Politica di divulgazione coordinata delle vulnerabilità
Come gestiamo le segnalazioni di vulnerabilità e la loro divulgazione
Scopo
BudgetBakers accoglie con favore la segnalazione responsabile delle vulnerabilità di sicurezza nei suoi prodotti.
Lo scopo di questa politica è consentire a ricercatori di sicurezza, utenti e altre parti di segnalare in modo sicuro potenziali vulnerabilità, e permettere che vengano esaminate e corrette prima che i dettagli tecnici siano resi pubblici.
Ambito
Questa politica si applica alle potenziali vulnerabilità di sicurezza nei prodotti BudgetBakers. Copre anche le vulnerabilità nei componenti di terze parti quando:
- Il componente è integrato in un prodotto BudgetBakers, oppure
- La sua vulnerabilità compromette la sicurezza di un prodotto BudgetBakers
Non si applica ai prodotti di terze parti autonomi che non fanno parte di un prodotto BudgetBakers e non hanno alcun impatto sulla sua sicurezza.
Regole per la ricerca sulla sicurezza
BudgetBakers chiede a chi segnala di:
- Agire in buona fede e con l'obiettivo di migliorare la sicurezza
- Testare solo i propri account e i propri dati, ove possibile
- Ridurre al minimo l'accesso ai dati di altri utenti
- Non copiare né conservare dati personali o finanziari, salvo che sia necessario per dimostrare la vulnerabilità
- Interrompere ulteriori test in quella direzione in caso di accesso accidentale ai dati di un altro utente
- Non compromettere la disponibilità del servizio
- Non eseguire test DoS/DDoS
- Non usare l'ingegneria sociale contro dipendenti o utenti
- Non effettuare attacchi fisici
- Non eseguire test distruttivi
- Non usare l'accesso ottenuto per scopi diversi dalla verifica della vulnerabilità
Cosa succede dopo la segnalazione
Una volta ricevuta una segnalazione, BudgetBakers:
- 1Registra la segnalazione
- 2Effettua un primo triage di sicurezza
- 3Richiede ulteriori informazioni a chi segnala, se necessario
- 4Verifica la riproducibilità e l'impatto della vulnerabilità
- 5Stabilisce come correggerla o mitigarla
- 6Coordina l'eventuale divulgazione pubblica
- 7Informa chi ha segnalato dell'esito, ove opportuno
Divulgazione coordinata
Chiediamo a chi segnala di non pubblicare i dettagli tecnici di una vulnerabilità prima che una correzione o una mitigazione adeguata sia disponibile per gli utenti, o prima di un'altra data concordata con BudgetBakers.
BudgetBakers si impegnerà a coordinare la divulgazione con chi segnala in modo ragionevole e trasparente.
Bug bounty
BudgetBakers attualmente non gestisce un programma pubblico di bug bounty. La segnalazione di una vulnerabilità non dà di per sé diritto a una ricompensa economica o di altro tipo.
In casi eccezionali, BudgetBakers può, a sua esclusiva discrezione, offrire una ricompensa per una scoperta di sicurezza particolarmente significativa o ben documentata.
Ricerca responsabile / safe harbour
BudgetBakers non intende intraprendere azioni legali esclusivamente per attività di ricerca sulla sicurezza svolte in buona fede e in conformità con questa politica.
Ciò non si applica a condotte volte a danneggiare l'azienda, i suoi utenti o terze parti, né a condotte che eccedono chiaramente quanto necessario per verificare la vulnerabilità.
Hai trovato una vulnerabilità?
Segnalala tramite il nostro punto di contatto per la sicurezza.