מדיניות חשיפה מתואמת של פגיעויות

כיצד אנו מטפלים בדיווחים על פגיעויות ובחשיפתן

מטרה

BudgetBakers מברכת על דיווח אחראי על פגיעויות אבטחה במוצריה.

מטרת מדיניות זו היא לאפשר לחוקרי אבטחה, למשתמשים ולגורמים נוספים לדווח בבטחה על פגיעויות אפשריות, ולאפשר את בדיקתן ותיקונן לפני שהפרטים הטכניים יפורסמו.

היקף

מדיניות זו חלה על פגיעויות אבטחה אפשריות במוצרי BudgetBakers. היא חלה גם על פגיעויות ברכיבי צד שלישי כאשר:

  • הרכיב משולב במוצר של BudgetBakers, או
  • הפגיעות בו משפיעה על אבטחת מוצר של BudgetBakers

המדיניות אינה חלה על מוצרי צד שלישי עצמאיים שאינם חלק ממוצר של BudgetBakers ואין להם השפעה על אבטחתו.

כללי מחקר אבטחה

BudgetBakers מבקשת מהמדווחים:

  • לפעול בתום לב ובמטרה לשפר את האבטחה
  • לבדוק רק את החשבונות והנתונים שלהם עצמם, ככל האפשר
  • למזער גישה לנתונים של משתמשים אחרים
  • לא להעתיק או לשמור נתונים אישיים או פיננסיים, אלא אם הדבר נדרש להוכחת הפגיעות
  • להפסיק בדיקות נוספות באותו כיוון אם ניגשו בטעות לנתונים של משתמש אחר
  • לא לפגוע בזמינות השירות
  • לא לבצע בדיקות DoS/DDoS
  • לא להשתמש בהנדסה חברתית נגד עובדים או משתמשים
  • לא לבצע תקיפות פיזיות
  • לא לבצע בדיקות הרסניות
  • לא להשתמש בגישה שהושגה לכל מטרה אחרת מלבד אימות הפגיעות

מה קורה אחרי הדיווח

לאחר קבלת דיווח, BudgetBakers:

  1. 1תתעד את הדיווח
  2. 2תבצע סיווג אבטחתי ראשוני
  3. 3תבקש מידע נוסף מהמדווח במידת הצורך
  4. 4תאמת את יכולת השחזור וההשפעה של הפגיעות
  5. 5תחליט כיצד לתקן או לצמצם אותה
  6. 6תתאם כל פרסום פומבי
  7. 7תעדכן את המדווח בתוצאות, במקרים המתאימים

חשיפה מתואמת

אנו מבקשים מהמדווחים לא לפרסם פרטים טכניים של פגיעות לפני שתיקון או פתרון הולם יהיה זמין למשתמשים, או לפני מועד אחר שסוכם עם BudgetBakers.

BudgetBakers תשתדל לתאם את החשיפה עם המדווח באופן סביר ושקוף.

Bug bounty

BudgetBakers אינה מפעילה כיום תוכנית bug bounty ציבורית. דיווח על פגיעות אינו מקנה כשלעצמו זכות לתגמול כספי או אחר.

במקרים חריגים, BudgetBakers רשאית, לפי שיקול דעתה הבלעדי, להציע תגמול על ממצא אבטחה משמעותי במיוחד או מתועד היטב.

מחקר אחראי / הגנה משפטית (safe harbour)

BudgetBakers אינה מתכוונת לנקוט הליכים משפטיים אך ורק בשל מחקר אבטחה שבוצע בתום לב ובהתאם למדיניות זו.

הדבר אינו חל על התנהגות שנועדה לפגוע בחברה, במשתמשיה או בצדדים שלישיים, או על התנהגות החורגת בבירור מהנדרש לאימות הפגיעות.

מצאתם פגיעות?

דווחו עליה דרך נקודת הקשר לאבטחה שלנו.

דיווח על פגיעות אבטחה