درود بر شما :)
کلیه فعالیت هایی که مصداق قانون مجازات جرائم رایانه ای و سایر قوانین ج.ا.ا باشد، به عنوان جرم در نظر گرفته خواهد شد مگر اینکه با هماهنگی با مسئولین ذیربط انجام شود.

به طور کلّی از آنجایی که فعالیت های تست نفوذ، غالباً شامل فعالیت هایی است که امنیت اطلاعات را دچار مخاطره می کند، فلذا شرکت/سازمان/شخص هدف، صرف نظر از ادعای شما، می توان اقامه دعوی نماید به همین دلیل یکی از مواردی که در انجام تست نفوذ می بایست مد نظر قرار داده شود، وجود یک قرار داد مشخص و معتبر از نظر حقوقی و مشخص بودن حوزه کار (Scope) می باشد که در صورت رعایت این دو نکته، در چارچوب قرارداد می توان بدون نگرانی از عواقب قانونی "در چارچوب قرارداد" اقدام به تست نفوذ نمود.

شاد و خوش باشید