Izin tertulis, ruang lingkup, dan aturan main

Inti kelas ini: menguji hanya boleh dilakukan dengan izin tertulis dan ruang lingkup tertulis. NIST SP 800-115 mewujudkannya dalam rencana asesmen dan Rules of Engagement (ROE). Glosarium NIST mendefinisikan ROE sebagai panduan dan batasan rinci yang ditetapkan sebelum uji dimulai dan memberi tim penguji wewenang menjalankan kegiatan yang disepakati tanpa izin tambahan. Rencana asesmen menjawab lima pertanyaan dasar: apa ruang lingkupnya, siapa yang berwenang menguji, bagaimana logistiknya, bagaimana data sensitif ditangani, dan apa yang dilakukan bila terjadi insiden.

Ruang lingkup menyebut sistem yang diizinkan diuji (minimal lewat alamat IP, dan sedapat mungkin nama sistem) dan — sama pentingnya — daftar kecuali: sistem yang tidak boleh disentuh, misalnya basis data penggajian yang terlalu kritis. ROE juga memuat jenis dan tingkat pengujian yang diizinkan, jadwal dan jam uji, cara menangani bila insiden nyata muncul saat uji berlangsung (kapan berhenti, siapa dihubungi), dan alamat IP mesin penguji agar administrator bisa membedakan kegiatan uji dari serangan sungguhan. Dokumen ditutup halaman tanda tangan: ketua tim dan manajemen senior menandatangani bahwa mereka memahami ruang lingkup dan batasnya.