Policy för avslöjande av sårbarheter

BORA Vertriebs GmbH & Co KG har alltid varit mån om att kunna erbjuda sina kunder produkter / tjänster av högsta kvalitet och tillförlitlighet. För att uppnå detta mål, undersöker vi alla rapporterade säkerhetsproblem som identifieras av externa experter, partner eller kunder.

Följande direktiv gäller för alla säkerhetsbrister som du vill rapportera till oss. Vi rekommenderar att du läser igenom direktivet fullständigt och förfar enligt bestämmelserna. På så vis går det att säkerställa att säkerhetsbristerna kan identifieras och behandlas som sådana. BORA Vertriebs GmbH & Co KG beräknar tiden och kostnaden för rapporteringarna av säkerhetsbrister. Men vi vill informera om att BORA Vertriebs GmbH & Co KG inte förväntas lämna någon monetär ersättning.

Om du tror att du har hittat en säkerhetsbrist, skickar du din rapport till oss via följande länk resp. via e-post med följande uppgifter:

URL eller IP, under vilken bristen befinner sig.
En kort beskrivning av vilken typ av säkerhetsbrist det handlar om (exempelvis: "XSS-brist").
Reproduktionssteg. Här bör det handla om ett välvilligt, icke-destruktivt koncepttest (proof of concept). Det gör att rapporten kan bearbetas snabbt och exakt. Det minskar även sannolikheten för dubbelanmälningar eller det illasinnade utnyttjandet av vissa brister, som exempelvis övertagandet av underdomäner.

Efter att du lämnat in din anmälan, börjar vi med att undersöka och åtgärda den rapporterade bristen/säkerhetsbristen. Vi försöker att reagera på din anmälan inom 10 arbetsdagar och inom 14 arbetsdagar bearbeta den. Vi kommer också att hålla dig underrättad om framskridandet. Åtgärdernas prioritet avgörs genom bristens inverkan, allvarlighetsgrad och komplexitet. Som ett tecken på erkännande kommer vi att nämna upptäckaren, efter dennes samtycke, på vår tacksida.

Direktiv

Du får inte:

åsidosätta gällande lagar eller bestämmelser.
använda onödiga, allt för stora eller enorma datamängder.
förändra data i organisationens system eller tjänster.
använda invasiva eller destruktiva scan tools med hög intensitet för att hitta brister.
företa någon form av försök eller anmälningar för att vägra tjänstgöra, t.ex. överbelasta en tjänst med ett stort antal uppdrag.
störa organisationens tjänster eller system.
lämna in rapporter där brister är uppförda som inte är användbara, eller rapporter som hänvisar till att tjänsten inte helt överstämmer med "Best Practices", t.ex. där säkerhets-header saknas.
lämna in rapporter om brister i TLS-konfigurationen, t.ex. understöd av en "svag" cipher suite eller existerande TLS1.0-understöd.
fördela brister eller därmed förknippade detaljer på andra vis, så som beskrivs i den publicerade security.txt.
genomföra social engineering, "phishing" eller fysiska angrepp på personalen eller organisationens infrastruktur.
kräva en ekonomisk ersättning för upplysningen om brister.

Du måste:

alltid följa integritetspolicyn och inte kränka privatpolicyn hos användarna, medarbetarna, uppdragstagarna, tjänsterna eller organisationens system. Du får t.ex. inte vidareförmedla, fördela eller säkra inkorrekt några av de data som hämtats från system eller tjänster.
alla data, som du har fått inom ramen för dina efterforskningar, ska raderas så snart de inte längre behövs eller inom en månad efter att bristen har åtgärdats, beroende av vilket som inträffar först (eller vad som sägs i dataskyddsförordningen).

Rättsligt

Detta direktiv är så koncipierat att för den upptäckare som följer anvisningarna blir det inte någon rättslig påföljd.

Bristanmälan

Skulle du upptäcka brister i IT-systemen och webb-användningarna på produkterna hos BORA Vertriebs GmbH & Co KG eller de av BORA Vertriebs GmbH & Co KG sålda produkter, ber vi dig att informera oss om det. Vi kommer då att omgående vidta åtgärder för att så snabbt som möjligt åtgärda bristen som upptäckts.

Så här gör du:

Informera dig innan du gör din anmälan, om de fall som inte ligger inom området som gäller för vår policy för avslöjande av sårbarheter och inte ska bearbetas inom den ramen.
Skicka dina resultat beträffande säkerhetsproblemen via e-post till security@bora.com.
Utnyttja inte bristen eller problemet genom att exempelvis ladda ner data, förändra, radera eller ladda upp koder.
Lämna ingen information om bristen till tredje person eller institutioner, förutom om detta uttryckligen har frigetts av BORA Vertriebs GmbH & Co KG.
Gör inget ingrepp på vårt IT-system, som skulle kunna kompromettera, förändra eller manipulera infrastruktur och personer.
Gör inga social engineering (t.ex. phishing), (distributed) denial of service, spam eller andra ingrepp på BORA Vertriebs GmbH & Co KG.
Ställ tillräckligt med information till vårt förfogande, så att vi kan reproducera och analysera problemet. Ge oss också en kontaktmöjlighet för eventuella frågor.