Pažeidžiamumų atskleidimo politika

Ši Politika taikoma šiame skyriuje išvardytų bendrovės „Osaühing Ida Portal“ (toliau – Operatorius, mes) sistemų saugumo tyrimams.

Į apimtį patenka:

1. (a)svetainė securitytest.team ir jos puslapiai visomis kalbomis;
2. (b)sąsaja, kuri priima formos užklausas: https://securitytest.team/api/leads.

Į apimtį nepatenka:

1. (a)mūsų klientų sistemos. Ši Politika jų niekada neapima, kad ir ką žinotumėte apie mūsų darbą jiems;
2. (b)svetainės naudojamos trečiųjų šalių paslaugos, įskaitant prieglobos platformą ir apsaugos nuo piktnaudžiavimo patikrą. Apie jų pažeidžiamumus pranešama jų operatoriams;
3. (c)mūsų personalo paskyros bet kurioje platformoje ir pats mūsų personalas.

Pagal šią Politiką veikiantis tyrėjas:

1. (a)tiria tik tai, kas patenka į apimtį;
2. (b)neblogina paslaugos veikimo: nevykdo paslaugos trikdymo atakų, neperkrauna formų ir neskenuoja tokiu intensyvumu, kuris paveiktų prieinamumą;
3. (c)nenaudoja socialinės inžinerijos, sukčiavimo apsimetant (angl. phishing) ar fizinės prieigos;
4. (d)neskaito, nekeičia ir nesaugo jam nepriklausančių duomenų. Tyrėjas, gavęs prieigą prie tokių duomenų, sustoja, jų nekopijuoja ir nedelsdamas praneša;
5. (e)atlieka tik mažiausią veiksmą, kurio pakanka pažeidžiamumui įrodyti;
6. (f)prieš atskleisdamas pažeidžiamumą kam nors kitam, suteikia mums protingą laiką jam pašalinti;
7. (g)laikosi tyrėjui taikomos teisės.

Kaip 1 skyriuje išvardytų sistemų teisių turėtojai leidžiame tų sistemų tyrimus, atliekamus sąžiningai ir pagal šią Politiką. Leidimas apima tik tas sistemas ir tik tuos veiksmus, kuriuos leidžia ši Politika.

Dėl tokių tyrimų nepateikiame pareiškimo dėl nusikalstamos veikos ir nereiškiame tyrėjui civilinių reikalavimų, įskaitant reikalavimus pagal mūsų Naudojimo sąlygas. Jei valstybės institucija ar kas nors kitas paklausia, patvirtiname, kad tyrimus leidome mes.

Šie įsipareigojimai yra tik mūsų. Jie neįpareigoja valstybės institucijų, neapima trečiųjų šalių sistemų ir paslaugų, įskaitant svetainės naudojamus paslaugų teikėjus, pavyzdžiui, bendrovę „Cloudflare, Inc.“, ir nepakeičia kitos valstybės teisės, taikomos tyrėjui. Tyrėjas, abejojantis, ar veiksmas atitinka šią Politiką, prieš imdamasis veiksmo paklausia.

Pranešimas siunčiamas adresu info@securitytest.team. Pirmajame laiške nepateikite detalių, kurios leistų pasinaudoti pažeidžiamumu: atsakydami nurodysime saugų kanalą joms perduoti.

Naudingame pranešime nurodoma:

1. (a)susijęs adresas ir parametras ar komponentas;
2. (b)pažeidžiamumo atkūrimo žingsniai nuo švarios būsenos;
3. (c)ką galėtų pasiekti užpuolikas;
4. (d)paties tyrėjo pavojingumo įvertinimas, jei jis yra.

Mūsų kontaktų kompiuterio skaitoma versija paskelbta adresu https://securitytest.team/.well-known/security.txt.

Apie trečiosios šalies programinės įrangos ar paslaugos, kuria naudojasi daugelis, pažeidžiamumą taip pat galima pranešti Estijos informacinių sistemų tarnybai (Riigi Infosüsteemi Amet), kuri yra Estijos koordinatorė koordinuoto pažeidžiamumų atskleidimo srityje, – anonimiškai, jei tyrėjas to pageidauja (Kibernetinio saugumo įstatymo 5 straipsnio 3 dalies 4 punktas ir 8¹ straipsnio 2 dalis).

Pranešimą išsiuntęs tyrėjas gauna:

1. (a)pranešimo gavimo patvirtinimą per 3 darbo dienas;
2. (b)pranešimo įvertinimą ir sąžiningą atsakymą, taip pat ir tada, kai su juo nesutinkame;
3. (c)informaciją apie pataisymą, kai jis įdiegiamas;
4. (d)viešą padėką, jei tyrėjas jos pageidauja.

Už pranešimus apie šią svetainę atlygių nemokame. Ši Politika yra pažeidžiamumų atskleidimo politika, o ne „bug bounty“ programa.

Tyrėjo asmens duomenys tvarkomi pagal Privatumo politiką, kurioje nurodyti jų gavėjai. Be tyrėjo sutikimo jo tapatybės niekam kitam neatskleidžiame, nebent to reikalauja įstatymai.