Безопасность продуктов / PSIRT

Настоящая Политика распространяется на все общедоступные системы, приложения и сервисы компании GRIMME, если это явно не исключено. 

Не входит в сферу применения: 

• атаки типа «отказ в обслуживании» (DoS) или нагрузочные тесты
• Социальная инженерия
• Физические атаки
• Атаки на третьих лиц или поставщиков 

Обработка поступающих сообщений об уязвимостях осуществляется централизованно командой GRIMME Product Security Incident Response Team (PSIRT). 

PSIRT отвечает за: 

• прием и документирование сообщений
• экспертную оценку и приоритизацию уязвимостей
• внутреннюю координацию мер по анализу и устранению уязвимостей
• скоординированное внешнее информирование о вопросах, связанных с безопасностью 

Мы поддерживаем ответственные исследования в области безопасности и обязуемся не предпринимать юридических действий в отношении лиц, действующих добросовестно и соблюдающих настоящие правила. 

Это, в частности, относится к следующим условиям: 

• Данные третьих лиц не просматриваются, не изменяются и не выносятся за пределы системы, за исключением случаев, когда это неизбежно и необходимо в минимальном объеме для демонстрации уязвимости.
• Не допускается умышленное нарушение работы систем (например, посредством DoS-атак, удаления данных или прерывания предоставления услуг).
• Об обнаруженных уязвимостях нам незамедлительно и конфиденциально сообщается, и они не разглашаются публично до тех пор, пока у нас не будет достаточно времени для их устранения. 

В рамках данных условий мы рассматриваем ваши действия как санкционированные и не будем предпринимать никаких мер гражданско-правового или уголовного характера. В случае непреднамеренного затрагивания конфиденциальных данных мы ожидаем, что вы не будете их сохранять, передавать или использовать иным образом, а также незамедлительно сообщите нам об этом. 

Обращаем ваше внимание, что данное соглашение о «безопасной гавани» не распространяется на действия, нарушающие действующее законодательство или выходящие за рамки вышеуказанных условий. 

Компания GRIMME руководствуется принципом скоординированного устранения уязвимостей. Все поступающие сообщения обрабатываются конфиденциально и проходят проверку, оценку и приоритизацию со стороны PSIRT. Публикация информации, касающейся безопасности, осуществляется скоординированно и только после завершения оценки, а также принятия соответствующих мер по устранению уязвимостей. Цель состоит в том, чтобы минимизировать риски для клиентов и операторов и избежать раскрытия информации о неперепроверенных или неисправленных уязвимостях. 

В случае уязвимостей или инцидентов безопасности, подлежащих обязательной отчетности, мы оставляем за собой право передавать информацию в компетентные органы и надзорные органы в соответствии с действующими законодательными требованиями.  

Обращаем ваше внимание на то, что в связи с законодательными требованиями, требованиями конфиденциальности или проводимыми расследованиями мы, возможно, не сможем раскрыть все детали о заявленных уязвимостях или сообщить полный статус их обработки.  

В связи с этим вполне возможно, что ответ сообщающему будет дан только после окончательной оценки или при публикации информации о безопасности.