные данные, полные дампы баз данных, приватные ключи, пароли или токены.

11. Предел предоставленного разрешения

Действие считается разрешённым ChartilaCorp только при одновременном соблюдении Scope, разрешённого вида испытания, срока действия разрешения и всех установленных ограничений.

Действия за пределами индивидуального разрешения не считаются санкционированными ChartilaCorp.

12. Добросовестное исследование

Администрация считает действия, полностью соответствующие настоящим условиям и действующему индивидуальному разрешению, санкционированным исследованием безопасности в пределах собственных прав и полномочий.

Настоящий документ не освобождает исследователя от соблюдения законодательства Российской Федерации и не предоставляет прав в отношении систем, данных или инфраструктуры третьих лиц.

13. Получение специального разрешения

Для согласования специального испытания необходимо предварительно обратиться на admin@chartilacorp.ru с описанием предполагаемого теста.

До получения отдельного письменного разрешения действия, запрещённые стандартной VDP, остаются запрещёнными.