Produktsikkerhed / PSIRT

Denne politik gælder for alle GRIMMEs offentligt tilgængelige systemer, applikationer og tjenester, medmindre andet udtrykkeligt er angivet. 

Ikke omfattet: 

• Denial-of-Service (DoS) eller belastningstests
• Social engineering
• Fysiske angreb
• Angreb på tredjeparter eller leverandører 

Behandlingen af indkomne sårbarhedsrapporter varetages centralt af GRIMME Product Security Incident Response Team (PSIRT). 

PSIRT er ansvarlig for: 

• modtagelse og dokumentation af indberetninger
• den faglige vurdering og prioritering af sårbarheder
• den interne koordinering af analyse- og afhjælpningsforanstaltninger
• koordineret ekstern kommunikation af sikkerhedsrelevante oplysninger 

Vi støtter ansvarlig sikkerhedsforskning og forpligter os til ikke at indlede retslige skridt mod personer, der handler i god tro og overholder disse retningslinjer. 

Dette gælder især under følgende betingelser: 

• Der må ikke indhentes, ændres eller eksfiltreres data fra tredjeparter, medmindre dette er uundgåeligt og absolut nødvendigt for at demonstrere sårbarheden.
• Der må ikke bevidst forstyrres systemer (f.eks. gennem DoS, sletning af data eller afbrydelse af tjenester).
• Fundne sårbarheder skal straks og fortroligt indberettes til os og må ikke offentliggøres, før vi har haft tilstrækkelig tid til at afhjælpe dem. 

Inden for rammerne af disse betingelser betragter vi dine aktiviteter som autoriserede og vil ikke indlede civilretlige eller strafferetlige skridt. Skulle følsomme data utilsigtet blive berørt, forventer vi, at du ikke gemmer, videregiver eller på anden måde anvender disse og straks informerer os herom. 

Bemærk venligst, at denne Safe Harbor-aftale ikke gælder for aktiviteter, der strider mod gældende lovgivning eller går ud over de ovennævnte betingelser. 

GRIMME følger princippet om koordineret håndtering af sårbarheder. Alle indkomne henvendelser behandles fortroligt og gennemgås, vurderes og prioriteres af PSIRT. Offentliggørelse af sikkerhedsrelevante oplysninger sker på koordineret vis og først efter, at vurderingen er afsluttet, og der er iværksat passende afhjælpende foranstaltninger. Målet er at minimere risici for kunder og operatører og undgå offentliggørelse af uundersøgte eller ikke-rettede sårbarheder. 

I tilfælde af sårbarheder eller sikkerhedshændelser, der er underlagt anmeldelsespligt, forbeholder vi os ret til at videregive oplysninger til de kompetente myndigheder og tilsynsorganer i overensstemmelse med gældende lovkrav.  

Vær opmærksom på, at vi på grund af lovmæssige krav, fortrolighedskrav eller igangværende undersøgelser muligvis ikke kan offentliggøre alle detaljer om indberettede sårbarheder eller oplyse den fulde status for behandlingen.  

Det kan derfor godt forekomme, at en tilbagemelding til indberetteren først gives efter en afsluttende vurdering eller i forbindelse med offentliggørelsen af en sikkerhedsmeddelelse.