Polityka Skoordynowanego Ujawniania Podatności
Wstęp
Firma Elproma jest zaangażowana w zapewnienie bezpieczeństwa naszych produktów i systemów.
Niniejsza polityka ma na celu dostarczenie badaczom bezpieczeństwa jasnych wytycznych dotyczących prowadzenia działań związanych z wykrywaniem podatności oraz przekazanie naszych preferencji w zakresie sposobu zgłaszania nam odkrytych luk.
Polityka ta określa, jakie systemy i rodzaje badań są nią objęte, jak przesyłać nam raporty o podatnościach oraz jak długo prosimy badaczy bezpieczeństwa o wstrzymanie się przed publicznym ujawnieniem luk.
Zachęcamy do kontaktu z nami w celu zgłaszania potencjalnych podatności w naszych systemach.
Safe Harbour
Jeśli podczas swoich badań nad bezpieczeństwem dołożysz starań w dobrej wierze, aby przestrzegać niniejszej polityki, uznamy Twoje działania za autoryzowane, będziemy z Tobą współpracować w celu szybkiego zrozumienia i rozwiązania problemu, a firma Elproma nie zaleci ani nie podejmie kroków prawnych w związku z Twoimi badaniami. W przypadku wszczęcia przeciwko Tobie kroków prawnych przez stronę trzecią za działania, które zostały przeprowadzone zgodnie z niniejszą polityką, poinformujemy o udzielonej autoryzacji.
Wytyczne
W ramach niniejszej polityki „badania” oznaczają działania, w których:
- Powiadamiasz nas tak szybko, jak to możliwe, po odkryciu rzeczywistego lub potencjalnego problemu związanego z bezpieczeństwem.
- Dokładasz wszelkich starań, aby uniknąć naruszeń prywatności, pogorszenia komfortu użytkowania, zakłócenia działania systemów produkcyjnych oraz zniszczenia lub manipulacji danymi.
- Używasz exploitów tylko w zakresie niezbędnym do potwierdzenia obecności podatności. Nie używasz exploitów do naruszania bezpieczeństwa lub wycieku danych, ustanawiania trwałego dostępu do wiersza poleceń ani do przemieszczania się do innych systemów.
- Zapewniasz nam uzasadniony czas na rozwiązanie problemu przed jego publicznym ujawnieniem.
- Nie przesyłasz dużej ilości raportów niskiej jakości.
Po potwierdzeniu istnienia podatności lub w przypadku natrafienia na jakiekolwiek dane wrażliwe (w tym dane osobowe, informacje finansowe, informacje zastrzeżone lub tajemnice handlowe jakiejkolwiek strony), musisz przerwać testy, natychmiast nas powiadomić i nie ujawniać tych danych nikomu innemu.
Metody testowania
Następujące metody testowania nie są autoryzowane:
- Sieciowe testy odmowy usługi (DoS lub DDoS) oraz inne testy, które utrudniają dostęp do systemu lub danych, albo powodują ich uszkodzenie.
- Testy fizyczne (np. dostęp do biura, otwarte drzwi, tailgating), inżynieria społeczna (np. phishing, vishing) ani żadne inne nietechniczne testowanie podatności.
Zgłaszanie podatności
Przyjmujemy zgłoszenia podatności pod adresem security@elpromaelectronics.com.
Zgłoszenia można przesyłać anonimowo. Jeśli udostępnisz dane kontaktowe, potwierdzimy
otrzymanie zgłoszenia w ciągu 3 dni roboczych.
Czego od Ciebie oczekujemy
Aby ułatwić nam klasyfikację i nadanie priorytetu zgłoszeniom, zalecamy, aby przesyłane raporty:
- Opisywały miejsce wykrycia podatności oraz potencjalne skutki jej wykorzystania.
- Zawierały szczegółowy opis kroków niezbędnych do odtworzenia podatności (pomocne będą skrypty typu Proof of Concept lub zrzuty ekranu).
- Wskazywały, czy podatność jest już publicznie znana lub aktywnie wykorzystywana.
- W miarę możliwości były sporządzone w języku angielskim lub polskim.
Czego możesz oczekiwać od nas
Jeśli zdecydujesz się udostępnić nam swoje dane kontaktowe, zobowiązujemy się do koordynacji z Tobą w sposób jak najbardziej otwarty i szybki.
W ciągu 3 dni roboczych potwierdzimy otrzymanie Twojego zgłoszenia.
W miarę naszych najlepszych możliwości potwierdzimy Ci istnienie podatności i będziemy tak transparentni, jak to tylko możliwe, w kwestii kroków podejmowanych w procesie naprawczym, w tym w kwestii problemów lub wyzwań, które mogą opóźnić jej rozwiązanie.
Będziemy prowadzić otwarty dialog w celu omawiania problemów.
Koordynacja i ujawnianie informacji
Elproma stosuje podejście oparte na skoordynowanym ujawnianiu informacji, aby zminimalizować ryzyko i zapewnić przejrzystość:
- W miarę możliwości podatności są usuwane przed ich publicznym ujawnieniem.
- Ujawnienie informacji jest koordynowane ze stroną zgłaszającą, gdy tylko jest to wykonalne.
- Obowiązuje maksymalny termin 90 dni na ujawnienie informacji, chyba że uzgodniono inaczej.
Pytania
Pytania dotyczące niniejszej polityki można kierować na adres security@elpromaelectronics.com.
Zapraszamy również do kontaktu z nami w celu przekazania sugestii dotyczących ulepszenia tej polityki.
