Úvod
Společnost MyClusters B.V. („MyClusters“) bere bezpečnost svých produktů a služeb velmi vážně. Naše platforma zpracovává zdravotní údaje osob trpících klastrovými bolestmi hlavy a vážíme si práce bezpečnostních výzkumníků, kteří nám pomáhají identifikovat a odstranit zranitelnosti. Chceme vám to usnadnit a zajistit, aby to pro vás bylo bezpečné. Tyto zásady popisují pravidla pro nahlášení zranitelnosti, kterou jste objevili.
Rozsah
Do rozsahu patří:
- https://myclusters.nl a jeho subdomény
- Aplikace MyClusters pro iOS a Android
- Výzkumný panel MyClusters, nástroje pro průzkumy a nástroj ePRO
- Rozhraní API podporující výše uvedené služby
Následující položky nespadají do rozsahu:
- Služby a platformy třetích stran, které MyClusters využívá, ale neprovozuje (např. poskytovatelé cloudového hostingu, obchody s aplikacemi, platformy pro zasílání newsletterů a podcastů). Zranitelnosti v těchto službách prosím nahlaste přímo příslušnému poskytovateli.
- Sociální inženýrství (např. phishing) namířené proti zaměstnancům nebo dodavatelům společnosti MyClusters.
- Fyzické útoky.
- Útoky typu „odmítnutí služby“ (DoS).
- Automatické skenování, které způsobuje nadměrný provoz.
Právní postavení a zásada „safe harbour“
Společnost MyClusters nebude podnikat právní kroky proti uživatelům, kteří v dobré víře nahlásí zranitelnosti, dodržují rámec těchto zásad, nepřistupují k datům ani je neupravují nad rámec toho, co je nezbytné k prokázání daného problému, a dodržují lhůtu pro zveřejnění.
Podmínky
- 01Zranitelnost nezveřejňujte, dokud společnost MyClusters nebude mít přiměřenou příležitost ji prošetřit a odstranit (obvykle 90 dní od data nahlášení).
- 02Nepřistupujte k datům služby MyClusters ani jejích uživatelů, neupravujte je, nevynášejte (neexfiltrujte) je ani je neničte. Používejte pouze účty, které vlastníte nebo které jste si vytvořili pro testovací účely.
- 03Pokud omylem narazíte na osobní nebo zdravotní údaje, okamžitě přerušte testování, tyto údaje neukládejte ani nesdílejte a informujte nás o tom ve své zprávě.
- 04Neprovádějte testy, které narušují fungování služby pro ostatní uživatele (žádné útoky typu DoS, žádné automatické skenování v takovém rozsahu, který by ovlivňoval výkon).
- 05Netestujte účty ani prostředí pacientů či výzkumných partnerů bez jejich výslovného předchozího souhlasu.
- 06Zprávy musí být předloženy v angličtině a musí obsahovat dostatek podrobností k tomu, aby bylo možné daný problém reprodukovat.
Jak nahlásit zranitelnost
Zprávu zašlete na adresu security@myclusters.nl.
Zahrnout:
- Jasný popis této zranitelnosti a jejích dopadů.
- Podrobný návod k reprodukci, včetně případného proof-of-concept kódu, snímků obrazovky nebo videí.
- Dotčená URL adresa / koncový bod / produkt a případně verze.
- Vaše kontaktní údaje, pokud máte zájem dostávat novinky a být uveden v poděkování.
Co od nás můžete očekávat
Potvrzení o přijetí vašeho hlášení do 5 pracovních dnů.
Posouzení a stanovený harmonogram nápravných opatření do 10 pracovních dnů.
Aktuální informace o průběhu vyšetřování a řešení problému.
Společnost MyClusters neprovozuje placený program odměn za nalezení chyb a za nahlášené zranitelnosti neposkytuje finanční odměny.
Kritéria přijatelnosti a stanovení priorit
Hlášení se vyhodnocují pomocí systému Common Vulnerability Scoring System (CVSS) s ohledem na dopad na důvěrnost, integritu a dostupnost našich služeb a osobních údajů, které zpracováváme. Každé ověřené hlášení je zařazeno do jedné z následujících priorit: kritická, vysoká, střední nebo nízká, a na základě toho se plánují nápravná opatření.
Následující hlášení obvykle nepřijímáme:
- Teoretické otázky bez prokazatelného praktického dopadu.
- Chybějící bezpečnostní hlavičky nebo konfigurace podle osvědčených postupů, u nichž nebyla prokázána možnost zneužití.
- Výsledky z automatizovaných skenerů bez ověření.
- Zranitelnosti v systémech mimo rozsah těchto zásad nebo zranitelnosti vyžadující techniky mimo tento rozsah (např. sociální inženýrství, fyzický přístup, DoS).