Zásady zverejňovania zraniteľných miest

Spoločnosť BORA Vertriebs GmbH & Co KG stále dôsledne dbá na to, aby zákazníkom ponúkala produkty/služby s najvyššou kvalitou a spoľahlivosťou. Na dosiahnutie tohto cieľa overíme každý nahlásený bezpečnostný problém, ktorý identifikujú externí experti, partneri alebo zákazníci.

Táto smernica platí pre všetky bezpečnostné nedostatky, ktoré nám chcete nahlásiť. Odporúčame vám prečítať si celú túto smernicu a postupovať podľa jej ustanovení. Takto dokážeme zaistiť, že sa bezpečnostné nedostatky ako také identifikujú a odstránia. Spoločnosť BORA Vertriebs GmbH & Co KG si cení čas a snahu vynaloženú na oznámenia bezpečnostných nedostatkov. Napriek tomu chceme upozorniť na to, že spoločnosť BORA Vertriebs GmbH & Co KG za oznámenie bezpečnostných nedostatkov neponúka žiadnu finančnú náhradu.

Ak si myslíte, že ste našli bezpečnostný nedostatok, pošlite nám správu prostredníctvom tohto odkazu alebo e-mailom s týmito informáciami:

URL alebo IP adresu, na ktorej sa nedostatok nachádza.
Krátky popis druhu bezpečnostného nedostatku (príklad: „slabé miesto XSS“).
Kroky na obnovenie. Pritom by malo ísť o dobre myslený, nedeštruktívny dôkaz o uskutočniteľnosti. Prispeje k tomu, aby sa mohla správa rýchlo a presne spracovať. Znižuje tiež pravdepodobnosť dvojitých oznámení alebo zlomyseľného využívania niektorých slabín, ako napr. prevzatie poddomén.

Po odoslaní oznámenia začneme so skúmaním a odstraňovaním nahlásenej slabiny/bezpečnostného nedostatku. Na vaše oznámenie sa snažíme reagovať do 10 pracovných dní a spracujeme ho do 14 pracovných dní. O našich krokoch vás budeme priebežne informovať. Prioritou nápravných opatrení je vyhodnotiť stupeň náročnosti a komplexnosť slabiny na základe jej dôsledkov. Ako znak uznania uvedieme osobu, ktorá slabinu odkryla, s jej súhlasom na našej stránke s poďakovaním.

Smernice

Nesmiete:

porušovať platné zákony alebo predpisy;
získať prístup k nepotrebným, nadmerným alebo výrazným množstvám údajov;
meniť údaje v systémoch alebo službách spoločnosti;
používať na hľadanie slabín invazívne alebo rušivé skenovacie nástroje s vysokou intenzitou;
vykonávať pokusy alebo akékoľvek hlásenia na odopretie služby, napr. preťaženie služby veľkým počtom požiadaviek;
narúšať služby alebo systémy spoločnosti;
podávať správy, v ktorých nie sú uvedené použiteľné slabiny alebo správy, ktoré upozorňujú na to, že služby nie sú úplne v súlade s „osvedčenými postupmi“, napr. chýbajúca bezpečnostná hlavička;
odosielať správy o slabinách v konfigurácii TLS, napr. podpora „slabého“ šifrovacieho balíka alebo existencia podpory TLS1.0;
zdieľanie slabín a s nimi súvisiacich podrobností iným spôsobom ako je popísané vo zverejnenom súbore security.txt;
vykonávať sociálne inžinierstvo, „phishing“ alebo alebo phishingové útoky na personál alebo infraštruktúru spoločnosti;
požadovať finančnú náhradu za predloženie slabín.

Musíte:

vždy dodržiavať nariadenia o ochrane údajov a nesmiete porušovať súkromie používateľov, zamestnancov, dodávateľov, služieb alebo systémov spoločnosti; nesmiete napríklad poskytnúť, odovzdať alebo nedostatočne zálohovať žiadne údaje získané zo systémov alebo služieb;
všetky údaje, ktoré ste získali v rámci svojho pátrania, musíte bezpečne vymazať, ak ich viac nepotrebujete alebo ich musíte vymazať do jedného mesiaca po odstránení slabiny podľa toho, čo nastane skôr (alebo ako to predpisuje zákon o ochrane údajov).

Právne informácie

Táto smernica je koncipovaná tak, aby boli osoby, ktoré slabinu odhalia a ktoré dodržia tieto pokyny, oslobodené od trestného stíhania.

Oznámenie slabiny

V prípade zistenia slabín v IT systémoch a webových aplikáciách spoločnosti BORA Vertriebs GmbH & Co KG alebo v produktoch predávaných spoločnosťou BORA Vertriebs GmbH & Co KG, vás prosíme, aby ste nás o nich informovali. My potom okamžite prijmeme opatrenia na čo najrýchlejšia odstránenie zistenej slabiny.

Postupujte pritom takto:

Pred oznámením sa informujte o prípadoch, ktoré nespadajú do rozsahu platnosti našich zásad zverejňovania zraniteľných miest a nemôžu byť v rámci nich spracované.
Svoje závery k bezpečnostnému problému pošlite e-mailom na adresu security@bora.com.
Slabinu alebo problém nevyužívajte na to, aby ste si napríklad stiahli, menili, mazali údaje alebo nahrali kód.
Informácie o slabine neposkytujte tretím osobám alebo inštitúciám okrem tých, ktoré spoločnosť BORA Vertriebs GmbH & Co KG výslovne schválila.
Nevykonávajte žiadne útoky na naše IT systémy, ktoré narušia, zmenia alebo upravia infraštruktúru a osoby.
Nevykonávajte sociálne inžinierstvo (napr. phishing), (Distributed) Denial of Service, neposielajte spam ani nevykonávajte iné útoky na spoločnosť BORA Vertriebs GmbH & Co KG.
Poskytnite nám dostatok informácií, aby sme mohli tento problém reprodukovať a analyzovať. Poskytnite tiež kontaktné údaje pre možné otázky.