ペネトレーションテストにおいて、テスト対象のシステムがクラウドプロバイダー（AWSやAzureなど）上にある場合、テスト開始前に必ず確認すべき事項はどれか。

テスト中に、クライアントから提供された範囲（IPリスト）に含まれていないが、明らかにクライアントの所有と思われる脆弱なサーバーを発見した場合、テスターが取るべき正しい行動はどれか。