Bezpieczeństwo

Polityka ujawniania luk w zabezpieczeniach

Zgłoś lukę w zabezpieczeniach

Wprowadzenie

Firma MyClusters B.V. („MyClusters”) przywiązuje dużą wagę do bezpieczeństwa swoich produktów i usług. Nasza platforma przetwarza dane dotyczące zdrowia osób cierpiących na klasterowy ból głowy i doceniamy pracę badaczy zajmujących się bezpieczeństwem, którzy pomagają nam identyfikować i usuwać luki w zabezpieczeniach. Chcemy, aby zgłaszanie takich luk było dla Ciebie łatwe i bezpieczne. Niniejsza polityka opisuje zasady zgłaszania wykrytych luk w zabezpieczeniach.

Zakres

W zakresie niniejszego dokumentu znajdują się:

  • https://myclusters.nl oraz jego subdomeny
  • Aplikacje MyClusters na systemy iOS i Android
  • Panel badawczy MyClusters, narzędzia ankietowe oraz narzędzie ePRO
  • Interfejsy API obsługujące wyżej wymienione usługi

Poniższe elementy nie wchodzą w zakres niniejszego dokumentu:

  • Usługi i platformy stron trzecich, z których korzysta MyClusters, ale których nie obsługuje (np. dostawcy usług hostingowych w chmurze, sklepy z aplikacjami, platformy do wysyłania biuletynów i podcastów). Prosimy o zgłaszanie luk w zabezpieczeniach tych usług bezpośrednio do odpowiedniego dostawcy.
  • Inżynieria społeczna (np. phishing) skierowana przeciwko pracownikom lub podwykonawcom MyClusters.
  • Ataki fizyczne.
  • Ataki typu „odmowa usługi” (DoS).
  • Zautomatyzowane skanowanie, które generuje nadmierny ruch sieciowy.

Stanowisko prawne i zasada „bezpiecznej przystani”

MyClusters nie będzie podejmować działań prawnych wobec użytkowników, którzy w dobrej wierze zgłaszają luki w zabezpieczeniach, działają w ramach niniejszej polityki, nie uzyskują dostępu do danych ani nie modyfikują ich w zakresie wykraczającym poza to, co jest konieczne do wykazania problemu, oraz przestrzegają terminów ujawniania informacji.

Zasady i warunki

  1. 01Nie ujawniaj publicznie luki w zabezpieczeniach, dopóki firma MyClusters nie będzie miała wystarczająco dużo czasu na zbadanie sprawy i usunięcie luki (zazwyczaj 90 dni od daty zgłoszenia).
  2. 02Nie uzyskuj dostępu do danych MyClusters ani jej użytkowników, nie modyfikuj ich, nie eksfiltruj ani nie niszcz. Korzystaj wyłącznie z kont, których jesteś właścicielem lub które utworzyłeś w celach testowych.
  3. 03Jeśli przypadkowo uzyskasz dostęp do danych osobowych lub dotyczących zdrowia, natychmiast przerwij testowanie, nie przechowuj ani nie udostępniaj tych danych i poinformuj nas o tym w zgłoszeniu.
  4. 04Nie przeprowadzaj testów, które zakłócają działanie usługi dla innych użytkowników (zakaz ataków typu DoS oraz automatycznego skanowania z częstotliwością wpływającą na wydajność).
  5. 05Nie przeprowadzaj testów na kontach ani w środowiskach pacjentów lub partnerów badawczych bez ich wyraźnej, uprzedniej zgody.
  6. 06Zgłoszenia należy składać w języku angielskim i muszą one zawierać wystarczająco szczegółowe informacje, aby umożliwić odtworzenie problemu.

Jak zgłosić lukę w zabezpieczeniach

Prosimy o przesłanie raportu na adres security@myclusters.nl.

Wyślij zgłoszenie

Uwzględnij:

  • Jasny opis luki w zabezpieczeniach i jej skutków.
  • Szczegółowe instrukcje pozwalające odtworzyć problem, w tym ewentualny kod proof-of-concept (PoC), zrzuty ekranu lub filmy.
  • Adres URL / punkt końcowy / produkt, którego dotyczy problem, oraz wersja (jeśli dotyczy).
  • Twoje dane kontaktowe, jeśli chcesz otrzymywać aktualności i zostać wymieniony w podziękowaniach.

Czego możesz od nas oczekiwać

  1. Potwierdzenie otrzymania zgłoszenia w ciągu 5 dni roboczych.

  2. Ocena oraz harmonogram działań naprawczych w ciągu 10 dni roboczych.

  3. Będziemy na bieżąco informować o postępach w badaniu i usuwaniu tej usterki.

MyClusters nie prowadzi płatnego programu nagród za wykrycie błędów i nie oferuje wynagrodzenia pieniężnego za zgłoszone luki w zabezpieczeniach.

Kryteria akceptacji i ustalanie priorytetów

Zgłoszenia są oceniane przy użyciu systemu Common Vulnerability Scoring System (CVSS), z uwzględnieniem wpływu na poufność, integralność i dostępność naszych usług oraz przetwarzanych przez nas danych osobowych. Każde zweryfikowane zgłoszenie otrzymuje priorytet: krytyczny, wysoki, średni lub niski, a działania naprawcze są planowane odpowiednio do tego priorytetu.

Z reguły nie przyjmujemy następujących zgłoszeń:

  • Kwestie teoretyczne bez wyraźnego praktycznego znaczenia.
  • Brak nagłówków zgodnych z najlepszymi praktykami lub konfiguracji, w przypadku których nie wykazano możliwości wykorzystania luki.
  • Wyniki uzyskane za pomocą automatycznych skanerów bez weryfikacji.
  • Luki w zabezpieczeniach w systemach nieobjętych zakresem niniejszej polityki lub wymagające technik wykraczających poza ten zakres (np. inżynieria społeczna, dostęp fizyczny, ataki typu DoS).