Les règles d'engagement consignent le périmètre, les techniques permises, les fenêtres d'interdiction, les devoirs de traitement des données, les mesures de sûreté, les contacts d'escalade et de déconfliction, le traitement des preuves et les conditions d'arrêt. Elles protègent la production, les tiers et les testeurs eux-mêmes, et font partie du dossier d'autorisation des travaux.
Points clés
Limites testablesNommer les systèmes, techniques, fenêtres temporelles et classes de données incluses et exclues — l'ambiguïté devient un incident pendant le test.
Gestion des accidentsDéfinir ce qui se passe en cas d'impact involontaire, de découverte d'une compromission réelle ou de dérive du périmètre, y compris qui peut arrêter l'exercice.
Limite importanteLes règles contraignent le test, pas l'adversaire. Tout ce qui est exclu du test reste non testé — délimiter les exclusions délibérément et consigner le risque résiduel.