Bezpečnost produktů / PSIRT

Tato politika se vztahuje na všechny veřejně přístupné systémy, aplikace a služby společnosti GRIMME, pokud není výslovně uvedeno jinak. 

Mimo rozsah: 

• útoky typu „Denial-of-Service“ (DoS) nebo zátěžové testy
• sociální inženýrství
• Fyzické útoky
• Útoky na třetí strany nebo dodavatele 

Zpracování příchozích hlášení o zranitelnostech zajišťuje centrálně tým GRIMME Product Security Incident Response Team (PSIRT). 

Tým PSIRT je odpovědný za: 

• přijímání a dokumentaci hlášení
• odborné posouzení a stanovení priority zranitelností
• interní koordinaci analytických a nápravných opatření
• koordinovanou externí komunikaci informací týkajících se bezpečnosti 

Podporujeme odpovědný výzkum v oblasti bezpečnosti a zavazujeme se, že nebudeme podnikat žádné právní kroky proti osobám, které jednají v dobré víře a dodržují tyto zásady. 

To platí zejména za následujících podmínek: 

• Nedochází k prohlížení, úpravám ani exfiltraci dat třetích stran, s výjimkou případů, kdy je to nezbytné a minimálně nutné k demonstraci zranitelnosti.
• Žádné systémy nebudou úmyslně narušeny (např. prostřednictvím DoS, vymazání dat nebo přerušení služby).
• Nalezené zranitelnosti nám budou neprodleně a důvěrně nahlášeny a nebudou veřejně zveřejněny, dokud nebudeme mít dostatek času na jejich odstranění. 

V rámci těchto podmínek považujeme vaše aktivity za oprávněné a nebudeme podnikat žádné občanskoprávní ani trestněprávní kroky. Pokud by došlo k neúmyslnému dotčení citlivých údajů, očekáváme, že je nebudete ukládat, předávat ani jinak využívat a že nás o tom neprodleně informujete. 

Vezměte prosím na vědomí, že tato dohoda o bezpečném přístavu se nevztahuje na činnosti, které porušují platné právní předpisy nebo přesahují rámec výše uvedených podmínek. 

Společnost GRIMME se řídí zásadou koordinovaného řešení zranitelností. Veškeré doručené podněty jsou zpracovávány důvěrně a jsou prověřovány, vyhodnocovány a řazeny podle priority týmem PSIRT. Zveřejnění informací týkajících se bezpečnosti navenek probíhá koordinovaně a teprve po dokončení vyhodnocení a provedení vhodných nápravných opatření. Cílem je minimalizovat rizika pro zákazníky a provozovatele a zabránit zveřejnění neověřených nebo neopravených informací. 

V případě zranitelností nebo bezpečnostních incidentů, které podléhají oznamovací povinnosti, si vyhrazujeme právo předat informace příslušným orgánům a dozorovým orgánům v souladu s platnými zákonnými požadavky.  

Vezměte prosím na vědomí, že z důvodu zákonných předpisů, požadavků na zachování důvěrnosti nebo probíhajících vyšetřování nemusíme být schopni zveřejnit všechny podrobnosti o nahlášených zranitelnostech ani sdělit úplný stav jejich vyřizování.  

Může se proto stát, že zpětná vazba pro oznamovatele bude poskytnuta až po závěrečném posouzení nebo až po zveřejnění bezpečnostního oznámení.