Johdanto
MyClusters B.V. (”MyClusters”) suhtautuu tuotteidensa ja palveluidensa tietoturvaan vakavasti. Alustamme käsittelee klusteripäänsärkyä sairastavien ihmisten terveystietoja, ja arvostamme tietoturvatutkijoiden työtä, joka auttaa meitä tunnistamaan ja korjaamaan haavoittuvuuksia. Haluamme, että haavoittuvuuksien ilmoittaminen on sinulle helppoa ja turvallista. Tässä ohjeessa kuvataan säännöt, joita noudatetaan ilmoittaessasi havaitsemastasi haavoittuvuudesta.
Soveltamisala
Soveltamisalaan kuuluvat seuraavat:
- https://myclusters.nl ja sen aliverkkotunnukset
- MyClusters-sovellukset iOS:lle ja Androidille
- MyClusters-tutkimuskoontinäyttö, kyselytyökalut ja ePRO-työkalu
- Edellä lueteltuja palveluita tukevat sovellusrajapinnat (API:t)
Soveltamisalaan eivät kuulu seuraavat:
- Kolmansien osapuolten palvelut ja alustat, joita MyClusters käyttää mutta joita se ei ylläpidä (esim. pilvipalveluntarjoajat, sovelluskaupat, uutiskirje- ja podcast-alustat). Ilmoita näiden palvelujen haavoittuvuuksista suoraan kyseiselle palveluntarjoajalle.
- MyClustersin henkilöstöön tai alihankkijoihin kohdistuva sosiaalinen manipulaatio (esim. tietojenkalastelu).
- Fyysiset hyökkäykset.
- Palvelunestohyökkäykset (DoS).
- Automaattinen skannaus, joka aiheuttaa liiallista liikennettä.
Oikeudellinen asema ja safe harbour -periaate
MyClusters ei ryhdy oikeustoimiin niitä käyttäjiä vastaan, jotka ilmoittavat haavoittuvuuksista vilpittömässä mielessä, noudattavat tämän käytännön puitteita, eivät käytä tai muokkaa tietoja enempää kuin on tarpeen ongelman osoittamiseksi ja noudattavat ilmoitusaikataulua.
Ehdot
- 01Älä julkista haavoittuvuutta, ennen kuin MyClustersille on annettu kohtuullinen mahdollisuus tutkia ja korjata asia (yleensä 90 päivää ilmoituksen tekopäivästä).
- 02Älä hanki pääsyä MyClustersin tai sen käyttäjien tietoihin äläkä muokkaa, siirrä ulos tai tuhoa niitä. Käytä ainoastaan omia tilejäsi tai tilejä, jotka olet luonut testausta varten.
- 03Jos pääset vahingossa käsiksi henkilötietoihin tai terveystietoihin, keskeytä testaus välittömästi, älä tallenna tai jaa tietoja ja ilmoita asiasta raportissasi.
- 04Älä suorita testejä, jotka häiritsevät palvelun toimintaa muille käyttäjille (ei DoS-hyökkäyksiä, ei automaattista skannausta suorituskykyyn vaikuttavalla taajuudella).
- 05Älä testaa potilaiden tai tutkimuskumppaneiden tilejä tai ympäristöjä ilman heidän nimenomaista etukäteen antamaansa suostumusta.
- 06Raportit on toimitettava englanniksi, ja niiden on sisällettävä riittävät tiedot ongelman toistamiseksi.
Näin ilmoitat haavoittuvuudesta
Lähetä raporttisi osoitteeseen security@myclusters.nl.
Liitä mukaan:
- Selkeä kuvaus haavoittuvuudesta ja sen vaikutuksista.
- Vaiheittaiset ohjeet ongelman toistamiseksi, mukaan lukien mahdollinen proof-of-concept-koodi, kuvakaappaukset tai videot.
- Kyseessä oleva URL-osoite / päätepiste / tuote ja versio, mikäli sovellettavissa.
- Yhteystietosi, jos haluat saada tilannetietoja ja tulla mainituksi.
Mitä voit odottaa meiltä
Vahvistus ilmoituksestasi 5 työpäivän kuluessa.
Arviointi ja korjaustoimenpiteiden tavoiteaikataulu 10 työpäivän kuluessa.
Tilannetiedotteita ongelman selvittämisen ja korjaamisen edetessä.
MyClustersilla ei ole bug bounty -ohjelmaa, eikä se maksa rahallisia palkkioita ilmoitetuista haavoittuvuuksista.
Hyväksymiskriteerit ja priorisointi
Ilmoitukset arvioidaan Common Vulnerability Scoring System (CVSS) -järjestelmän avulla, ottaen huomioon niiden vaikutukset palveluidemme sekä käsittelemiemme henkilötietojen luottamuksellisuuteen, eheyteen ja saatavuuteen. Jokaiselle vahvistetulle ilmoitukselle annetaan prioriteettitaso ”kriittinen”, ”korkea”, ”keskitaso” tai ”matala”, ja korjaustoimenpiteet suunnitellaan tämän mukaisesti.
Emme yleensä hyväksy seuraavia ilmoituksia:
- Teoreettiset ongelmat, joilla ei ole osoitettavissa olevia käytännön vaikutuksia.
- Puuttuvat parhaiden käytäntöjen mukaiset HTTP-otsakkeet tai asetukset, joiden hyödynnettävyyttä ei ole osoitettu.
- Automaattisten skannerien tulokset ilman validointia.
- Haavoittuvuudet, jotka sijaitsevat soveltamisalan ulkopuolella olevissa järjestelmissä tai joiden hyödyntäminen edellyttää soveltamisalan ulkopuolisia menetelmiä (esim. sosiaalinen manipulointi, fyysinen pääsy, DoS).