Política de Divulgação da Vulnerabilidades do Grupo Kistler

No sentido de melhorar a sua segurança, o Grupo Kistler acolhe com agrado as informações dos investigadores de segurança e do público em geral. Se acredita ter descoberto uma vulnerabilidade, questão de privacidade, problema de exposição de dados, ou outras questões de segurança em qualquer dos nossos recursos, queremos sabê-lo. A presente Política descreve os passos para nos comunicar vulnerabilidades, o que esperamos, e o que pode esperar de nós.

Sistemas abrangidos

A presente Política aplica-se a:

Todos os produtos do Grupo Kistler
Todos os sistemas do Grupo Kistler orientados para a Internet
Não consideramos a pura ausência de um elemento de segurança como uma vulnerabilidade de segurança.
Não temos interesse em achados que sejam gerados por scanners automatizados – cabeçalhos HTTP em falta, configurações TLS, “Cookie flags”, “Clickjacking”, etc., exceto se os puder utilizar para criar uma exploração PoC significativa.

Sistemas não abrangidos

Itens gerais fora do âmbito

Ataques de “negação de serviço”
Engenharia social
“Phishing”
Acesso físico às instalações Kistler ou às instalações dos parceiros Kistler
Bens ou outros equipamentos que não sejam propriedade das partes que participam na presente Política

As vulnerabilidades descobertas ou suspeitas em sistemas fora de âmbito devem ser comunicadas ao fornecedor apropriado ou à autoridade aplicável.

Itens especiais dentro do âmbito

www.kistler.com: website principal – com base no Typo3, só estamos interessados em vulnerabilidades críticas, como a “Remote Code Execution (RCE)”

Os nossos compromissos

Ao trabalhar connosco, de acordo com a presente Política, pode esperar que nós:

Respondamos prontamente à sua denúncia, e trabalhemos consigo para compreender e validar a sua denúncia
Nos esforcemos por mantê-lo informado sobre o progresso de uma vulnerabilidade, à medida que ela é processada
Trabalhemos para remediar as vulnerabilidades descobertas de forma atempada, dentro dos nossos constrangimentos operacionais
Ampliemos o “Safe Harbor” para a sua pesquisa de vulnerabilidade que esteja relacionada com a presente Política

As nossas expectativas

Ao participar de boa-fé no nosso Programa de Divulgação de Vulnerabilidades, pedimos-lhe que:

Respeite as regras, inclusive o cumprimento da presente Política e de outros acordos relevantes. Se houver alguma inconsistência entre a presente Política e outro termo aplicável, prevalecerão os termos da presente Política
Denuncie prontamente qualquer vulnerabilidade identificada
Evite a infração da privacidade dos outros, a perturbação dos nossos sistemas, a destruição de dados, e/ou o prejuízo da experiência do utilizador
Utilize apenas os Canais Oficiais para trocar informações connosco sobre a vulnerabilidade
Efetue testes apenas em sistemas de âmbito interno, e que respeite os sistemas e atividades que estejam fora do âmbito
Se uma vulnerabilidade proporcionar o acesso não intencional aos dados: limite a quantidade de dados a que tem acesso ao mínimo necessário para demonstrar eficazmente uma Prova de Conceito; e suspenda os testes e apresente um relatório de imediato se encontrar qualquer dado do utilizador durante os testes, tal como Informação Pessoal Identificável (PII), Informação Pessoal de Saúde (PHI), dados de cartão de crédito, ou informação proprietária
Apenas interaja com as contas teste que possua ou com autorização explícita do titular da conta
Não pratique extorsão

Política de Divulgação

Divulgação coordenada: os detalhes da vulnerabilidade podem ser partilhados com terceiros após a vulnerabilidade ter sido corrigida e o Proprietário do Programa ter dado permissão para a divulgação.

Canais Oficiais

Por favor, utilize os nossos canais oficiais para comunicar questões de segurança, disponibilizando as informações relevantes. Quanto mais detalhes nos fornecer, mais fácil será para nós fazer a triagem e corrigir a questão.
Os canais oficiais são:

Formulário de denúncia Bugcrowd: https://bugcrowd.com/kistler-vdp
E-mail encriptado com PGP, para security(at)kistler.com

“Safe Harbor”

Ao realizarmos uma investigação sobre a vulnerabilidade, de acordo com a presente Política, consideramos que a investigação realizada no âmbito da presente Política é:

Autorizada no que diz respeito a todas as leis de “anti-hacking” aplicável, e não iniciaremos ou apoiaremos qualquer ação legal contra si por infrações acidentais e de boa-fé a esta Política
Autorizada relativamente a todas as leis de “anti-evasão” relevantes, e não apresentaremos qualquer queixa contra si por evasão aos comandos tecnológicos
Isenta de restrições nos nossos Termos de Serviço e/ou Política de Utilização Aceitável que interfiram na realização de investigação de segurança, e renunciamos a essas restrições numa base limitada
Lícita, útil para a segurança geral da Internet, e conduzida de boa-fé

Espera-se, como sempre, que cumpra com todas as leis aplicáveis. Se for iniciada uma ação judicial por terceiros contra si e se tiver cumprido esta Política, tomaremos medidas para dar a conhecer que as suas ações foram conduzidas em conformidade com a presente Política.

Se, em algum momento, tiver preocupações ou incertezas quanto à consistência da sua investigação de segurança com esta Política, antes de prosseguir, envie um relatório através de um dos nossos Canais Oficiais.

Legal

A Kistler reserva-se o direito de alterar os termos e condições da presente Política e a sua participação constitui a aceitação de todos os termos. Por favor, consulte esta página periodicamente, conforme atualizamos rotineiramente os termos da nossa Política e elegibilidade, que são efetivos no momento da sua publicação. Reservamo-nos o direito de cancelar a presente Política a qualquer momento.

Versão: 24/03/2021