Publisks kanāls un strādājošs process ārēju ziņojumu par ievainojamībām pieņemšanai: politika, security.txt, saņemšana, sākotnējā izvērtēšana un koordinēta atklāšana.
Agrāk vai vēlāk kāds ārpus uzņēmuma atrod ievainojamību jūsu produktā. Tas, kas notiek tālāk, ir atkarīgs no tā, vai viņš var atrast adresi, uz kuru rakstīt, un vai kāds atbild. Ja kanāla nav, ziņojums nonāk atbalsta pastkastē, sociālajos tīklos vai nekur.
Atklāšanas programma ir minimums: publicēta politika, kas nosaka, kā ziņot un ko ziņotājs var sagaidīt, pastkaste, kuru kāds lasa, un process, kas ziņojumu no saņemšanas noved līdz labojumam. Tā neizmaksā atlīdzības un neprasa platformu. ES Kibernoturības akts padara koordinētas ievainojamību atklāšanas politiku obligātu to produktu ražotājiem, kuriem ir digitālie elementi: pienākums ziņot par aktīvi izmantotām ievainojamībām ir piemērojams no 2026. gada 11. septembra, bet pilns pienākumu kopums – no 2027. gada 11. decembra.
01Tvērums
Ko mēs testējam
Atklāšanas politika: tvērums, noteikumi, drošā osta (safe harbour), atklāšanas termiņi
security.txt saskaņā ar RFC 9116, uzraugot tā derīguma termiņu
Saņemšanas kanāls: atsevišķa pastkaste vai veidlapa, šifrēšanas atslēga, saņemšanas apstiprinājums
Iekšējā apstrāde saskaņā ar ISO/IEC 30111: atbildība, termiņi, eskalācija
Saziņa ar ziņotājiem un koordinēta publicēšana
Drošības paziņojumi un CVE identifikatori ievainojamībām jūsu produktos
Ziņošanas pienākumi saskaņā ar Kibernoturības aktu un NIS2, ja tie ir piemērojami
02Pieeja
Kā notiek darbs
01
Politika
Politiku sagatavojam kopā ar jūsu juridisko komandu. Drošās ostas formulējums seko tekstam, ko atzīst pētnieku kopiena, un jūsu juristi to pielāgo jūsu jurisdikcijai.
02
Kanāls
Saņemšanas kanālu un security.txt iestatām un testējam no ārpuses, tā, kā tos atrastu pētnieks.
03
Process
Lomas, termiņus un eskalāciju pierakstām un izmēģinām ar testa ziņojumu, pirms politika tiek publicēta.
04
Darbība
Ja vēlaties, ziņojumu saņemšanu nodrošinām mēs: apstiprinām saņemšanu, reproducējam, novērtējam un apstiprinātos ziņojumus nododam jūsu inženieriem.
Katra konstatējuma bīstamības vērtējums un vektors.
FIRST
06Jautājumi
Jautājumi par šo pakalpojumu
Kāds mums ir atsūtījis ziņojumu par ievainojamību un prasa naudu. Ko darīt?
Nemaksājiet spiediena ietekmē un nedraudiet. Apstipriniet saņemšanu, palūdziet tehniskās detaļas un pārbaudiet apgalvojumu. Lielākā daļa nepieprasītu ziņojumu nāk no pētniekiem, kas rīkojas godprātīgi, daļa ir automātisks troksnis, daži ir izspiešanas mēģinājumi. Mēs pārbaudām ziņojumu, novērtējam tā bīstamību un palīdzam jums atbildēt; piesakiet to, izmantojot veidlapu šajā vietnē, un norādiet, ka ziņojums gaida atbildi.
Ar ko atklāšanas programma atšķiras no bug bounty?
Atklāšanas programma pieņem ziņojumus un sola godīgu attieksmi. Bug bounty papildus paredz atlīdzības un tādējādi aicina aktīvi meklēt ievainojamības. Pirmā ir pamatprasība katram uzņēmumam, kura produkts ir pieejams tiešsaistē, otrā ir lēmums par budžetu un gatavību.
Vai drošās ostas klauzula mūs pakļauj riskam?
Ar to jūs apņematies nevērsties pret cilvēkiem, kuri ievēro jūsu noteikumus. Tā neatļauj neko ārpus šiem noteikumiem un nesaista trešās personas vai prokuratūru. Pirms publicēšanas tekstu izvērtē jūsu juristi.
Jūsu bug bounty programmas izstrāde, palaišana un uzturēšana: politika, tvērums, atlīdzību tabula, ziņojumu sākotnējā izvērtēšana un saziņa ar pētniekiem.