企業のセキュリティ診断として、実際に攻撃者の視点でシステムへの侵入を試みる行為を何と呼ぶか。

ビジネスポリシー文書の一つで、二者間での合意事項を記載するが、法的な拘束力が必ずしもあるとは限らない覚書を何と呼ぶか。