# แม่แบบ Scope Questionnaire + Vendor Checklist — ITSL

เอกสารช่วยวางแผนจัดซื้อ Pentest ไม่ใช่ TOR สำเร็จรูปหรือคำรับรอง compliance
เริ่มจากข้อมูลที่ไม่เป็นความลับ ห้ามส่ง credentials, API token, session cookie หรือข้อมูลลูกค้าในแบบสอบถามสำหรับคุยครั้งแรก

## A. Scope Questionnaire
- ผู้ประสานงานและช่องทางที่อนุญาต: [กรอก]
- เป้าหมายการทดสอบ / เหตุผลธุรกิจ: [กรอก]
- วันที่ต้องการรายงาน / ช่วง change freeze: [กรอก]
- Web: จำนวนแอปและ workflow สำคัญ: [กรอก]
- API: จำนวน endpoints, เวอร์ชัน และ documentation ที่มี: [กรอก]
- Mobile: iOS/Android, จำนวนแอป, วิธีส่ง test build: [กรอก]
- Network/AD: จำนวน IP/subnet/domain โดยรวม: [กรอก]
- Roles / tenant / สิทธิ์แตกต่างกันอย่างไร: [กรอก]
- Environment: staging หรือ production, ความใกล้เคียงระบบจริง: [กรอก]
- การเข้าถึง: VPN / allowlist / onsite: [กรอกโดยไม่ใส่ข้อมูลลับ]
- บัญชีและข้อมูลทดสอบพร้อมเมื่อใด: [กรอก]
- ระบบ third-party/shared ที่ต้องขออนุญาตเพิ่ม: [กรอก]
- รายการไม่รวม / ข้อจำกัดที่ทราบ: [กรอก]
- ภาษาและรูปแบบรายงาน / ผู้ฟังการนำเสนอ: [กรอก]
- Retest: จำนวนรอบ กำหนดเวลา และ scope: [กรอก]
- งบวางแผนก่อน VAT / VAT / ค่าใช้จ่ายอื่น: [กรอกสมมติฐาน ไม่ใช่ราคาผูกพัน]

## B. Rules of Engagement (ยืนยันก่อนเริ่มงาน)
- [ ] ผู้มีอำนาจอนุญาตเป็นลายลักษณ์อักษร
- [ ] รายการเป้าหมายจริงและรายการนอกขอบเขตยืนยันผ่านช่องทางที่ปลอดภัย
- [ ] วัน เวลา timezone และช่องทางแจ้งเริ่ม/หยุดงาน
- [ ] วิธีที่อนุญาต และข้อห้าม (DoS, social engineering, แก้ข้อมูลจริง ฯลฯ)
- [ ] Stop conditions / ผู้ติดต่อฉุกเฉิน / ขั้นตอนแจ้งเหตุ
- [ ] NDA / ข้อมูลทดสอบ / การปกปิดหลักฐาน
- [ ] ช่องทางส่งรายงานและการเข้ารหัส / สิทธิ์เข้าถึง
- [ ] ระยะเวลาเก็บและวิธีทำลายหลักฐาน
- [ ] กระบวนการอนุมัติ scope หรือค่าใช้จ่ายเพิ่มเติม

## C. Vendor Checklist — ใช้เทียบข้อเสนอทุกบริษัท
ใช้คำตอบและหลักฐาน ไม่ใช้จำนวน badges หรือคำรับประกันการผ่าน regulator เป็นตัวตัดสิน

| คำถาม | คำตอบผู้เสนอราคา | เอกสารอ้างอิง / ต้องยืนยันเพิ่ม |
| --- | --- | --- |
| วิธีทดสอบเหมาะกับ scope อย่างไร? ส่วน manual/automated คืออะไร? | [กรอก] | [กรอก] |
| ผู้รับผิดชอบงานและผู้ตรวจทานคือใคร? มีหลักฐานคุณสมบัติตรวจได้หรือไม่? | [กรอก] | [กรอก] |
| รายงานมีหลักฐานที่ทำซ้ำได้ เหตุผลความเสี่ยง และข้อจำกัดหรือไม่? | [กรอก] | [กรอก] |
| วันเตรียมงาน ทดสอบ เขียนรายงาน และนำเสนอแยกชัดหรือไม่? | [กรอก] | [กรอก] |
| Retest รวมกี่รอบ ภายในเมื่อใด และมีค่าใช้จ่ายส่วนเพิ่มอย่างไร? | [กรอก] | [กรอก] |
| NDA การอนุญาตทดสอบ และการจัดการข้อมูลครอบคลุมหรือไม่? | [กรอก] | [กรอก] |
| Scope เปลี่ยนหรือเข้าถึงระบบไม่ได้ คิดเวลาและค่าใช้จ่ายอย่างไร? | [กรอก] | [กรอก] |
| ยอดก่อน VAT, VAT, ค่าเดินทาง/นอกเวลา และเงื่อนไขชำระเงินชัดหรือไม่? | [กรอก] | [กรอก] |

## D. ก่อนส่งข้อมูลเพิ่มเติม
- [ ] ฝ่าย IT และเจ้าของระบบทบทวนจำนวนและขอบเขต
- [ ] ฝ่ายจัดซื้อทบทวนสิ่งส่งมอบ เงื่อนไขและรายการไม่รวม
- [ ] ฝ่ายที่เกี่ยวข้องยืนยันข้อกำหนดที่ใช้กับองค์กร
- [ ] ตกลง NDA ผู้รับข้อมูลและช่องทางปลอดภัยก่อนส่งข้อมูลลับ