Policy di divulgazione delle vulnerabilità

Socialinsider - un prodotto di Code Path SRL

Socialinsider si impegna a garantire la sicurezza dei suoi utenti proteggendo le loro informazioni. Questa policy fornisce ai ricercatori di sicurezza linee guida per individuare le vulnerabilità e istruzioni su come segnalarcele.

Questa policy descrive quali sistemi e tipi di ricerca rientrano nell'ambito della policy, come inviarci segnalazioni di vulnerabilità e quanto chiediamo ai ricercatori di sicurezza di attendere prima di divulgare pubblicamente le vulnerabilità. Ti invitiamo a contattarci per segnalare potenziali vulnerabilità nei nostri sistemi.

Se durante la tua ricerca di sicurezza ti impegni in buona fede a rispettare questa policy, considereremo la tua ricerca autorizzata e collaboreremo con te per comprendere e risolvere rapidamente il problema. Socialinsider non consiglierà né intraprenderà azioni legali relative alla tua ricerca. Qualora una terza parte avviasse un'azione legale contro di te per attività condotte in conformità con questa policy, renderemo nota questa autorizzazione.

Linee guida

Ai sensi di questa policy, per “ricerca” si intendono le attività in cui tu, in qualità di ricercatore di sicurezza:

• Ci informi il prima possibile dopo aver scoperto qualsiasi problema di sicurezza.
• Fai tutto il possibile per evitare violazioni della privacy, il peggioramento dell'esperienza utente, interruzioni dei sistemi in produzione e la distruzione o manipolazione dei dati.
• Utilizzi gli exploit solo nella misura necessaria per confermare la presenza di una vulnerabilità. Non utilizzare un exploit per compromettere o esfiltrare dati, stabilire un accesso persistente alla riga di comando o sfruttarlo per accedere ad altri sistemi.
• Ci conceda un periodo di tempo ragionevole per risolvere il problema prima di divulgarlo pubblicamente.
• Non invii un numero elevato di segnalazioni di bassa qualità.

Per aiutarci a comprendere le segnalazioni, ti consigliamo di includere:

• La posizione in cui è stata rilevata la vulnerabilità e il potenziale impatto del suo sfruttamento.
• Una descrizione dettagliata dei passaggi necessari per riprodurre la vulnerabilità: screenshot o registrazioni video possono essere utili.
• Scrivi la segnalazione in inglese

Dopo aver accertato l'esistenza di una vulnerabilità o aver trovato dati sensibili (incluse informazioni personali identificabili, informazioni finanziarie o informazioni proprietarie e segreti commerciali di qualsiasi parte), devi interrompere il test, informarci immediatamente e non divulgare questi dati a nessun altro.

Pratiche vietate

I seguenti metodi di test non sono autorizzati:

• Test di negazione del servizio (DoS o DDoS) o altri test che compromettono l'accesso ai sistemi
• Test non tecnici delle vulnerabilità

Questa policy si applica ai seguenti sistemi e servizi:

• https://www.socialinsider.io
• https://app.socialinsider.io

Qualsiasi servizio non espressamente elencato sopra, come eventuali servizi connessi, è escluso dall'ambito e non è autorizzato per i test.
Inoltre, le vulnerabilità individuate nei sistemi dei nostri fornitori non rientrano nell'ambito di questa policy e devono essere segnalate direttamente al fornitore secondo la sua policy di divulgazione (se presente).
Se non sai con certezza se un sistema rientra o meno nell'ambito, contattaci all'indirizzo security@socialinsider.io prima di iniziare la tua ricerca.

Se c'è un sistema specifico che non rientra nell'ambito e ritieni meriti di essere testato, contattaci prima per discuterne. L'ambito di questa policy può essere ampliato nel tempo.

Segnalazione di una vulnerabilità

Le informazioni inviate ai sensi di questa policy saranno utilizzate esclusivamente per finalità difensive, per mitigare o correggere le vulnerabilità.

Se le tue scoperte includono vulnerabilità appena individuate che interessano tutti gli utenti di un prodotto o servizio, e non solo Socialinsider, potremmo condividere il tuo report con terze parti, che lo gestiranno secondo il loro processo coordinato di divulgazione delle vulnerabilità.

Non condivideremo i tuoi dati di contatto senza il tuo esplicito consenso.
Accettiamo report sulle vulnerabilità all'indirizzo security@socialinsider.io. Puoi inviare i report in forma anonima.

Quando scegli di condividere con noi i tuoi dati di contatto, ci impegniamo a collaborare con te nel modo più trasparente e rapido possibile.

• Entro 7 giorni lavorativi, confermeremo di aver ricevuto il tuo report.
• Ti confermeremo l'esistenza della vulnerabilità e saremo il più trasparenti possibile sui passaggi che stiamo adottando durante il processo di risoluzione.
• Manterremo aperto il dialogo sulle problematiche.