Política de descubrimiento de vulnerabilidades

Iintroducción

OnePlan Limited se compromete a garantizar la seguridad del público protegiendo su información de revelaciones injustificadas. El propósito de esta política es proporcionar a los investigadores de seguridad pautas claras para realizar actividades de descubrimiento de vulnerabilidades y transmitir nuestras preferencias sobre cómo enviarnos las vulnerabilidades descubiertas.

Esta política describe los sistemas y tipos de investigación cubiertos por esta política, cómo enviar informes de vulnerabilidad para nosotros, y cuánto tiempo Pedimos a los investigadores de seguridad que esperen antes de revelar públicamente las vulnerabilidades.

Queremos que los investigadores de seguridad se sientan cómodos informando las vulnerabilidades que han descubierto (como se describe en esta política) para que podamos solucionarlas y mantener a nuestros usuarios seguros. Hemos desarrollado esta política para reflejar nuestros valores y mantener nuestro sentido de responsabilidad hacia los investigadores de seguridad que comparten su experiencia con nosotros de buena fe.

Authorization

Si hace un esfuerzo de buena fe para cumplir con esta política durante su investigación de seguridad, consideraremos que su investigación está autorizada, trabajaremos con usted para comprender y resolver el problema rápidamente, y OnePlan Limited no recomendará ni emprenderá acciones legales relacionadas con su investigación.

Glineamientos

A los efectos de esta política, el término "investigación" significa actividades en las que usted:

Infórmenos lo antes posible después de descubrir un problema de seguridad real o potencial.
Hacer todo lo posible para evitar violaciones de la privacidad, degradación de la experiencia del usuario, interrupción de los sistemas de producción y destrucción o manipulación de datos.
Utilice exploits sólo en la medida necesaria para confirmar la presencia de una vulnerabilidad. No utilice un exploit para comprometer o filtrar datos, establecer acceso a la línea de comandos y/o persistencia, ni utilizar el exploit para "pivotar" hacia otros sistemas.
Nos das una cantidad de tiempo razonable para resolver el problema antes de revelarlo públicamente.
No comprometerá intencionalmente la privacidad o seguridad de OnePlan Personal limitado o terceros.
No comprometerá intencionalmente la propiedad intelectual u otros intereses comerciales o financieros de ningún OnePlan Personal o entidades limitados, o terceros.

Una vez que haya establecido la existencia de una vulnerabilidad o haya encontrado datos confidenciales (incluida información de identificación personal, información financiera, información de propiedad exclusiva o secretos comerciales de cualquier parte), debe detener sus pruebas, notificarnos inmediatamente y no revelar dichos datos a nadie.

Senfrentar

TEsta política se aplica a los siguientes sistemas y servicios:

oneplaneventos.com

lugartwin.com

Sistemas y servicios directamente asociados con dominios y subdominios enumerados anteriormente están dentro del alcance. Además, se considera dentro del alcance cualquier sitio web publicado con un enlace a esta política. Los sitios web que no se enumeran explícitamente aquí o no se publican con un enlace a esta política se consideran fuera del alcance de esta política. Las vulnerabilidades descubiertas en los sistemas de nuestros proveedores están fuera del alcance de esta política y deben informarse directamente al proveedor de acuerdo con su política de divulgación (si corresponde). Si no está seguro de si un sistema o punto final está dentro del alcance o no, comuníquese con [email protected] antes de comenzar su investigación o en el contacto de seguridad del nombre de dominio del sistema que figura en el WHOIS .com.

Aunque desarrollamos y mantenemos otros sistemas o servicios a los que se puede acceder a través de Internet, solicitamos que solo se realicen investigaciones y pruebas activas en los sistemas y servicios cubiertos por el alcance de este documento. Si cree que un sistema no cubierto por este documento merece ser probado, comuníquese con nosotros para discutirlo con anticipación. Aumentaremos el alcance de esta política con el tiempo.

El [email protected] La dirección de correo electrónico es ÚNICAMENTE para informar fallas de seguridad de productos o servicios. No se utiliza para obtener información de soporte técnico para nuestros productos o servicios. No se procesará ningún contenido distinto del específico sobre fallos de seguridad de nuestros productos o servicios.

Rreglas de compromiso

SLos investigadores de seguridad no deben:

Pruebe cualquier sistema que no sea los sistemas establecidos en la sección "Alcance" anterior,
divulgar información sobre vulnerabilidades, excepto lo establecido en las secciones "Informar una vulnerabilidad" y "Divulgación" a continuación,
participar en pruebas físicas de instalaciones o recursos,
dedicarse a la ingeniería social,
enviar correos electrónicos no solicitados a usuarios de OnePlan Limitado, incluidos mensajes de "phishing",
realizar o intentar realizar ataques de “denegación de servicio” o de “agotamiento de recursos”,
introducir software malicioso,
realizar pruebas de una manera que pueda degradar el funcionamiento de OnePlan Sistemas limitados; o alterar, interrumpir o deshabilitar intencionalmente OnePlan Sistemas limitados,
probar aplicaciones, sitios web o servicios de terceros que se integran o se vinculan hacia o desde OnePlan Sistemas limitados,
eliminar, alterar, compartir, retener o destruir OnePlan Datos limitados o renderizado OnePlan Datos limitados inaccesibles, o,
utilizar un exploit para extraer datos, establecer acceso a la línea de comandos, establecer una presencia persistente en OnePlan Sistemas limitados o “pivotar” hacia otros OnePlan Sistemas limitados.

