Product Security / PSIRT

Niniejsza polityka ma zastosowanie do wszystkich publicznie dostępnych systemów, aplikacji i usług firmy GRIMME, o ile nie zostało to wyraźnie wyłączone. 

Poza zakresem: 

• Ataki typu „odmowa usługi” (DoS) lub testy obciążeniowe
• Inżynieria społeczna
• Ataki fizyczne
• Ataki na osoby trzecie lub dostawców 

Obsługa zgłoszeń dotyczących luk w zabezpieczeniach jest prowadzona centralnie przez zespół GRIMME Product Security Incident Response Team (PSIRT). 

Zespół PSIRT odpowiada za: 

• przyjmowanie i dokumentowanie zgłoszeń
• fachową ocenę i ustalanie priorytetów luk w zabezpieczeniach
• wewnętrzną koordynację działań analitycznych i naprawczych
• skoordynowaną komunikację zewnętrzną dotyczącą informacji związanych z bezpieczeństwem 

Wspieramy odpowiedzialne badania w dziedzinie bezpieczeństwa i zobowiązujemy się nie podejmować żadnych kroków prawnych wobec osób, które działają w dobrej wierze i przestrzegają niniejszych wytycznych. 

Dotyczy to w szczególności następujących warunków: 

• Nie przegląda się, nie zmienia ani nie wyciekają dane osób trzecich, chyba że jest to nieuniknione i absolutnie konieczne do zademonstrowania luki w zabezpieczeniach.
• Nie dochodzi do celowego zakłócania działania systemów (np. poprzez ataki typu DoS, usuwanie danych lub przerwanie świadczenia usług).
• Wykryte luki w zabezpieczeniach są nam niezwłocznie i poufnie zgłaszane i nie są upubliczniane, zanim nie będziemy mieli wystarczająco dużo czasu na ich usunięcie. 

W ramach niniejszych warunków uznajemy Państwa działania za uprawnione i nie będziemy podejmować żadnych kroków na drodze cywilnej ani karnej. W przypadku nieumyślnego dotknięcia danych wrażliwych oczekujemy, że nie będą Państwo ich przechowywać, przekazywać ani wykorzystywać w inny sposób oraz że niezwłocznie nas o tym poinformują. 

Prosimy pamiętać, że niniejsza klauzula „Safe Harbor” nie ma zastosowania do działań naruszających obowiązujące prawo lub wykraczających poza powyższe warunki. 

Firma GRIMME kieruje się zasadą skoordynowanego postępowania w przypadku luk w zabezpieczeniach. Wszystkie otrzymane zgłoszenia są traktowane jako poufne i poddawane weryfikacji, ocenie oraz ustalaniu priorytetów przez zespół PSIRT. Publiczne ujawnienie informacji dotyczących bezpieczeństwa odbywa się w sposób skoordynowany i dopiero po zakończeniu oceny oraz wdrożeniu odpowiednich środków zaradczych. Celem jest zminimalizowanie ryzyka dla klientów i operatorów oraz uniknięcie ujawniania informacji, które nie zostały jeszcze zweryfikowane lub dla których nie wprowadzono jeszcze poprawek. 

W przypadku luk w zabezpieczeniach podlegających obowiązkowi zgłoszenia lub incydentów związanych z bezpieczeństwem zastrzegamy sobie prawo do przekazania informacji właściwym organom i organom nadzorczym zgodnie z obowiązującymi wymogami prawnymi.  

Należy pamiętać, że ze względu na wymogi prawne, zasady poufności lub trwające dochodzenia możemy nie być w stanie ujawnić wszystkich szczegółów dotyczących zgłoszonych luk w zabezpieczeniach lub podać pełnego statusu ich rozpatrywania.  

W związku z tym może się zdarzyć, że odpowiedź dla zgłaszającego zostanie udzielona dopiero po zakończeniu oceny lub wraz z opublikowaniem informacji dotyczącej bezpieczeństwa.