Lärandemål: Förstå det rättsliga ramverket kring säkerhetstestning och kunna formulera ett grundläggande tillståndsdokument.

Innehåll:

• Det viktigaste konceptet i hela kursen: inget säkerhetstest får utföras utan uttryckligt, skriftligt tillstånd från systemägaren. Att testa system utan tillstånd är brottsligt i Sverige (dataintrångsbrott enligt brottsbalken) och i de flesta andra länder, oavsett avsikt.
• Grunderna i GDPR och varför personuppgiftshantering är extra känsligt vid säkerhetstester som kan exponera persondata.
• "Rules of Engagement" (RoE) — ett dokument som anger omfattning, tidsram, tillåtna metoder, kontaktpersoner och eskaleringsvägar för ett uppdrag. Detta är standardpraxis inom branschen och en förutsättning för lagligt arbete.
• Ansvarsfull rapportering ("responsible disclosure") av sårbarheter man upptäcker, samt "bug bounty"-program som ett lagligt sätt att öva på riktiga system med tillstånd.
• Yrkesetiska koder, t.ex. (ISC)²:s och EC-Councils etiska kodex, som betonar integritet, konfidentialitet och att agera inom lagens ramar.
• Rekommendation: Deltagare som avser arbeta professionellt med detta bör alltid stämma av aktuell lagstiftning och avtalsvillkor med jurist eller uppdragsgivarens juridiska funktion — lagtexter och praxis förändras över tid.

Övning: Låt deltagarna skriva ett enkelt utkast till Rules of Engagement för ett fiktivt uppdrag (t.ex. test av en liten webbutik), med fält för omfattning, tidsram, kontaktperson och vad som uttryckligen är förbjudet.

---

Learning objectives: Understand the legal framework around security testing and be able to draft a basic authorization document.

Content:

• The single most important concept in the entire course: no security test may be performed without explicit, written authorization from the system owner. Testing systems without authorization is a criminal offense in Sweden (unlawful data intrusion under the Swedish Penal Code) and in most other countries, regardless of intent.
• The basics of GDPR and why handling personal data is especially sensitive during security tests that could expose personal information.
• Rules of Engagement (RoE) — a document specifying scope, timeframe, permitted methods, points of contact, and escalation paths for an engagement. This is standard industry practice and a prerequisite for lawful work.
• Responsible disclosure of vulnerabilities discovered, and bug bounty programs as a lawful way to practice on real systems with authorization.
• Professional codes of ethics, such as those of (ISC)² and EC-Council, which emphasize integrity, confidentiality, and acting within the bounds of the law.
• Recommendation: Participants intending to work professionally in this field should always confirm current legislation and contract terms with a lawyer or their client's legal function — laws and practice change over time.

Exercise: Have participants draft a simple Rules of Engagement for a fictional engagement (e.g., testing a small online store), with fields for scope, timeframe, point of contact, and what is explicitly out of bounds.

---