Innledning
MyClusters B.V. («MyClusters») tar sikkerheten rundt sine produkter og tjenester på alvor. Plattformen vår behandler helsedata fra personer som lever med klyngehodepine, og vi setter pris på arbeidet til sikkerhetsforskere som hjelper oss med å identifisere og utbedre sårbarheter. Vi ønsker å gjøre det enkelt og trygt for deg å gjøre dette. Denne retningslinjen beskriver reglene for rapportering av en sårbarhet du har oppdaget.
Omfang
Følgende faller innenfor omfanget:
- https://myclusters.nl og dets underdomener
- MyClusters-appene for iOS og Android
- MyClusters-forskningsdashbordet, undersøkelsesverktøyene og ePRO-verktøyet
- API-er som støtter tjenestene som er oppført ovenfor
Følgende faller utenfor omfanget:
- Tjenester og plattformer fra tredjeparter som MyClusters bruker, men ikke driver selv (f.eks. leverandører av skyhosting, appbutikker, nyhetsbrev- og podkastplattformer). Rapporter sårbarheter i disse tjenestene direkte til den aktuelle leverandøren.
- Sosial manipulering (f.eks. phishing) rettet mot ansatte eller innleide konsulenter hos MyClusters.
- Fysiske angrep.
- Denial-of-service-angrep (DoS).
- Automatisert skanning som genererer for mye trafikk.
Rettslig stilling og «safe harbour»-bestemmelsen
MyClusters vil ikke iverksette rettslige tiltak mot brukere som i god tro rapporterer sårbarheter, holder seg innenfor rammen av denne retningslinjen, ikke får tilgang til eller endrer data utover det som er nødvendig for å påvise problemet, og overholder tidsplanen for offentliggjøring.
Vilkår
- 01Du må ikke offentliggjøre sårbarheten før MyClusters har hatt rimelig tid til å undersøke og utbedre det (vanligvis 90 dager fra datoen for meldingen).
- 02Du må ikke få tilgang til, endre, eksfiltrere eller ødelegge data tilhørende MyClusters eller dets brukere. Bruk kun kontoer du eier eller har opprettet for testformål.
- 03Hvis du ved en feiltakelse får tilgang til personopplysninger eller helseopplysninger, må du umiddelbart avbryte testingen, ikke lagre eller dele opplysningene, og informere oss om dette i rapporten din.
- 04Ikke utfør tester som forstyrrer tjenesten for andre brukere (ingen DoS-angrep, ingen automatisert skanning med en frekvens som påvirker ytelsen).
- 05Du må ikke teste kontoer eller miljøer tilhørende pasienter eller forskningspartnere uten deres uttrykkelige forhåndssamtykke.
- 06Rapportene må sendes inn på engelsk og inneholde tilstrekkelig med detaljer til at problemet kan gjenskapes.
Slik rapporterer du en sårbarhet
Send rapporten din til security@myclusters.nl.
Inkluder:
- En tydelig beskrivelse av sårbarheten og konsekvensene av den.
- Trinnvise instruksjoner for å gjenskape feilen, inkludert eventuelle proof-of-concept-koder, skjermbilder eller videoer.
- Den berørte URL-adressen / endepunktet / produktet og versjonen, der det er aktuelt.
- Kontaktopplysningene dine, dersom du ønsker å motta oppdateringer og bli kreditert.
Hva du kan forvente av oss
Du vil motta en bekreftelse på mottak av rapporten din innen 5 virkedager.
En vurdering og en tidsplan for utbedring innen 10 virkedager.
Statusoppdateringer mens vi undersøker og løser problemet.
MyClusters driver ikke et betalt bug bounty-program og tilbyr ikke økonomisk belønning for rapporterte sårbarheter.
Godkjenningskriterier og prioritering
Rapporter vurderes ved hjelp av Common Vulnerability Scoring System (CVSS), der det tas hensyn til konsekvensene for konfidensialiteten, integriteten og tilgjengeligheten til våre tjenester og personopplysningene vi behandler. Hver validerte rapport prioriteres som «Kritisk», «Høy», «Middels» eller «Lav», og avhjelpende tiltak planlegges deretter.
Vi godtar vanligvis ikke følgende rapporter:
- Teoretiske problemer uten påvisbar praktisk betydning.
- Manglende HTTP-headere eller konfigurasjoner etter beste praksis uten påvist utnyttbarhet.
- Resultater fra automatiserte skannere uten validering.
- Sårbarheter i systemer som faller utenfor omfanget, eller som krever teknikker som faller utenfor omfanget (f.eks. sosial manipulering, fysisk tilgang, DoS).