Без письма-авторизации рассылку не запускаю

«Давайте уже завтра запустим, договор допишем по ходу» — эту фразу я слышал в том или ином виде несколько раз, обычно от ИБ-директора, которому сверху уже назначили дедлайн. Каждый раз отвечаю одинаково: нет, сначала подпись под письмом-авторизацией, потом рассылка. Не потому что бюрократ. Потому что без этого документа симуляция фишинга — это, формально говоря, несанкционированный доступ к системе обработки почты компании, и разница между «услугой» и «инцидентом» в моменте держится ровно на одной подписи.

Что именно фиксирует этот документ

Письмо-авторизация — не формальность поверх договора, а отдельный документ с конкретным содержанием: кто именно уполномочен согласовывать сценарий со стороны заказчика, какое окно тестирования согласовано по датам и часам, какой домен используется как приманка, какие подразделения включены в рассылку, а какие исключены, и — отдельным пунктом — контакт для экстренной связи на время теста. Если в пятницу вечером кто-то из сотрудников в панике позвонит в полицию, у меня должен быть номер телефона человека, который может это остановить за пять минут, а не искать в переписке, кто вообще в курсе происходящего.

Почему это не подстраховка юриста, а часть механики самой услуги

Граница между фишинг-симуляцией и тестированием на проникновение — юридическая, не техническая. Попытка реально войти в систему компании с полученными учётными данными подпадает под требования Постановления Правительства РФ № 79 и требует лицензии ФСТЭК на ТЗКИ. Я сознательно работаю в рамках услуги, которая этой лицензии не требует — но эта граница держится только на том, что до старта письменно зафиксировано, что именно я имею право делать, а что нет. Устная договорённость «ну вы понимаете, о чём речь» такой границы не создаёт: если что-то пойдёт не по плану, разбираться будут по документам, а не по памяти участников созвона.

Кто на самом деле рискует, если пропустить этот шаг

Не только я. Уведомление сотрудников о факте и условиях подобных проверок — по трудовому законодательству и внутренним политикам — это зона ответственности заказчика, а не исполнителя. Если этот момент не зафиксирован письменно, при спорной ситуации крайним рискует оказаться тот, кто согласовывал рассылку внутри компании, а не только подрядчик, который её отправил. Письмо-авторизация защищает обе стороны одновременно, поэтому спешка «давайте по факту оформим» на самом деле не экономит время — она просто переносит риск с этапа согласования на этап, когда его уже никто не контролирует.