Richtlinie zur verantwortungsvollen Offenlegung von Sicherheitslücken

Im Unternehmen VITALIT d.o.o. Wir nehmen die Sicherheit unserer Websites, Dienste und Informationssysteme ernst. Diese Richtlinie beschreibt, wie Sicherheitsforscher und andere uns eine potenzielle Sicherheitslücke verantwortungsbewusst melden können.

Die Richtlinie stellt kein öffentliches Kopfgeldprogramm für entdeckte Schwachstellen dar und erlaubt keine unbegrenzten Sicherheitstests.

1. Der Zweck der Police

Der Zweck dieser Richtlinie besteht darin, eine klare und sichere Möglichkeit zur Meldung potenzieller Sicherheitslücken bereitzustellen, die auf öffentlich zugänglichen Systemen entdeckt werden, die direkt von VITALIT d.o.o. verwaltet werden.

Unser Ziel ist es, den Bericht angemessen zu verstehen, zu überprüfen und zu bearbeiten und gleichzeitig Benutzer, Kunden, Daten und Systemleistung zu schützen.

2. So melden Sie eine Schwachstelle

Senden Sie die Bewerbung an: info@vitalit.si

Verwenden Sie für den Nachrichtentitel:Sicherheitslücke melden

Sie können den Antrag auf Slowenisch oder Englisch verfassen.

Geben Sie in der Nachricht keine Passwörter, Zugriffstoken, privaten Schlüssel, ganze Datenbanken oder andere vertrauliche Informationen an, die zum Verständnis des Problems nicht erforderlich sind.

3. Welche Informationen sollte der Antrag enthalten?

Wenn möglich, schließen Sie Folgendes ein:

• URL, Domäne, Anwendung oder System, bei dem das Problem aufgetreten ist;
• eine klare Beschreibung der vermuteten Schwachstelle;
• Schritte zur Replikation des Ergebnisses;
• mögliche Auswirkungen der Sicherheitslücke;
• Datum und Uhrzeit der Entdeckung;
• das verwendete Gerät, Browser oder Softwareumgebung;
• begrenzte Screenshots, Protokolle oder andere Beweise, die zur Überprüfung erforderlich sind;
• Ihre Kontaktinformationen, um eine Antwort zu erhalten.

Beweise sollten nur die minimale Menge an Informationen enthalten, die zum Nachweis des Problems erforderlich sind.

4. Zulässige Aktivitäten

Bei der Prüfung auf eine potenzielle Schwachstelle:

• nur nicht-invasive und zerstörungsfreie Methoden anwenden;
• die Überprüfung auf das zum Nachweis des Problems erforderliche Mindestmaß beschränken;
• Ihre Benutzerkonten und Daten wann immer möglich verwenden;
• die Verfügbarkeit oder den normalen Betrieb des Systems nicht beeinträchtigen;
• sofort eingestellt werden, wenn das Vorliegen einer Schwachstelle ordnungsgemäß bestätigt wurde;
• Melden Sie die Sicherheitslücke unverzüglich.

Das Vorhandensein dieser Richtlinie stellt keine pauschale Erlaubnis zur Durchführung von Penetrationstests oder anderen Sicherheitsüberprüfungen dar.

5. Verbotene Aktivitäten

Ohne vorherige schriftliche Genehmigung ist Folgendes nicht gestattet:

• Denial-of-Service-Angriffe oder Stresstests;
• Massen- oder automatisierte Scans, die den Betrieb von Systemen beeinträchtigen könnten;
• Passwort-Erraten, Brute-Force-Angriffe oder Credential Stuffing;
• Social Engineering, Phishing oder Identitätsdiebstahl;
• physische Sicherheitstests;
• Installation schädlicher Software;
• Herstellung eines dauerhaften Zugriffs oder einer dauerhaften Dauer;
• Daten ändern, löschen oder beschädigen;
• Zugriff auf die Konten oder Daten anderer Benutzer;
• ganze Dokumente, Postfächer, Datenbanken oder Archive herunterladen;
• Erhalten von Quellcode oder Konfigurationen, die nicht öffentlich verfügbar sind;
• öffentliche Ankündigung von Schwachstellen vor Abstimmung mit VITALIT d.o.o.;
• Testen der Systeme unserer Kunden oder anderer Dritter.

