Безопасность

Политика раскрытия информации об уязвимостях

Сообщить об уязвимости

Введение

Компания MyClusters B.V. («MyClusters») серьезно относится к вопросам безопасности своих продуктов и услуг. Наша платформа обрабатывает медицинские данные людей, страдающих кластерной головной болью, и мы высоко ценим работу исследователей в области безопасности, которые помогают нам выявлять и устранять уязвимости. Мы хотим, чтобы вам было легко и безопасно это делать. В настоящей политике описаны правила сообщения об обнаруженных вами уязвимостях.

Область применения

В сферу применения входят:

  • https://myclusters.nl и его поддомены
  • Приложения MyClusters для iOS и Android
  • Информационная панель для исследований MyClusters, инструменты для проведения опросов и инструмент ePRO
  • API, поддерживающие перечисленные выше сервисы

Не входят в сферу применения:

  • Сторонние сервисы и платформы, которые использует MyClusters, но не управляет ими (например, поставщики облачного хостинга, магазины приложений, платформы для рассылки новостей и подкастов). Об уязвимостях в этих сервисах просим сообщать непосредственно соответствующим поставщикам.
  • Социальная инженерия (например, фишинг) в отношении сотрудников или подрядчиков MyClusters.
  • Физические атаки.
  • Атаки типа «отказ в обслуживании» (DoS).
  • Автоматическое сканирование, вызывающее чрезмерную нагрузку на сеть.

Правовая позиция и «безопасная гавань»

MyClusters не будет предпринимать юридических действий в отношении пользователей, которые добросовестно сообщают об уязвимостях, не выходят за рамки настоящей политики, не получают доступ к данным и не изменяют их сверх того, что необходимо для демонстрации проблемы, а также соблюдают сроки раскрытия информации.

Условия участия

  1. 01Не раскрывайте информацию об уязвимости публично, пока у MyClusters не будет разумной возможности ее расследовать и устранить (как правило, 90 дней с даты получения сообщения).
  2. 02Не допускается доступ к данным MyClusters или его пользователей, их изменение, вывод за пределы системы или уничтожение. Используйте только те учетные записи, которые принадлежат вам или были созданы вами для тестирования.
  3. 03Если вы случайно получили доступ к личным данным или данным о здоровье, немедленно прекратите тестирование, не сохраняйте и не передавайте эти данные, а также сообщите об этом в своём отчете.
  4. 04Не проводите тестирование, которое приводит к сбоям в работе сервиса для других пользователей (запрещены DoS-атаки и автоматическое сканирование с частотой, влияющей на производительность).
  5. 05Не проводите тестирование учетных записей или сред пациентов или партнеров по исследованиям без их явного предварительного согласия.
  6. 06Отчеты должны быть представлены на английском языке и содержать достаточно подробную информацию, позволяющую воспроизвести проблему.

Как сообщить об уязвимости

Отправьте свой отчет по адресу security@myclusters.nl.

Отправить отчет

Укажите:

  • Четкое описание уязвимости и её последствий.
  • Пошаговая инструкция по воспроизведению проблемы, включая PoC-код (proof-of-concept), скриншоты или видео.
  • Затронутый URL-адрес / конечная точка / продукт и, при необходимости, версия.
  • Ваши контактные данные, если вы хотите получать новости о ходе работы и чтобы мы упомянули вас в благодарностях.

Чего вы можете ожидать от нас

  1. Подтверждение получения вашего сообщения в течение 5 рабочих дней.

  2. Оценка и ориентировочные сроки устранения уязвимости в течение 10 рабочих дней.

  3. Обновления о ходе расследования и устранения проблемы.

MyClusters не проводит платную программу по поиску уязвимостей и не предлагает денежное вознаграждение за обнаруженные уязвимости.

Критерии приемки и определение приоритетов

Сообщения оцениваются с использованием Общей системы оценки уязвимостей (CVSS) с учетом воздействия на конфиденциальность, целостность и доступность наших услуг, а также на персональные данные, которые мы обрабатываем. Каждому подтвержденному сообщению присваивается приоритет: «Критический», «Высокий», «Средний» или «Низкий», и на его основе планируются меры по устранению уязвимости.

Как правило, мы не принимаем следующие отчеты:

  • Теоретические проблемы, не имеющие подтвержденного практического воздействия.
  • Отсутствие заголовков, соответствующих передовым практикам, или настроек, для которых не доказана возможность их использования злоумышленниками.
  • Результаты, полученные с помощью автоматических сканеров без проверки достоверности.
  • Уязвимости в системах, не входящих в сферу охвата, или требующие применения методов, выходящих за пределы данной сферы (например, социальная инженерия, физический доступ, DoS).