Inledning
MyClusters B.V. (”MyClusters”) tar säkerheten kring sina produkter och tjänster på stort allvar. Vår plattform behandlar hälsodata från personer som lever med klusterhuvudvärk, och vi uppskattar det arbete som säkerhetsforskare utför för att hjälpa oss att identifiera och åtgärda sårbarheter. Vi vill göra det enkelt och säkert för dig att göra detta. Denna policy beskriver reglerna för hur du rapporterar en sårbarhet som du har upptäckt.
Tillämpningsområde
Följande ingår i tillämpningsområdet:
- https://myclusters.nl och dess underdomäner
- MyClusters-apparna för iOS och Android
- MyClusters forskningsdashboard, enkätverktygen och ePRO-verktyget
- API:er som stöder de tjänster som anges ovan
Följande ingår inte i tillämpningsområdet:
- Tredjepartstjänster och plattformar som MyClusters använder men inte driver (t.ex. molnhostingleverantörer, appbutiker, nyhetsbrevs- och podcastplattformar). Rapportera sårbarheter i dessa tjänster direkt till respektive leverantör.
- Social manipulation (t.ex. nätfiske) riktad mot MyClusters personal eller uppdragstagare.
- Fysiska attacker.
- Denial-of-service-attacker (DoS).
- Automatiserad skanning som genererar överdriven trafik.
Rättslig ställning och safe harbour
MyClusters kommer inte att vidta rättsliga åtgärder mot användare som i god tro rapporterar sårbarheter, håller sig inom ramen för denna policy, inte får tillgång till eller ändrar data utöver vad som krävs för att påvisa problemet och respekterar tidsplanen för offentliggörande.
Villkor
- 01Offentliggör inte sårbarheten förrän MyClusters har haft rimlig tid att utreda och åtgärda den (vanligtvis 90 dagar från det datum då rapporten lämnades in).
- 02Du får inte komma åt, ändra, läcka ut eller förstöra data som tillhör MyClusters eller dess användare. Använd endast konton som du själv äger eller har skapat för teständamål.
- 03Om du av misstag får tillgång till personuppgifter eller hälsouppgifter ska du omedelbart avbryta testningen, inte spara eller dela uppgifterna och informera oss om detta i din rapport.
- 04Utför inte tester som stör tjänsten för andra användare (inga DoS-attacker, ingen automatiserad skanning i en takt som påverkar prestandan).
- 05Testa inte konton eller miljöer som tillhör patienter eller forskningspartner utan deras uttryckliga förhandsgodkännande.
- 06Rapporterna måste lämnas in på engelska och innehålla tillräckligt med detaljer för att man ska kunna återskapa problemet.
Så här rapporterar du en sårbarhet
Skicka din rapport till security@myclusters.nl.
Bifoga:
- En tydlig beskrivning av sårbarheten och dess konsekvenser.
- Steg-för-steg-instruktioner för att återskapa felet, inklusive eventuell proof-of-concept-kod, skärmdumpar eller videoklipp.
- Den berörda URL:en / slutpunkten / produkten samt versionen, i förekommande fall.
- Dina kontaktuppgifter om du vill få uppdateringar och bli krediterad.
Vad du kan förvänta dig av oss
En bekräftelse på din rapport inom 5 arbetsdagar.
En bedömning och en tidsplan för åtgärder inom 10 arbetsdagar.
Statusuppdateringar medan vi undersöker och åtgärdar problemet.
MyClusters bedriver inget betalt bug bounty-program och erbjuder inga ekonomiska belöningar för rapporterade sårbarheter.
Godkännandekriterier och prioritering
Rapporterna utvärderas med hjälp av Common Vulnerability Scoring System (CVSS), där hänsyn tas till påverkan på konfidentialiteten, integriteten och tillgängligheten för våra tjänster samt de personuppgifter vi behandlar. Varje validerad rapport prioriteras som ”Kritisk”, ”Hög”, ”Medel” eller ”Låg”, och åtgärder planeras därefter.
Vi godtar vanligtvis inte följande rapporter:
- Teoretiska problem utan påvisbar praktisk betydelse.
- Saknade HTTP-huvuden eller konfigurationer enligt bästa praxis utan påvisad utnyttjbarhet.
- Resultat från automatiska skannrar utan validering.
- Sårbarheter i system utanför tillämpningsområdet eller som kräver metoder utanför tillämpningsområdet (t.ex. social manipulation, fysisk åtkomst, DoS).