Haavoittuvuuksien ilmoittamiskäytäntö

Tätä Käytäntöä sovelletaan niiden yhtiön Osaühing Ida Portal (”Ylläpitäjä”, ”me”) järjestelmien tietoturvan tutkimiseen, jotka luetellaan tässä kohdassa.

Käytännön piiriin kuuluvat:

1. (a)verkkosivusto securitytest.team ja sen sivut kaikilla kielillä;
2. (b)rajapinta, joka vastaanottaa lomakkeen pyynnöt: https://securitytest.team/api/leads.

Käytännön ulkopuolelle jäävät:

1. (a)asiakkaidemme järjestelmät. Ne eivät koskaan kuulu tämän Käytännön piiriin riippumatta siitä, mitä tiedät työstämme heille;
2. (b)kolmansien osapuolten palvelut, joita verkkosivusto käyttää, mukaan lukien hosting-alusta ja väärinkäyttötarkistus. Niiden haavoittuvuuksista ilmoitetaan niiden ylläpitäjille;
3. (c)henkilöstömme käyttäjätilit millä tahansa alustalla sekä henkilöstömme itse.

Tämän Käytännön mukaisesti toimiva tutkija:

1. (a)tutkii vain sitä, mikä kuuluu Käytännön piiriin;
2. (b)ei heikennä palvelua: ei tee palvelunestohyökkäyksiä, ei kuormita lomakkeita massalähetyksillä eikä skannaa tahdilla, joka vaikuttaa saatavuuteen;
3. (c)ei käytä käyttäjän manipulointia, tietojenkalastelua tai fyysistä pääsyä;
4. (d)ei lue, muuta eikä säilytä tietoja, jotka eivät kuulu hänelle. Tutkija, joka on saanut pääsyn tällaisiin tietoihin, lopettaa, ei kopioi tietoja ja raportoi välittömästi;
5. (e)käyttää vähäisintä toimenpidettä, jolla haavoittuvuus voidaan osoittaa;
6. (f)antaa meille kohtuullisen ajan korjata haavoittuvuus ennen kuin paljastaa sen kenellekään muulle;
7. (g)noudattaa häneen sovellettavaa lakia.

Niiden oikeuksien haltijana, jotka koskevat kohdassa 1 lueteltuja järjestelmiä, annamme luvan näiden järjestelmien tutkimiseen, joka tehdään vilpittömässä mielessä ja tämän Käytännön mukaisesti. Lupa kattaa vain nämä järjestelmät ja vain ne toimet, jotka tämä Käytäntö sallii.

Tällaisen tutkimuksen vuoksi emme tee rikosilmoitusta emmekä esitä tutkijaa kohtaan yksityisoikeudellisia vaatimuksia, mukaan lukien käyttöehtojemme perusteella esitettävät vaatimukset. Jos viranomainen tai kuka tahansa muu kysyy, vahvistamme, että olemme antaneet luvan tutkimukseen.

Nämä sitoumukset ovat vain meidän. Ne eivät sido viranomaisia, eivät kata kolmansien osapuolten järjestelmiä ja palveluja, mukaan lukien verkkosivuston käyttämät palveluntarjoajat, kuten Cloudflare, Inc., eivätkä korvaa toisen valtion lakia, jota tutkijaan sovelletaan. Tutkija, joka epäilee, kuuluuko toimi tämän Käytännön piiriin, kysyy ennen kuin toimii.

Raportti lähetetään osoitteeseen info@securitytest.team. Älä sisällytä ensimmäiseen viestiin yksityiskohtia, joiden avulla haavoittuvuutta voidaan hyödyntää: vastauksessamme kerromme suojatun kanavan niitä varten.

Hyödyllinen raportti sisältää:

1. (a)kyseisen osoitteen ja parametrin tai komponentin;
2. (b)vaiheet haavoittuvuuden toistamiseksi puhtaasta lähtötilasta;
3. (c)sen, mitä hyökkääjä voisi saavuttaa;
4. (d)tutkijan oman arvion vakavuudesta, jos sellainen on.

Yhteystietojemme koneluettava versio on julkaistu osoitteessa https://securitytest.team/.well-known/security.txt.

Monien käyttämän kolmannen osapuolen ohjelmiston tai palvelun haavoittuvuudesta voi ilmoittaa myös Viron tietojärjestelmävirastolle (Riigi Infosüsteemi Amet), joka on Viron koordinaattori koordinoidussa haavoittuvuuksien julkistamisessa, nimettömänä, jos tutkija niin haluaa (kyberturvallisuuslain 5 §:n 3 momentin 4 kohta ja 8¹ §:n 2 momentti).

Tutkija, joka on lähettänyt raportin, saa:

1. (a)vastaanottokuittauksen 3 työpäivän kuluessa;
2. (b)arvion raportista ja rehellisen vastauksen myös silloin, kun olemme siitä eri mieltä;
3. (c)tiedon korjauksesta, kun se on otettu käyttöön;
4. (d)julkisen kiitoksen, jos tutkija haluaa sellaisen.

Emme maksa palkkioita tätä verkkosivustoa koskevista raporteista. Tämä Käytäntö on ilmoittamiskäytäntö eikä bug bounty -ohjelma.

Tutkijan henkilötietoja käsitellään tietosuojaselosteen mukaisesti, ja siinä nimetään niiden vastaanottajat. Emme ilmaise tutkijan henkilöllisyyttä kenellekään muulle ilman tutkijan suostumusta, ellei laki sitä edellytä.