系统渗透测试安全技术服务协议.docVIP

系统渗透测试安全技术服务协议

甲方（委托方）：[甲方全称]

统一社会信用代码：[甲方代码]

地址：[甲方地址]

联系人：[甲方联系人]

联系邮箱：[甲方邮箱]

乙方（受托方）：[乙方全称]

统一社会信用代码：[乙方代码]

地址：[乙方地址]

联系人：[乙方联系人]

联系邮箱：[乙方邮箱]

鉴于甲方系[甲方业务领域]企业，需对其授权的信息系统进行安全渗透测试以识别潜在风险；乙方系具备信息安全服务资质的专业机构，拥有开展渗透测试的技术能力与合法资质，双方经平等协商，达成如下协议：

一、服务内容与范围

1.服务内容：乙方依据本协议约定，对甲方授权的信息系统开展安全渗透测试，具体包括：

（1）信息收集：通过公开渠道及授权范围内的合法手段收集系统资产信息；

（2）漏洞扫描：使用经甲方确认的工具对授权系统进行漏洞扫描；

（3）漏洞验证：对扫描发现的潜在漏洞进行人工验证，排除误报；

（4）利用测试：在授权范围内对确认的高危漏洞进行非破坏性利用，验证风险影响；

（5）报告撰写：输出符合行业标准的渗透测试报告。

2.测试范围：甲方授权乙方测试的系统清单详见附件1《渗透测试系统授权清单》（含系统IP、域名、业务模块、环境类型[非生产/生产]等），乙方不得超出该清单范围开展任何测试活动。

3.禁止行为：乙方测试过程中严禁：

（1）破坏授权系统的正常业务运行、篡改或窃取任何数据；

（2）使用暴力破解、DDoS等可能导致系统崩溃的攻击手段；

（3）测试未列入附件1的系统或甲方明确禁止的功能模块；

（4）向任何第三方泄露测试过程中接触的甲方信息。

二、服务期限

1.服务期限自本协议签订之日起【】个工作日，具体进度如下：

（1）第1-3个工作日：乙方提交《渗透测试方案》，经甲方确认后启动测试；

（2）第4-【】个工作日：开展渗透测试工作；

（3）测试结束后3个工作日内：乙方交付最终报告。

2.因甲方未及时提供配合（如未按时提供测试账号、应急联系人未响应）导致服务延迟的，服务期限相应顺延，乙方不承担违约责任。

三、双方权利义务

（一）甲方权利义务

1.义务：

（1）签订本协议时向乙方提供附件1《渗透测试系统授权清单》及加盖公章的《渗透测试授权书》（附件2）；

（2）提供测试所需的系统架构图、业务流程说明、非生产环境测试账号（若需测试生产环境，需明确告知并指定专人全程配合）；

（3）指定1-2名应急联系人，测试期间保持通讯畅通，接到乙方故障通知后1小时内响应；

（4）收到测试报告后5个工作日内组织验收。

2.权利：

（1）监督乙方服务进度，要求乙方对不符合约定的测试内容进行整改；

（2）验收通过后获得完整的渗透测试报告；

（3）要求乙方对测试过程中发现的重大漏洞提供紧急修复建议。

（二）乙方权利义务

1.义务：

（1）向甲方出示有效的信息安全服务资质证明（如等保测评机构资质、CISP持证人员证明等，附件3）；

（2）测试前制定《渗透测试方案》，明确测试方法、工具、应急预案，经甲方确认后方可实施；

（3）测试中发现高危漏洞（CVSS评分≥7.0）时，需立即停止相关测试并在1小时内书面通知甲方应急联系人；

（4）测试结束后交付《渗透测试报告》，内容需包含：漏洞列表（含编号、描述、CVSS评分、影响范围）、风险等级（高/中/低）、修复建议、验证结果；

（5）对测试过程中接触的甲方所有信息（含系统数据、业务逻辑、漏洞信息）承担保密责任。

2.权利：

（1）要求甲方按时提供测试所需的配合资料；

（2）按本协议约定收取服务费用；

（3）因甲方原因导致服务无法正常开展时，有权暂停服务并书面通知甲方。

四、交付成果与验收

1.交付成果：乙方需交付《渗透测试方案》（确认稿）、《渗透测试报告》（纸质版1份+电子版1份）。

2.验收标准：

（1）报告内容完整，漏洞描述准确，修复建议具有可操作性；

（2）未超出附件1约定的测试范围，无违规操作记录；

（3）重大漏洞（CVSS≥7.0）已明确验证结果及修复建议。

3.验收流程：

（1）甲方收到报告后5个工作日内组织验收，填写《验收确认单》（附件4）；

（2）验收不合格的，乙方需在3个工作日内整改并重新交付，整改不计入原服务期限；

（3）验收合格的，双方签字确认《验收确认单》，服务完成。

五、费用与支付

1.服务费用：本协议总费用为人民币【】元（大写：【】元整），包含测试工具使用费、人工服务费、报告撰写费，不含增值税发票（若需开具，税率为【】%，税额由甲方承担）。

2.支付方式：

（1）本协议签订后5个工作日内，甲方支付总费用的30%作为预付款，即人民币【】元；

（2）《渗透测试报告》经甲方验收合格后5个工作日内，甲方支付剩余70%尾款，即人民币【】元。

3.支付账户：乙方指定收款账户：

开户行：【】

账户名称：【】

账号：【】

六、保密