Haavoittuvuuksista ilmoittaminen

Suhtaudumme järjestelmiemme tietoturvaan vakavasti ja arvostamme tietoturvayhteisöä. Tietoturvahaavoittuvuuksista ilmoittaminen auttaa meitä varmistamaan käyttäjiemme turvallisuuden ja yksityisyyden.

Ohjeet

Testaajia koskevat edellytykset:

• Pyri kaikin keinoin välttämään yksityisyyden loukkaukset, käyttäjäkokemuksen heikkeneminen, tuotantojärjestelmien häiriöt ja tietojen tuhoutuminen tietoturvatestauksen aikana.
• Suorita testausta ainoastaan jäljempänä mainitun soveltamisalan puitteissa.
• Käytä tunnettuja viestintäkanavia ilmoittaaksesi meille haavoittuvuuksista.
• Pidä havaitsemiasi haavoittuvuuksia koskevat tiedot luottamuksellisina sinun ja Skillhabitin välillä, kunnes meillä on ollut 90 päivää aikaa ratkaista ongelma.

Jos noudatat näitä ohjeita ilmoittaessasi meille ongelmasta, sitoudumme seuraavaan:

• Emme ryhdy testaukseesi liittyviin oikeustoimiin tai osallistu niihin.
• Työskentelemme kanssasi ongelman ymmärtämiseksi ja ratkaisemiseksi nopeasti (mukaan lukien raporttisi alustava vahvistus 72 tunnin kuluessa sen lähettämisestä).
• Tunnustamme panoksesi Security Researcher Hall of Fame -listalla, jos olet ensimmäinen, joka raportoi ongelmasta ja teemme koodiin tai kokoonpanoon muutoksia ongelman perusteella.

Soveltamisala

skillhabit.com

Soveltamisalan ulkopuoliset palvelut

Kolmannen osapuolen palveluntarjoajien tarjoamat palvelut eivät kuulu testauksen piiriin. Näihin palveluihin kuuluvat:

AppSentry

BunnyCDN

Simple Analytics

RapidMail

Graylog

Nets (DIBS)

Stripe

Käyttäjiemme, henkilökuntamme, koko Internetin ja tietoturvatestaajien turvallisuuden vuoksi seuraavat testityypit on jätetty soveltamisalan ulkopuolelle:

• Fyysisen testauksen löydökset, kuten kulku toimistoon (esim. avoimet ovet, perässä roikkuminen)
• Pääasiassa sosiaalisesta manipuloinnista (esim. phishing, vishing) peräisin olevat löydökset
• Löydökset sovelluksista tai järjestelmistä, joita ei ole ole lueteltu kohdassa "Soveltamisala"
• UI- ja UX-virheet sekä kirjoitusvirheet
• Verkkotason palvelunestohyökkäykseen (DoS/DDoS) liittyvät haavoittuvuudet

Asioita, joita emme halua vastaanottaa:

• Henkilötiedot
• Luottokortin haltijan tiedot

Miten haavoittuvuuksista ilmoitetaan

Jos uskot löytäneesi tietoturvaan liittyvän haavoittuvuuden tuotteestamme tai alustastamme, lähetä meille sähköpostia osoitteeseen security@skillhabit.com. Liitä ilmoitukseesi seuraavat tiedot:

• Kuvaus haavoittuvuuden sijainnista ja mahdollisista vaikutuksista
• Yksityiskohtainen kuvaus haavoittuvuuden toistamiseen tarvittavista vaiheista (POC-skriptit, kuvakaappaukset ja pakatut kuvakaappaukset ovat meille hyödyllisiä)
• Nimesi/nimimerkkisi ja linkki Hall of Fame -tunnustusta varten