Disclaimer Read this first: Disclaimer Lees dit eerst: The OSEFP framework is intended exclusively for educational purposes, awareness training, and authorised security assessments. Applying social engineering techniques without explicit written consent from the owner of the target system or organisation is a criminal offence under Dutch and European law. Het OSEFP-framework is uitsluitend bedoeld voor educatieve doeleinden, bewustzijnstraining en geautoriseerde beveiligingsbeoordelingen. Het toepassen van social engineering-technieken zonder uitdrukkelijke schriftelijke toestemming van de eigenaar van het doelsysteem of de organisatie is een strafbaar feit onder Nederlands en Europees recht.
Module 08

Ethics & Law Ethiek & Recht

Knowledge is neutral its application is not. The techniques documented in the OSEFP framework can be used to strengthen security, but also to harm people and organisations. This distinction requires an explicit ethical guide.

Kennis is neutraal de toepassing ervan niet. De technieken die in het OSEFP-framework zijn gedocumenteerd kunnen worden gebruikt om de beveiliging te versterken, maar ook om mensen en organisaties schade toe te brengen. Dit onderscheid vereist een expliciete ethische leidraad.

Ethical Framework Ethisch Kader

OSEFP adheres to the following ethical principles as a guide for everyone using the framework:

OSEFP hanteert de volgende ethische principes als leidraad voor iedereen die het framework gebruikt:

✓

Permitted useToegestaan gebruik

  • ▸ Employee awareness trainingBewustzijnstraining voor medewerkers
  • ▸ Authorised penetration tests with written consentGeautoriseerde penetratietests met schriftelijke toestemming
  • ▸ Academic and scientific researchAcademisch en wetenschappelijk onderzoek
  • ▸ Defensive documentation and policy developmentDefensieve documentatie en beleidsontwikkeling
  • ▸ CTF competitions and security exercisesCTF-competities en beveiligingsoefeningen
✗

Prohibited useVerboden gebruik

  • ▸ Attacks without explicit written consentAanvallen zonder expliciete schriftelijke toestemming
  • ▸ Fraud, scamming, and financial gain through manipulationFraude, oplichting en financieel gewin door manipulatie
  • ▸ Stalking, intimidation, or personal harmStalking, intimidatie of persoonlijk letsel
  • ▸ Identity theft and impersonation for personal gainIdentiteitsdiefstal en imitatie voor persoonlijk gewin
  • ▸ Political manipulation or disinformationPolitieke manipulatie of desinformatie

Consent & Scope Toestemming & Scope

For every authorised social engineering assessment: written consent is not optional but an absolute prerequisite. A verbal agreement offers insufficient protection for the pentester.

Voor elke geautoriseerde social engineering-beoordeling: schriftelijke toestemming is niet optioneel maar een absolute vereiste. Een mondelinge overeenkomst biedt onvoldoende bescherming voor de pentester.

Minimum content of a scope documentMinimale inhoud van een scopedocument

  1. Name and signature of an authorised representative of the client
  2. Naam en handtekening van een bevoegde vertegenwoordiger van de opdrachtgever
  3. Description of the target: Which systems, employees, locations are in scope?
  4. Beschrijving van het doelwit: Welke systemen, medewerkers, locaties zijn in scope?
  5. Time period: Start and end date of the assignment
  6. Tijdsperiode: Start- en einddatum van de opdracht
  7. Permitted methods: Phishing, vishing, physical penetration what is explicitly permitted?
  8. Toegestane methoden: Phishing, vishing, fysieke penetratie wat is expliciet toegestaan?
  9. Exclusions: What is explicitly out of scope?
  10. Uitsluitingen: Wat is expliciet buiten scope?
  11. Emergency contact: Who to reach in case of an out-of-scope incident?
  12. Noodcontact: Wie bereiken bij een incident buiten scope?
  13. Confidentiality: Which employees are aware? (blind test vs. announced test)
  14. Vertrouwelijkheid: Welke medewerkers zijn op de hoogte? (blinde test vs. aangekondigde test)

A "get out of jail free card" an indemnity letter with scope and contact details of the client must always be carried during physical social engineering tests.

Een "vrijbrief" een vrijwaringsbrief met scope en contactgegevens van de opdrachtgever moet altijd worden meegedragen tijdens fysieke social engineering-tests.

Legal Framework Juridisch Kader

Social engineering activities touch on multiple areas of Dutch and European law. Below is an overview of the most relevant legislation and regulations.

Social engineering-activiteiten raken meerdere gebieden van het Nederlandse en Europese recht. Hieronder een overzicht van de meest relevante wetgeving en regelgeving.

GDPR / AVG

The General Data Protection Regulation (GDPR, European Regulation 2016/679) applies to any social engineering activity in which personal data is collected, processed, or stored.

De Algemene Verordening Gegevensbescherming (AVG, Europese Verordening 2016/679) is van toepassing op elke social engineering-activiteit waarbij persoonsgegevens worden verzameld, verwerkt of opgeslagen.

