Zásady zverejňovania informácií o zraniteľnosti

Záväzok značky

V spoločnosti Cybex GmbH poskytujeme nielen mimoriadnu bezpečnosť a ochranu svojich produktov, ale venujeme sa aj ochrane zákazníkov a partnerov pred kybernetickými rizikami a budovaniu vzťahov založených na dôvere.

Preto má zaistenie ochrany údajov a bezpečnosť digitálnych produktov pre našu spoločnosť mimoriadny význam. Chceli by sme vyzvať zákazníkov, partnerov a výskumníkov v oblasti bezpečnosti, ktorí s nami zdieľajú rovnaké hodnoty, aby v dobrej viere nahlasovali všetky zistené prípady zraniteľnosti digitálnych aktív.

Spoločnosť Cybex GmbH si váži a oceňuje úsilie výskumníkov v oblasti bezpečnosti a ich hlásenia, ktoré pomáhajú zlepšovať bezpečnosť a spoľahlivosť služieb. Tieto zásady načrtávajú súvisiace systémy a výskum, postup nahlasovania informácií o zraniteľnosti a rozvrh lehôt na predkladanie hlásení.

Upozorňujeme, že tieto zásady môžu podliehať zmenám, preto by ste ich mali pravidelne kontrolovať.

Rozsah

Tieto zásady sa vzťahujú len na verejne prístupné digitálne aktíva, aplikácie a platformy, ktoré vlastní a prevádzkuje spoločnosť Cybex GmbH a sú obmedzené na nasledujúce domény a subdomény:

*.cybex-online.com
*.goodbabyprod.com
*.gb-online.com
*.columbustp.com
*.goodbaby.eu
*.rollplay.com
gbinternational.com.hk
mycbx.com
cybex.link
cbex-online.com

Ak sú v rámci skúmania ovplyvnené služby tretích strán, nemôžeme vám testovanie týchto systémov povoliť. Ak máte pochybnosti, obráťte sa na nás pred testovaním digitálneho aktíva, aplikácie alebo platformy.

Bezpečný prístav

Spoločnosť Cybex GmbH žiada o zodpovedné zverejňovanie prípadov zraniteľnosti, a to aj v prípade, že sa na programe zverejňovania informácií o zraniteľnosti zúčastňujete dobrovoľne a s dobrým úmyslom. Spoločnosť dáva prísľub, že nebude iniciovať ani podporovať žiadne právne konanie proti žiadnemu výskumníkovi, ktorý postupuje pri vedení skúmania zraniteľnosti tieto zásady. To neplatí v prípade vykonávania rozpoznateľných trestných alebo spravodajských zámerov.

Ak podnikne právne kroky proti výskumníkovi tretia strana, hoci konal v súlade s týmito zásadami, spoločnosť Cybex GmbH zabezpečí oznámenie súladu s týmito zásadami. Ak majú výskumníci akékoľvek pochybnosti o súlade so zásadami, mali by predložiť oficiálnym kanálom správu skôr ako budú v skúmaní pokračovať.

Okrem toho tieto zásady neoslobodzujú výskumníkov od platných federálnych, štátnych a miestnych zákonov o hackingu a ochrane osobných údajov.

Smernice

Účasťou na programe s dobrými úmyslami a súhlasom s pravidlami sa výskumníci zaväzujú:

Skúmať len systémy v rámci rozsahu týchto zásad.
Predchádzať prerušeniu systému alebo aplikácie.
Rešpektovať súkromie druhých tým, že nebudú ničiť, exfiltrovať, zverejňovať ani žiadnym iným spôsobom zneužívať údaje, ku ktorým sa dostanú v priebehu skúmania.
Nezneužívať žiadne objavené prípady zraniteľnosti; nie sú povolené pokročilé úkony, ako je perzistencia, laterálny pohyb, exfiltrácia údajov, úprava alebo vymazanie, nahrávanie kódu atď.
Nezverejňovať prípad zraniteľnosti tretím osobám alebo inštitúciám, pokiaľ to nie je plne v koordinácii a s písomným súhlasom spoločnosti Cybex GmbH.
Nevykonávať phishing, spamovanie, sociálne inžinierstvo ani útoky typu odmietnutie služby.
Ohlásiť prípady zraniteľnosti urýchlene oficiálnymi kanálmi stanovených v týchto zásadách. Zároveň poskytnúť možnosť kontaktu pre prípad dotazov.

Náš prísľub

Spoločnosť Cybex GmbH vydáva prísľub, že do 10 pracovných dní potvrdí podanie hlásenia, potvrdí existenciu prípadu zraniteľnosti, zabezpečí transparentnosť o krokoch a lehotách na jej odstránenie a v prípade potreby bude koordinovať zverejnenie informácií o potvrdených prípadoch zraniteľnosti.

Vaše hlásenie a osobné údaje uchováme v tajnosti a budeme ich zdieľať len v rozsahu potrebnom na odstránenie zraniteľnosti.

Podrobnosti o podávaní hlásenia

Výskumníci by mali ohlásiť prípady zraniteľnosti na adresu it-security@cybex-online.com.

Ak dodržíte tieto princípy, zvýšite pravdepodobnosť, že vaše hlásenie bude potvrdené a schválené:

Uveďte kompletné údaje ohľadom zasiahnutého aktíva/aktív.
Predložte dôkaz koncepcie, vrátane jednoznačných podrobností o replikácii prípadov zraniteľnosti spolu s časovými značkami a snímkami obrazovky s problémom.
Podrobne rozpracujte dôvody, prečo by potenciálna zraniteľnosť mohla mať dopad na príslušnú službu a do akej miery.
Vyhnite sa zaslaniu výlučne výstupov z automatizovaných nástrojov, pretože takéto správy sa pravdepodobne nebudú brať pri spracovaní do úvahy.