Retningslinjer for rapportering av sikkerhetsproblemer

BORA Vertriebs GmbH & Co KG ønsker alltid å tilby kundene produkter/tjenester av høyeste kvalitet og pålitelighet. For å oppnå dette, sjekker vi alle rapporterte sikkerhetsproblemer som identifiseres av eksterne eksperter, partnere eller kunder.

Følgende retningslinjer gjelder for alle sikkerhetsproblemer som du ønsker å rapportere til oss. Vi anbefaler at du leser disse retningslinjene i sin helhet og handler i samsvar med bestemmelsene i dem. Det vil sikre at sikkerhetsproblemer blir identifisert og håndtert på riktig måte. BORA Vertriebs GmbH & Co KG setter pris på tiden og innsatsen for å rapportere sikkerhetsproblemer. Vi gjør oppmerksom på at BORA Vertriebs GmbH & Co KG ikke gir noen økonomisk kompensasjon for rapportering av sikkerhetsproblemer.

Dersom du tror at du har funnet et sikkerhetsproblem, må du sende oss en rapport via følgende lenke eller via e-post med følgende opplysninger:

URL eller IP som viser de svake punktene.
En kort beskrivelse av type sikkerhetsproblem (eksempel: «XSS-sikkerhetshull»).
Trinn for å reprodusere problemet. Dette bør være et ufarlig, ikke-destruktivt konseptbevis («Proof of Concept»). Det bidrar til å sikre at rapporten kan behandles raskt og nøyaktig, og reduserer sannsynligheten for dobbeltrapporter eller ondsinnet utnyttelse av visse sikkerhetshull, f.eks. overtakelse av underdomener.

Når vi har mottatt rapporten din, begynner vi å analysere og utbedre det rapporterte sikkerhetshullet/sikkerhetsproblemet. Vi har som mål å reagere på meldingen din i løpet av 10 virkedager, og behandle den i løpet av 14 virkedager. Vi vil også holde deg løpende oppdatert om fremgangen vår. Prioriteten til tiltakene vurderes på grunnlag av sikkerhetsproblemets innvirkning, alvorlighetsgrad og kompleksitet. Som et tegn på vår takknemlighet vil vi liste opp alle som har gjort oppdagelser på takkesiden vår så snart de har gitt samtykke.

Retningslinjer

Du må ikke:

bryte med gjeldende lover eller forskrifter.
skaffe deg tilgang til unødvendige, overdrevne eller betydelige datamengder.
forandre data i systemene eller organisasjonens tjenester.
bruke invasive eller ødeleggende skanneverktøy med høy intensitet for å finne sikkerhetshull.
forsøke eller rapportere noen form for tjenestenekt, for eksempel ved å overbelaste en tjeneste med et stort antall forespørsler.
forstyrre organisasjonens tjenester eller systemer.
sende inn rapporter som identifiserer sikkerhetsproblemer som ikke kan utnyttes, eller rapporter som indikerer at tjenestene ikke er helt i samsvar med beste praksis, f.eks. manglende sikkerhetsoverskrifter.
formidle rapporter om sikkerhetsproblemer i TLS-konfigurasjonen, f.eks. støtte for en «svak» krypteringsløsning eller støtte for TLS1.0.
spre informasjon om sikkerhetshull eller detaljer i forbindelse med dette på annen måte enn det som er beskrevet i den offentliggjorte security.txt.
drive med sosial manipulering, «phishing» eller psykiske angrep på personalet eller organisasjonens infrastruktur.
forlange økonomisk kompensasjon for avsløringen av sikkerhetshull.

Du må:

alltid overholde personvernreglene og ikke krenke personvernet til organisasjonens brukere, ansatte, leverandører, tjenester eller systemer. For eksempel må du ikke dele eller videreformidle opplysninger hentet fra systemene eller tjenestene, eller unnlate å lagre disse på riktig måte.
slette alle opplysninger som du har skaffet deg gjennom undersøkelsene dine på en sikker måte så snart du ikke lenger trenger dem, eller i løpet av en måned etter at sikkerhetsproblemet er utbedret, alt etter hva som inntreffer først (eller hvordan det er foreskrevet i personvernreglene).

Juridisk informasjon

Disse retningslinjene er utformet slik at de som har gjort oppdagelsen og som følger instruksjonene, er fritatt straffeforfølgelse.

Rapportering av sikkerhetshull

Dersom du oppdater sikkerhetshull i IT-systemene og webapplikasjonene til BORA Vertriebs GmbH & Co KG eller produkter som distribueres av BORA Vertriebs GmbH & Co KG, må du informere oss om dette. Vi vil omgående iverksette tiltak for å utbedre sikkerhetshullene så raskt som mulig.

Da går vi frem som følger:

Før du sender en melding, informer deg om tilfeller som ikke faller under våre retningslinjer for rapportering av sikkerhetsproblemer og som ikke behandles innenfor dette rammeverket.
Send resultatene dine om sikkerhetsproblemet via e-post til security@bora.com.
Ikke utnytt sikkerhetshull eller problemet ved f.eks. å laste ned, forandre, slette eller kode data.
Ikke gi informasjon om sikkerhetshull til en tredjeperson eller institusjoner med mindre dette er uttrykkelig godkjent av BORA Vertriebs GmbH & Co KG.
Ikke utfør noen angrep på IT-systemene våre som svekker, endrer eller manipulerer infrastruktur og mennesker.
Ikke driv med sosial manipulering (f.eks. phishing), (distribuert) tjenestenektangrep ((Distributed) Denial of Service), spam eller andre angrep på BORA Vertriebs GmbH & Co KG.
Gi oss tilstrekkelig med informasjon slik at vi kan reprodusere og analysere problemet. Gi oss også mulighet for å kontakte deg dersom vi skulle ha noen spørsmål.