Kundensysteme fallen nicht unter diese Richtlinie, auch wenn VITALIT d.o.o. beteiligt sich an deren Instandhaltung.

6. Datenschutz und Privatsphäre

Wenn Sie bei der Überprüfung versehentlich auf persönliche, vertrauliche, geschäftliche oder Kundeninformationen stoßen:

1. den weiteren Zugriff unverzüglich einstellen;
2. die Daten nicht herunterladen, kopieren, ändern oder weitergeben;
3. Erstellen Sie keine zusätzlichen Aufzeichnungen, es sei denn, dies ist zur Demonstration des Problems erforderlich.
4. im Antrag nur das Mindestmaß an Informationen angeben;
5. uns darüber informieren, dass möglicherweise sensible Daten offengelegt wurden.

Versenden Sie sensible Daten nicht per E-Mail, es sei denn, dies ist erforderlich und Sie haben zuvor mit uns den geeigneten Übertragungsweg vereinbart.

7. Ablauf der Antragsbearbeitung

Nach Eingang der Bewerbung werden wir uns bemühen:

• den Eingang des Antrags bestätigen;
• überprüfen, ob der Antrag ausreichende Informationen enthält;
• den Befund technisch bewerten;
• Priorisierung basierend auf potenziellen Auswirkungen;
• die erforderlichen Maßnahmen ergreifen oder die Meldung an den zuständigen Eigentümer der Anlage weiterleiten;
• bei Bedarf zusätzliche Informationen vom Antragsteller anfordern.

Die Bearbeitungszeit hängt von der Komplexität, den Auswirkungen, der Verfügbarkeit des Fixes und der möglichen Einbindung von Drittanbietern ab.

VITALIT d.o.o. Es garantiert keinen festen Zeitpunkt für die Eliminierung und keine Garantie für eine finanzielle oder sonstige Belohnung.

8. Koordinierte Offenlegung

Bitte veröffentlichen Sie keine Informationen über eine Sicherheitslücke, bis: Wir

• prüfen nicht auf Schwachstellen;
• wir bewerten die Auswirkungen nicht;
• wir es versäumen, angemessene Maßnahmen zur Risikominderung zu ergreifen; Wir
• stimmen nicht mit Ihnen über den angemessenen Zeitpunkt und Umfang der Offenlegung überein.

Die öffentliche Offenlegung ohne vorherige Koordination kann das Risiko für Benutzer, Kunden und andere Organisationen erhöhen.

9. Geltungsbereich der Richtlinie

Die Richtlinie gilt für öffentlich zugängliche Websites und Systeme, die direkt von VITALIT d.o.o. verwaltet werden, sofern auf dem einzelnen System nichts anderes angegeben ist.

Die Richtlinie gilt nicht automatisch für:

• die Systeme unserer Kunden;
• Geschäftspartnersysteme;
• Dienste anderer Anbieter;
• Plattformen oder Infrastruktur Dritter;
• Benutzerkonten, die nicht dem Antragsteller gehören.

Wenn Sie sich nicht sicher sind, ob ein System in den Geltungsbereich dieser Richtlinie fällt, schreiben Sie bitte an info@vitalit.si.

10. Kontakt

Sicherheitslücken melden an: info@vitalit.si

Betreff der Nachricht:Sicherheitslücke melden

Für allgemeine Fragen, Vorfälle, Benutzerprobleme oder Supportanfragen nutzen Sie bitte die normalen Kontakt- und Supportkanäle von VitaliT.