Sicurezza

Politica sulla divulgazione delle vulnerabilità

Segnala una vulnerabilità

Introduzione

MyClusters B.V. (“MyClusters”) attribuisce grande importanza alla sicurezza dei propri prodotti e servizi. La nostra piattaforma tratta i dati sanitari di persone affette da cefalea a grappolo e apprezziamo il lavoro dei ricercatori di sicurezza che ci aiutano a identificare e correggere le vulnerabilità. Vogliamo rendere questo processo semplice e sicuro per te. La presente politica descrive le regole per segnalare una vulnerabilità che hai individuato.

Ambito di applicazione

Rientrano nell'ambito di applicazione:

  • https://myclusters.nl e i suoi sottodomini
  • Le app MyClusters per iOS e Android
  • La dashboard di ricerca MyClusters, gli strumenti per i sondaggi e lo strumento ePRO
  • API che supportano i servizi sopra elencati

I seguenti elementi non rientrano nell'ambito di applicazione:

  • Servizi e piattaforme di terze parti utilizzati da MyClusters ma non gestiti da quest’ultima (ad esempio, fornitori di hosting cloud, app store, piattaforme di newsletter e podcast). Si prega di segnalare eventuali vulnerabilità relative a tali servizi direttamente al rispettivo fornitore.
  • Attacchi di ingegneria sociale (ad esempio, phishing) ai danni del personale o dei collaboratori esterni di MyClusters.
  • Attacchi fisici.
  • Attacchi di tipo "denial-of-service" (DoS).
  • Scansione automatizzata che genera un traffico eccessivo.

Posizione giuridica e "safe harbour"

MyClusters non intraprenderà azioni legali nei confronti degli utenti che segnalino vulnerabilità in buona fede, si attengano all'ambito di applicazione della presente politica, non accedano né modifichino i dati oltre quanto necessario per dimostrare il problema e rispettino i tempi di divulgazione.

Termini e condizioni

  1. 01Non rendere pubblica la vulnerabilità finché MyClusters non avrà avuto un lasso di tempo ragionevole per indagare e porvi rimedio (in genere 90 giorni dalla data della segnalazione).
  2. 02Non accedere, modificare, sottrarre o distruggere i dati di MyClusters o dei suoi utenti. Utilizza solo account di tua proprietà o che hai creato a scopo di test.
  3. 03Se dovessi accedere inavvertitamente a dati personali o sanitari, interrompi immediatamente il test, non salvare né condividere i dati e segnalacelo nel tuo rapporto.
  4. 04Non eseguire test che possano compromettere il servizio per gli altri utenti (niente attacchi DoS, niente scansioni automatiche a frequenze tali da influire sulle prestazioni).
  5. 05Non effettuare test su account o ambienti di pazienti o partner di ricerca senza il loro esplicito consenso preventivo.
  6. 06I rapporti devono essere redatti in inglese e contenere informazioni sufficientemente dettagliate da consentire la riproduzione del problema.

Come segnalare una vulnerabilità

Invia il tuo rapporto all'indirizzo security@myclusters.nl.

Invia segnalazione

Includere:

  • Una descrizione chiara della vulnerabilità e del suo impatto.
  • Istruzioni dettagliate per la riproduzione, compreso l'eventuale codice proof-of-concept, schermate o video.
  • L'URL, l'endpoint o il prodotto interessato e, se del caso, la versione.
  • I tuoi dati di contatto, nel caso in cui desideri ricevere aggiornamenti ed essere citato.

Cosa puoi aspettarti da noi

  1. Riceverai conferma della ricezione della tua segnalazione entro 5 giorni lavorativi.

  2. Una valutazione e un calendario indicativo degli interventi correttivi entro 10 giorni lavorativi.

  3. Aggiornamenti sullo stato della situazione man mano che analizziamo e risolviamo il problema.

MyClusters non gestisce un programma a pagamento di ricompensa per la segnalazione di bug e non offre ricompense in denaro per le vulnerabilità segnalate.

Criteri di accettazione e definizione delle priorità

Le segnalazioni vengono valutate utilizzando il Common Vulnerability Scoring System (CVSS), tenendo conto dell'impatto sulla riservatezza, sull'integrità e sulla disponibilità dei nostri servizi e dei dati personali che trattiamo. A ogni segnalazione convalidata viene assegnata una priorità (Critica, Alta, Media o Bassa) e le misure correttive vengono pianificate di conseguenza.

In genere non accettiamo le segnalazioni seguenti:

  • Questioni teoriche prive di un impatto pratico dimostrabile.
  • Mancanza di intestazioni o configurazioni conformi alle migliori pratiche, senza che ne sia stata dimostrata la sfruttabilità.
  • Risultati ottenuti da scanner automatici senza convalida.
  • Vulnerabilità presenti in sistemi non compresi nell'ambito di applicazione o che richiedono tecniche non comprese nell'ambito di applicazione (ad esempio, ingegneria sociale, accesso fisico, DoS).