Product Security / PSIRT

Esta política aplica-se a todos os sistemas, aplicações e serviços da GRIMME acessíveis ao público, salvo exclusão expressa. 

Não abrangidos: 

• Ataques de negação de serviço (DoS) ou testes de carga
• Engenharia social
• Ataques físicos
• Ataques a terceiros ou fornecedores 

O tratamento das notificações de vulnerabilidades recebidas é efetuado de forma centralizada pela Equipa de Resposta a Incidentes de Segurança de Produtos (PSIRT) da GRIMME. 

A PSIRT é responsável por: 

• a receção e documentação das notificações
• a avaliação técnica e a priorização das vulnerabilidades
• a coordenação interna das medidas de análise e correção
• a comunicação externa coordenada de informações relevantes em matéria de segurança 

Apoiamos a investigação responsável em matéria de segurança e comprometemo-nos a não intentar qualquer ação judicial contra pessoas que ajam de boa-fé e cumpram esta diretriz. 

Isto aplica-se, em particular, nas seguintes condições: 

• Não serão consultados, alterados ou extraídos dados de terceiros, exceto na medida em que tal seja inevitável e estritamente necessário para demonstrar a vulnerabilidade.
• Não serão prejudicados intencionalmente quaisquer sistemas (por exemplo, através de ataques DoS, eliminação de dados ou interrupção do serviço).
• As vulnerabilidades detetadas serão-nos comunicadas de imediato e de forma confidencial e não serão divulgadas publicamente antes de termos tido tempo suficiente para as corrigir. 

No âmbito destas condições, consideramos as suas atividades autorizadas e não tomaremos quaisquer medidas civis ou penais. Caso sejam involuntariamente afetados dados sensíveis, esperamos que não os guarde, divulgue ou utilize de qualquer outra forma e que nos informe imediatamente. 

Tenha em atenção que este «Safe Harbor» não se aplica a atividades que violem a legislação em vigor ou que excedam as condições acima referidas. 

A GRIMME segue o princípio do tratamento coordenado das vulnerabilidades. Todas as notificações recebidas são tratadas de forma confidencial e analisadas, avaliadas e priorizadas pela PSIRT. A divulgação externa de informações relevantes para a segurança é coordenada e só ocorre após a conclusão da avaliação e a implementação das medidas corretivas adequadas. O objetivo é minimizar os riscos para os clientes e operadores e evitar divulgações não verificadas ou sem correções aplicadas. 

No caso de vulnerabilidades ou incidentes de segurança sujeitos a notificação obrigatória, reservamo-nos o direito de transmitir informações às autoridades competentes e aos organismos de supervisão, em conformidade com os requisitos legais em vigor.  

Tenha em atenção que, devido a disposições legais, requisitos de confidencialidade ou investigações em curso, poderemos não divulgar todos os detalhes relativos às vulnerabilidades comunicadas nem comunicar o estado completo do seu tratamento.  

Por conseguinte, é perfeitamente possível que a resposta ao comunicante só seja enviada após uma avaliação conclusiva ou com a publicação de uma informação de segurança.