Politica privind divulgarea vulnerabilităților

Socialinsider - un produs Code Path SRL

Socialinsider se angajează să asigure securitatea utilizatorilor săi prin protejarea informațiilor acestora. Această politică oferă cercetătorilor în domeniul securității îndrumări pentru desfășurarea activităților de identificare a vulnerabilităților și instrucțiuni despre cum să ne raporteze vulnerabilitățile.

Această politică descrie sistemele și tipurile de cercetare incluse, modul în care ne poți trimite rapoarte privind vulnerabilitățile și perioada pe care le cerem cercetătorilor în securitate să o aștepte înainte de a divulga public vulnerabilitățile. Te încurajăm să ne contactezi pentru a raporta potențiale vulnerabilități în sistemele noastre.

Dacă depui eforturi de bună-credință pentru a respecta această politică în timpul cercetării tale în domeniul securității, vom considera cercetarea ta autorizată și vom colabora cu tine pentru a înțelege și rezolva rapid problema. Socialinsider nu va recomanda și nu va iniția acțiuni în justiție în legătură cu cercetarea ta. Dacă o terță parte inițiază acțiuni în justiție împotriva ta pentru activități desfășurate în conformitate cu această politică, vom face cunoscută această autorizare.

Instrucțiuni

În cadrul acestei politici, „cercetare” înseamnă activități în care tu, în calitate de cercetător în securitate:

• Ne anunți cât mai curând posibil după ce descoperi orice problemă de securitate.
• Depui toate eforturile pentru a evita încălcarea confidențialității, degradarea experienței utilizatorilor, perturbarea sistemelor de producție și distrugerea sau manipularea datelor.
• Folosești exploit-uri doar în măsura necesară pentru a confirma existența unei vulnerabilități. Nu folosi un exploit pentru a compromite sau extrage date, pentru a stabili acces persistent la linia de comandă ori pentru a ajunge la alte sisteme.
• Ne oferi un interval de timp rezonabil pentru a rezolva problema înainte de a o divulga public.
• Nu trimite un volum mare de rapoarte de calitate scăzută.

Pentru a ne ajuta să înțelegem rapoartele, îți recomandăm ca sesizarea ta să:

• Descrie locația în care a fost descoperită vulnerabilitatea și impactul potențial al exploatării.
• Oferă o descriere detaliată a pașilor necesari pentru reproducerea vulnerabilității – capturile de ecran sau înregistrările video sunt utile.
• Fie redactată în limba engleză

După ce ai stabilit că există o vulnerabilitate sau ai găsit date sensibile (inclusiv informații de identificare personală, informații financiare, informații confidențiale sau secrete comerciale ale oricărei părți), trebuie să oprești testarea, să ne anunți imediat și să nu divulgi aceste date nimănui.

Practici interzise

Următoarele metode de testare nu sunt autorizate:

• Teste de tip denial of service (DoS sau DDoS) sau alte teste care afectează accesul la sisteme
• Testarea non-tehnică a vulnerabilităților

Această politică se aplică următoarelor sisteme și servicii:

• https://www.socialinsider.io
• https://app.socialinsider.io

Orice serviciu care nu este menționat în mod expres mai sus, inclusiv serviciile conectate, este exclus din domeniu și nu este autorizat pentru testare.
În plus, vulnerabilitățile identificate în sistemele furnizorilor noștri nu intră în domeniul acestei politici și trebuie raportate direct furnizorului, conform politicii sale de divulgare (dacă există).
Dacă nu ești sigur că un sistem intră sau nu în domeniu, contactează-ne la security@socialinsider.io înainte de a începe cercetarea.

Dacă există un anumit sistem care nu intră în domeniu, dar consideri că merită testat, contactează-ne mai întâi pentru a discuta despre acesta. Domeniul acestei politici poate fi extins în timp.

Raportarea unei vulnerabilități

Informațiile transmise în baza acestei politici vor fi utilizate exclusiv în scopuri defensive – pentru atenuarea sau remedierea vulnerabilităților.

Dacă descoperirile tale includ vulnerabilități recent identificate care afectează toți utilizatorii unui produs sau serviciu, nu doar Socialinsider, este posibil să distribuim raportul tău unor terți, unde acesta va fi gestionat conform procesului lor coordonat de divulgare a vulnerabilităților.

Nu vom divulga datele tale de contact fără permisiunea ta expresă.
Acceptăm rapoarte privind vulnerabilitățile la adresa security@socialinsider.io. Rapoartele pot fi trimise anonim.

Când alegi să ne comunici datele tale de contact, ne angajăm să colaborăm cu tine cât mai deschis și cât mai rapid posibil.

• În termen de 7 zile lucrătoare, îți vom confirma primirea raportului.
• Îți vom confirma existența vulnerabilității și vom fi cât mai transparenți posibil cu privire la măsurile pe care le luăm în timpul procesului de remediere
• Vom menține dialogul cu privire la problemele identificate.