Zásady pro odhalování chyb zabezpečení

Společnost BORA Vertriebs GmbH & Co KG se vždy snaží zákazníkům poskytovat produkty či služby s maximální kvalitou a spolehlivostí. Proto důkladně prověřuje každý nahlášený bezpečnostní problém, který byl zjištěn externími odborníky, partnery nebo zákazníky.

Následující zásady se vztahují na veškerá ohrožení zabezpečení, které nám chcete nahlásit. Doporučujeme, abyste se seznámili s těmito zásadami v plném rozsahu a jednali v souladu s jejich ustanoveními. Zajistíte tak, že ohrožení zabezpečení budou jako taková řádně identifikována a vyřešena. Společnost BORA Vertriebs GmbH & Co KG si váží času a námahy vynaložených k tomu, aby bylo ohrožení zabezpečení nahlášeno. Rádi bychom však upozornili, že společnost BORA Vertriebs GmbH & Co KG za nahlášení ohrožení zabezpečení neposkytuje žádnou finanční odměnu.

Pokud jste přesvědčeni, že jste objevili ohrožení zabezpečení, pošlete nám zprávu prostřednictvím následujícího odkazu nebo e-mailem s následujícími informacemi:

URL nebo IP adresa, kde se chyba zabezpečení nachází;
stručný popis typu ohrožení zabezpečení (např.: „Chyba zabezpečení XSS“);
reprostepy (kroky, kterými jste se k chybě dostali). Mělo by se přitom jednat o neškodné a nedestruktivní testování konceptu. Tím přispějete k rychlému a přesnému zpracování zprávy. Snižujete tak i pravděpodobnost duplicitních hlášení nebo zneužití některých chyb zabezpečení, jako je například převzetí subdomény.

Po přijetí hlášení spustíme proces kontroly a odstranění nahlášené chyby či ohrožení zabezpečení. Budeme se snažit na vaše hlášení zareagovat do 10 pracovních dnů a zpracovat ho do 14 pracovních dnů. O pokračování případu vás budeme rovněž průběžně informovat. Priorita nápravných opatření je posuzována na základě dopadu, závažnosti a komplexnosti chyby zabezpečení. A jako výraz uznání uvedeme na stránce s poděkováním po předchozím souhlasu jméno odhalitele chyby.

Zásady

Nesmíte:

porušovat platné zákony a předpisy;
přistupovat ke zbytečnému, nadměrnému nebo značnému množství dat;
měnit data v systémech nebo službách organizace;
k nalezení chyb zabezpečení používat invazivní nebo destruktivní nástroje pro skenování velké intenzity;
se pokoušet o jakoukoli formu útoku DDoS, jako je například přetížení služby velkým počtem požadavků;
narušovat služby nebo systémy organizace;
zasílat hlášení, ve kterých nejsou uvedeny použitelné chyby zabezpečení, nebo hlášení uvádějící, že služby zcela neodpovídají „dobré praxi“, např. chybějící bezpečnostní hlavičky;
zprostředkovávat hlášení o chybách zabezpečení v konfiguraci TLS, např. o podpoře „slabé“ sady šifrování nebo o existenci podpory TLS1.0;
šířit chyby zabezpečení nebo související podrobnosti jiným způsobem, než jak je uvedeno ve zveřejněném souboru security.txt;
provádět sociální inženýrství, phishing nebo fyzické útoky na zaměstnance organizace nebo její infrastrukturu;
požadovat finanční odměnu za odhalení chyby zabezpečení.

Máte povinnost:

vždy dodržovat ustanovení o ochraně osobních údajů a nesmíte porušovat soukromí uživatelů, zaměstnanců, dodavatelů, služeb nebo systémů organizace. Například nesmíte sdílet ani dále šířit data získaná ze systémů nebo služeb a musíte je řádně zabezpečit;
bezpečně vymazat veškerá data získaná v rámci šetření, jakmile již nejsou potřeba, nebo do jednoho měsíce od odstranění chyby zabezpečení, podle toho, co nastane dříve (nebo jak předepisuje zákon o ochraně osobních údajů).

Právní informace

Tyto zásady jsou navrženy tak, aby osoby, které zjistily chybu zabezpečení, nebyly vystaveny trestnímu stíhání.

Hlášení chyb zabezpečení

Pokud objevíte chyby zabezpečení v IT systémech a webových aplikacích společnosti BORA Vertriebs GmbH & Co KG nebo v produktech distribuovaných společností BORA Vertriebs GmbH & Co KG, prosíme, abyste nás o tom informovali. Obratem pak podnikneme opatření k co nejrychlejšímu odstranění nalezené chyby zabezpečení.

Postupujte následovně:

Před nahlášením se informujte o případech, které nespadají do působnosti našich Zásady pro odhalování chyb zabezpečení a nejsou v jejich rámci upravovány.
Své poznatky o problému zabezpečení zašlete e-mailem na adresu security@bora.com.
Chybu nebo problém v zabezpečení nezneužívejte, například stahováním, úpravou nebo mazáním dat nebo nahráváním kódu.
Neposkytujte informace o chybě zabezpečení třetím stranám ani institucím, pokud by s tím společnost BORA Vertriebs GmbH & Co KG výslovně neudělila souhlas.
Neprovádějte žádné útoky na naše IT systémy, které ohrožují nebo mění infrastrukturu a osoby, nebo s nimi manipulují.
Neprovádějte žádné útoky sociálního inženýrství (např. phishing), útoky DDoS vedoucí k výpadku služby, nezasílejte nevyžádanou poštu ani neprovádějte jiné útoky na společnost BORA Vertriebs GmbH & Co KG.
Poskytněte nám dostatek informací, abychom mohli problém reprodukovat a analyzovat. Kvůli případným dalším dotazům uveďte také svůj kontakt.