  • OSINT research: Collecting personal data for an assessment constitutes processing under the GDPR. This requires a valid legal basis (typically legitimate interest or consent from the data subject via the client)
  • OSINT-onderzoek: Het verzamelen van persoonsgegevens voor een beoordeling vormt verwerking onder de AVG. Dit vereist een geldige rechtsgrond (doorgaans gerechtvaardigd belang of toestemming van de betrokkene via de opdrachtgever)
  • Data minimisation: Do not collect more personal data than necessary for the assignment
  • Dataminimalisatie: Verzamel niet meer persoonsgegevens dan noodzakelijk voor de opdracht
  • Retention period: Delete collected personal data after completion of the assignment
  • Bewaartermijn: Verwijder verzamelde persoonsgegevens na voltooiing van de opdracht
  • Data breaches: In the event of a data breach resulting from social engineering, there is a 72-hour notification obligation to the supervisory authority
  • Datalekken: Bij een datalek als gevolg van social engineering geldt een meldplicht van 72 uur bij de toezichthoudende autoriteit
  • Data processing agreement: When conducted by an external party, a data processing agreement is mandatory
  • Verwerkersovereenkomst: Bij uitvoering door een externe partij is een verwerkersovereenkomst verplicht

Dutch Criminal Law Nederlands Strafrecht

ProvisionBepaling DescriptionOmschrijving Maximum penaltyMaximale straf
Art. 138ab WvSr Computer intrusion (unauthorised access to systems)Computervredebreuk (ongeautoriseerde toegang tot systemen) 2–5 years imprisonment2–5 jaar gevangenisstraf
Art. 326 WvSr Fraud (inducing handover by deception or misleading)Oplichting (bewegen tot afgifte door bedrog of misleiding) 4 years imprisonment4 jaar gevangenisstraf
Art. 231 WvSr Identity fraud (use of another person's identity data)Identiteitsfraude (gebruik van andermans identiteitsgegevens) 5 years imprisonment5 jaar gevangenisstraf
Art. 350a WvSr Destruction of computer dataVernieling van computergegevens 4 years imprisonment4 jaar gevangenisstraf
Art. 139c WvSr Interception of communicationsAftappen van communicatie 2 years imprisonment2 jaar gevangenisstraf

NIS2 DirectiveNIS2-richtlijn

The European NIS2 Directive (Network and Information Security) requires organisations in critical sectors to implement security measures, including awareness training and incident response. Social engineering awareness is an explicit requirement.

De Europese NIS2-richtlijn (Netwerk- en Informatiebeveiliging) verplicht organisaties in kritieke sectoren beveiligingsmaatregelen te implementeren, waaronder bewustzijnstraining en incidentrespons. Bewustzijn van social engineering is een expliciete vereiste.

Guidelines for Security Professionals Richtlijnen voor Beveiligingsprofessionals

Security professionals applying the OSEFP framework in practice are expected to follow these guidelines:

Van beveiligingsprofessionals die het OSEFP-framework in de praktijk toepassen wordt verwacht dat zij deze richtlijnen volgen:

Before an engagementVoor een opdracht

  • Written assignment and scope document signed by authorised authority
  • Schriftelijke opdracht en scopedocument ondertekend door bevoegde autoriteit
  • Legal check on applicable law (cross-border engagements)
  • Juridische check op toepasselijk recht (grensoverschrijdende opdrachten)
  • Emergency procedure and escalation protocol established
  • Noodprocedure en escalatieprotocol vastgesteld

During an engagementTijdens een opdracht

  • Stay within the agreed scope stop immediately when in doubt
  • Blijf binnen de overeengekomen scope stop onmiddellijk bij twijfel
  • Do not cause actual damage to systems, data, or people
  • Veroorzaak geen werkelijke schade aan systemen, gegevens of mensen
  • Document all activities in detail
  • Documenteer alle activiteiten gedetailleerd
  • Immediately report to the client if you discover something outside scope that poses an acute risk
  • Rapporteer onmiddellijk aan de opdrachtgever als u iets buiten scope ontdekt dat een acuut risico vormt
  • Treat simulation victims respectfully and professionally
  • Behandel simulatieslachtoffers respectvol en professioneel

After an engagementNa een opdracht

  • Securely delete collected personal data
  • Verwijder verzamelde persoonsgegevens veilig
  • Reporting focused on vulnerabilities and recommendations, not on individual employee failure
  • Rapportage gericht op kwetsbaarheden en aanbevelingen, niet op individueel medewerkersfalen
  • Avoid naming and shaming individuals who display undesired behaviour
  • Vermijd het benoemen en beschamen van individuen die ongewenst gedrag vertonen
  • Debriefing with the client including improvement recommendations
  • Debriefing met de opdrachtgever inclusief verbeteraanbevelingen
Responsibility: Verantwoordelijkheid: The OSEFP project accepts no liability for misuse of the information in this framework. Users are at all times solely responsible for compliance with applicable laws and regulations. Het OSEFP-project aanvaardt geen aansprakelijkheid voor misbruik van de informatie in dit framework. Gebruikers zijn te allen tijde zelf verantwoordelijk voor naleving van de toepasselijke wet- en regelgeving.
About the OSEFP project Over het OSEFP-project Back to framework Terug naar framework