Vulnerability disclosure policy (politik vedrørende offentliggørelse af sikkerhedshuller)

BORA Vertriebs GmbH & Co KG bestræber sig kontinuerligt på at tilbyde vores kunder så kvalitetsstærke og pålidelige produkter/serviceydelser som muligt. Med henblik på at nå dette mål, undersøger vi alle sikkerhedsproblemer, som bliver identificeret og anmeldt af eksterne eksperter, partnere eller kunder.

Nedenstående retningslinje gælder for samtlige sikkerhedshuller, som du måtte ønske at indberette til os. Vi anbefaler dig at læse hele denne retningslinje igennem, samt at handle i henhold til bestemmelserne heri. På den måde sikres det, at sikkerhedshuller identificeres og behandles som sådanne. BORA Vertriebs GmbH & Co KG værdsætter den tid og indsats, det kræver at indberette sikkerhedshuller. Vi vil dog gerne gøre opmærksom på, at BORA Vertriebs GmbH & Co KG ikke belønner anmeldelsen af sikkerhedshuller med en finansiel godtgørelse.

Hvis du mener at have fundet et sikkerhedshul, bedes du sende os en anmeldelse via følgende link eller via e-mail under angivelse af følgende oplysninger:

URL eller IP-adressen på det sted, hvor du har fundet sikkerhedsproblemet.
En kort beskrivelse af sikkerhedshullets type (f.eks.: "Sikkerhedsproblem af typen XSS").
Vejledning til genskabelse af sikkerhedsproblemet. Her skal den være tale om et godartet, ikke-destruktivt proof of concept. Dette sikrer, at din anmeldelse kan behandles hurtigt og præcist. Dette nedbringer også risikoen for dobbeltanmeldelser eller ondsindet udnyttelse af sikkerhedsproblemer, f.eks. i form af overtagelse af subdomæner.

Når vi har modtaget din anmeldelse, går vi i gang med at undersøge og lukke det anmeldte sikkerhedsproblem/sikkerhedshul. Vi bestræber os på at reagere på din anmeldelse inden for 10 hverdage, samt at have behandlet din anmeldelse inden for 14 hverdage. Vi holder dig desuden opdateret om udviklingen i sagen undervejs. Prioriteringen af de implementerede sikkerhedstiltag fastlægges ud fra sikkerhedshullets virkningsomfang, alvorlighedsgrad og kompleksitet. Vi ønsker at anerkende anmeldernes indsats, og ved samtykke hertil offentliggør vi derfor deres navne på vores takkeside.

Direktiver

Du må ikke:

overtræde gældende lovgivning eller forskrifter.
tilgå unødvendige, umådeholdne eller betydelige datamængder.
forandre data i organisationens systemer eller tjenester.
anvende invasive eller ødelæggende scanningsværktøjer med høj intensitet i jagten på sikkerhedsproblemer.
forsøge at bringe en tjeneste ud af funktion, f.eks. gennem overbelastning af den pågældende tjeneste med et stort antal forespørgsler.
forstyrre organisationens tjenester eller systemer.
indsende anmeldelser med angivelse af sikkerhedshuller der ikke kan udnyttes, eller indsende anmeldelser der gør opmærksom på, at tjenesterne ikke stemmer fuldstændig overens med best practices på området, f.eks. manglende brug af sikkerheds-header.
indsende anmeldelser om sikkerhedsproblemer i TLS-konfigurationen, f.eks. understøttelse af en "svag" cipher-suite eller tilstedeværelsen af TLS1.0-understøttelse.
dele sikkerhedsproblemer eller dertilhørende detaljer på anden vis end som beskrevet i den offentliggjorte security.txt.
udføre social engineering, "phishing" eller fysiske angreb på organisationens personale eller infrastruktur.
forlange finansiel kompensation for at påpege sikkerhedsproblemer.

Du skal:

altid overholde databeskyttelsesbestemmelserne og må ikke krænke privatsfæren til organisationens brugere, medarbejdere, ordretagere, tjenester eller systemer. Data indhentet fra systemerne eller tjenesterne må f.eks. ikke videregives, deles eller lagres på ubehørig vis.

alle data, som du har modtaget inden for rammerne af din efterforskning, skal slettes så snart du ikke længere har brug for dem, eller inden for en måned efter løsning af sikkerhedsproblemet, alt efter hvad som kommer først (eller hvad loven om databeskyttelse foreskriver).

Juridisk

Denne retningslinje er udfærdiget på en måde, så personer som identificerer et sikkerhedshul, og i den forbindelse følger disse anvisninger, ikke vil blive retsforfulgt.

Anmeldelse af sikkerhedshuller

Hvis du opdager sikkerhedshuller i IT-systemer og apps tilhørende BORA Vertriebs GmbH & Co KG, eller produkter solgt gennem BORA Vertriebs GmbH & Co KG, beder vi dig informere os om det. Vi vil så omgående udføre foranstaltninger til hurtigst mulig lukning af det identificerede sikkerhedshul.

Gør som følger:

Inden du indsender din anmeldelse, bedes du informere dig om de tilfælde, der ikke falder ind under vores Vulnerability Disclosure Policy, og dermed ikke kan behandles inden for rammerne af denne.
Send oplysninger om det identificerede sikkerhedsproblem per e-mail til security@bora.com.
Udnyt ikke sikkerhedshullet eller sikkerhedsproblemet, f.eks. i form af download, ændring eller sletning af data, eller upload af kode.
Videregiv ikke oplysningerne om sikkerhedshullet til tredjepart eller andre uvedkommende institutioner, med mindre du eksplicit har fået tilladelse hertil af BORA Vertriebs GmbH & Co KG.
Udfør ingen angreb på vores IT-systemer, som kompromitterer, forandrer eller manipulerer infrastruktur eller personer.
Udfør ingen social energineering (f.eks. phishing), (distributed) denial of service, spam eller andre angreb på BORA Vertriebs GmbH & Co KG.
Stil nok informationer til rådighed for os, så vi kan genskabe og analysere problemet. Angiv også dine kontaktoplysninger, så vi kan stille opfølgende spørgsmål ved behov.