SLos investigadores de seguridad pueden:

Ver o almacenar OnePlan Datos no públicos limitados solo en la medida necesaria para documentar la presencia de una vulnerabilidad potencial.

SLos investigadores de seguridad deben:

dejar de realizar pruebas y notificarnos inmediatamente al descubrir una vulnerabilidad,
dejar de realizar pruebas y notificarnos inmediatamente al descubrir una exposición de datos no públicos y,
purgar cualquier almacenado OnePlan Datos no públicos limitados al informar una vulnerabilidad.

Rinformar una vulnerabilidad

Aceptamos informes de vulnerabilidad en [email protected]. Los informes pueden enviarse de forma anónima. No admitimos correos electrónicos cifrados con PGP en este momento.

Para facilitar nuestra gestión de la vulnerabilidad, esperamos informes bien redactados en inglés o francés que contengan la siguiente información:

Hora y fecha del descubrimiento.
Modelo y número del producto utilizando la nomenclatura del proveedor, si es posible
URL, información del navegador, incluido el tipo, la versión y la entrada necesaria para reproducir la vulnerabilidad;
Descripción técnica: proporcione qué acciones se estaban realizando y el resultado con el mayor detalle posible;
Código de muestra: si es posible, proporcione el código que se utilizó en las pruebas para crear la vulnerabilidad;
Información de contacto de la parte que informa: el mejor método para comunicarse
Plan(es) de divulgación: plan actual de divulgación;
Evaluación de amenazas/riesgos: contiene detalles de las amenazas y/o riesgos identificados, incluido un nivel de riesgo (alto, medio, bajo) para el resultado de la evaluación;
Configuración de software: detalles de la configuración de la computadora/dispositivo en el momento de la vulnerabilidad;
Información relevante sobre los dispositivos conectados si surge una vulnerabilidad durante la interacción. Cuando un dispositivo secundario desencadena la vulnerabilidad, se deben proporcionar estos detalles.

No incluya ningún dato personal en sus informes, excepto cuando sea necesario para contactarlo.

La participación en este programa no le otorga ningún derecho de propiedad intelectual propiedad de OnePlan Limited o cualquier tercero.

La información enviada según esta política se utilizará únicamente con fines defensivos: para mitigar o remediar vulnerabilidades. Si sus hallazgos incluyen vulnerabilidades recientemente descubiertas que afectan a todos los usuarios de un producto o servicio y no únicamente OnePlan Limitado, podemos compartir su informe con la Agencia Nacional para la Seguridad de los Sistemas de Información (ANSSI), donde será manejado bajo su proceso coordinado de divulgación de vulnerabilidades. No compartiremos su nombre o información de contacto sin permiso expreso.

Al enviarnos un Informe, usted indica que ha leído, comprende y acepta las pautas descritas en esta política. para la realización de investigaciones de seguridad y divulgación de vulnerabilidades o indicadores de vulnerabilidades relacionadas con OnePlan Sistemas de información limitados y consentimiento para que el contenido de la comunicación y las comunicaciones de seguimiento se almacenen en un sistema de información de la UE.

Para ayudarnos a clasificar y priorizar los envíos, recomendamos que sus informes:

Cumpla con todos los términos y condiciones legales descritos en OnePlan Términos de servicio de divulgación responsable limitada. (a especificar en su correo electrónico)
Describa la vulnerabilidad, dónde se descubrió y el impacto potencial de la explotación.
Ofrezca una descripción detallada de los pasos necesarios para reproducir la vulnerabilidad (los scripts de prueba de concepto o las capturas de pantalla son útiles).

Disclosure

OnePlan Limited se compromete a solucionar las vulnerabilidades con prontitud. Sin embargo, reconocemos que la divulgación pública de una vulnerabilidad en ausencia de medidas correctivas disponibles probablemente aumenta el riesgo en lugar de disminuirlo. Por lo tanto, requerimos que se abstenga de compartir información sobre vulnerabilidades descubiertas durante 90 días calendario después de recibir nuestro acuse de recibo de su informe. Si cree que otros necesitan saber acerca de la vulnerabilidad antes de que implementemos medidas correctivas, le pedimos que nos consulte de antemano.

Podemos compartir informes de vulnerabilidad con la Agencia Nacional para la Seguridad de los Sistemas de Información (ANSSI), así como con cualquier proveedor afectado. No compartiremos nombres ni datos de contacto de investigadores de seguridad a menos que se nos dé permiso explícito.

Preguntas

Las preguntas sobre esta política pueden enviarse a [email protected]. También lo invitamos a contactarnos con sugerencias para mejorar esta política.