Zásady koordinovaného zveřejňování zranitelností
Jak zpracováváme hlášení zranitelností a jak je zveřejňujeme
Účel
BudgetBakers vítá odpovědné hlášení bezpečnostních zranitelností ve svých produktech.
Cílem těchto zásad je umožnit bezpečnostním výzkumníkům, uživatelům i dalším osobám bezpečně nahlásit potenciální zranitelnost tak, aby mohla být prošetřena a odstraněna dříve, než budou zveřejněny technické detaily.
Rozsah
Tyto zásady se vztahují na potenciální bezpečnostní zranitelnosti v produktech BudgetBakers. Vztahují se také na zranitelnosti v komponentách třetích stran, pokud:
- Je komponenta součástí produktu BudgetBakers, nebo
- Její zranitelnost ovlivňuje bezpečnost produktu BudgetBakers
Nevztahují se na samostatné produkty třetích stran, které nejsou součástí produktu BudgetBakers a nemají vliv na jeho bezpečnost.
Pravidla bezpečnostního výzkumu
BudgetBakers žádá oznamovatele, aby:
- Jednali v dobré víře a s cílem zlepšit bezpečnost
- Pokud možno testovali pouze své vlastní účty a svá data
- Co nejméně přistupovali k datům jiných uživatelů
- Nekopírovali ani neuchovávali osobní nebo finanční údaje, pokud to není nutné k prokázání zranitelnosti
- Pokud omylem získají přístup k datům jiného uživatele, v testování tímto směrem dál nepokračovali
- Nenarušovali dostupnost služby
- Neprováděli DoS/DDoS testy
- Nepoužívali sociální inženýrství vůči zaměstnancům ani uživatelům
- Neprováděli fyzické útoky
- Neprováděli destruktivní testování
- Nevyužívali získaný přístup k ničemu jinému než k ověření zranitelnosti
Co se děje po nahlášení
Po obdržení hlášení BudgetBakers:
- 1Zaeviduje hlášení
- 2Provede prvotní posouzení závažnosti
- 3V případě potřeby si od oznamovatele vyžádá doplňující informace
- 4Ověří, zda lze zranitelnost zopakovat, a posoudí její dopad
- 5Rozhodne, jak zranitelnost odstranit nebo zmírnit
- 6Koordinuje případné zveřejnění
- 7Informuje oznamovatele o výsledku, je-li to vhodné
Koordinované zveřejnění
Žádáme oznamovatele, aby technické detaily zranitelnosti nezveřejňovali dříve, než budou mít uživatelé k dispozici opravu nebo jiné vhodné opatření, případně před jiným datem dohodnutým s BudgetBakers.
BudgetBakers bude zveřejnění s oznamovatelem koordinovat rozumným a transparentním způsobem.
Bug bounty
BudgetBakers v současnosti neprovozuje veřejný program bug bounty. Samotné nahlášení zranitelnosti nezakládá nárok na finanční ani jinou odměnu.
Ve výjimečných případech může BudgetBakers podle vlastního uvážení nabídnout odměnu za obzvlášť závažný nebo dobře zdokumentovaný nález.
Odpovědný výzkum a právní ochrana (safe harbour)
BudgetBakers nemá v úmyslu podnikat právní kroky jen kvůli bezpečnostnímu výzkumu, který byl proveden v dobré víře a v souladu s těmito zásadami.
To neplatí pro jednání, jehož cílem je poškodit společnost, její uživatele nebo třetí strany, ani pro jednání, které zjevně překračuje to, co je k ověření zranitelnosti nezbytné.
Našli jste zranitelnost?
Nahlaste ji přes naše bezpečnostní kontaktní místo.