Política de descoberta de vulnerabilidades

Iintrodução

OnePlan A Limited está comprometida em garantir a segurança do público, protegendo suas informações contra divulgação injustificada. O objetivo desta política é fornecer aos pesquisadores de segurança diretrizes claras para conduzir atividades de descoberta de vulnerabilidades e transmitir nossas preferências sobre como nos enviar as vulnerabilidades descobertas.

Esta política descreve os sistemas e tipos de pesquisa abrangidos por esta política, como enviar relatórios de vulnerabilidade para nós, e quão mais pedimos aos pesquisadores de segurança que esperem antes de divulgar publicamente as vulnerabilidades.

Queremos que os pesquisadores de segurança se sintam confortáveis em relatar as vulnerabilidades que descobriram – conforme descrito nesta política – para que possamos corrigi-las e manter nossos usuários seguros. Desenvolvemos esta política para refletir os nossos valores e manter o nosso sentido de responsabilidade para com os investigadores de segurança que partilham connosco os seus conhecimentos de boa fé.

Authorization

Se você fizer um esforço de boa-fé para cumprir esta política durante sua pesquisa de segurança, consideraremos sua pesquisa autorizada, trabalharemos com você para compreender e resolver o problema rapidamente e OnePlan A Limited não recomendará nem iniciará ações legais relacionadas à sua pesquisa.

Gdiretrizes

Para efeitos desta política, o termo “pesquisa” significa atividades nas quais você:

Informe-nos o mais rápido possível após descobrir um problema de segurança real ou potencial.
Faça todo o possível para evitar violações de privacidade, degradação da experiência do usuário, interrupção dos sistemas de produção e destruição ou manipulação de dados.
Use explorações apenas na medida necessária para confirmar a presença de uma vulnerabilidade. Não use um exploit para comprometer ou exfiltrar dados, estabelecer acesso e/ou persistência à linha de comando, nem use o exploit para “pivotar” para outros sistemas.
Você nos dá um tempo razoável para resolver o problema antes de divulgá-lo publicamente.
Você não comprometerá intencionalmente a privacidade ou a segurança de OnePlan Pessoal limitado ou quaisquer terceiros.
Você não comprometerá intencionalmente a propriedade intelectual ou outros interesses comerciais ou financeiros de qualquer OnePlan Pessoal ou entidades limitadas, ou quaisquer terceiros.

Depois de estabelecer a existência de uma vulnerabilidade ou encontrar dados confidenciais (incluindo informações de identificação pessoal, informações financeiras, informações proprietárias ou segredos comerciais de qualquer parte), você deve interromper seus testes, notificar-nos imediatamente e não divulgar esses dados a ninguém.

Slidar

Tsua política se aplica aos seguintes sistemas e serviços:

oneplaneventos.com

localtwin. com

Sistemas e serviços diretamente associados a domínios e subdomínios listados acima estão no escopo. Além disso, qualquer website publicado com um link para esta política é considerado no escopo. Os sites não explicitamente listados aqui ou publicados com um link para esta política são considerados fora do escopo desta política. As vulnerabilidades descobertas nos sistemas dos nossos fornecedores estão fora do âmbito desta política e devem ser comunicadas diretamente ao fornecedor de acordo com a sua política de divulgação (se houver). Se você não tiver certeza se um sistema ou endpoint está no escopo ou não, entre em contato [email protegido] antes de iniciar sua pesquisa ou no contato de segurança do nome de domínio do sistema listado no WHOIS .com.

Embora desenvolvamos e mantenhamos outros sistemas ou serviços acessíveis através da Internet, solicitamos que pesquisas e testes ativos sejam realizados apenas nos sistemas e serviços abrangidos pelo escopo deste documento. Se você acredita que um sistema não coberto por este documento merece ser testado, entre em contato conosco para discutir isso com antecedência. Aumentaremos o alcance desta política ao longo do tempo.

A [email protegido] O endereço de e-mail serve APENAS para relatar falhas de segurança de produtos ou serviços. Não é utilizado para obter informações de suporte técnico para nossos produtos ou serviços. Qualquer conteúdo diferente daquele específico sobre falhas de segurança em nossos produtos ou serviços não será processado.

Rregras de engajamento

Sos pesquisadores de segurança não devem:

Teste qualquer sistema diferente dos sistemas estabelecidos na seção 'Escopo' acima,
divulgar informações de vulnerabilidade, exceto conforme estabelecido nas seções 'Relatar uma vulnerabilidade' e 'Divulgação' abaixo,
envolver-se em testes físicos de instalações ou recursos,
envolver-se em engenharia social,
enviar e-mails não solicitados para usuários de OnePlan Limitado, incluindo mensagens de “phishing”,
realizar ou tentar realizar ataques de “negação de serviço” ou “esgotamento de recursos”,
introdução de software malicioso,
realizar testes de uma maneira que possa degradar a operação do OnePlan Sistemas limitados; ou alterar, interromper ou desativar intencionalmente OnePlan Sistemas limitados,
testar aplicativos, sites ou serviços de terceiros que se integram ou vinculam a ou de OnePlan Sistemas limitados,
excluir, alterar, compartilhar, reter ou destruir OnePlan Dados limitados ou renderização OnePlan Dados limitados inacessíveis ou,
usar uma exploração para exfiltrar dados, estabelecer acesso à linha de comando, estabelecer uma presença persistente em OnePlan Sistemas limitados, ou “pivô” para outros OnePlan Sistemas limitados.

Sos pesquisadores de segurança podem:

Ver ou armazenar OnePlan Dados não públicos limitados apenas na medida necessária para documentar a presença de uma vulnerabilidade potencial.

Sos pesquisadores de segurança devem:

interromper os testes e nos notificar imediatamente após a descoberta de uma vulnerabilidade,
cessar os testes e notificar-nos imediatamente após a descoberta de uma exposição de dados não públicos e,
limpe qualquer armazenamento OnePlan Dados não públicos limitados ao relatar uma vulnerabilidade.

Rrelatando uma vulnerabilidade

Aceitamos relatórios de vulnerabilidade em [email protegido]. Os relatórios podem ser enviados anonimamente. No momento, não oferecemos suporte a e-mails criptografados por PGP.

Para facilitar a nossa gestão da vulnerabilidade, esperamos alguns relatórios bem escritos em inglês ou francês contendo as seguintes informações:

Hora e data da descoberta
Modelo e número do produto usando a nomenclatura do fornecedor, se possível
URL, informações do navegador, incluindo tipo, versão e entrada necessária para reproduzir a vulnerabilidade;
Descrição Técnica — forneça quais ações estavam sendo executadas e o resultado com o máximo de detalhes possível;
Código de amostra — se possível, forneça o código que foi usado nos testes para criar a vulnerabilidade;
Informações de contato da parte relatora — melhor método para entrar em contato
Plano(s) de divulgação — plano atual de divulgação;
Avaliação de ameaças/riscos — contém detalhes das ameaças e/ou riscos identificados, incluindo um nível de risco (alto, médio, baixo) para o resultado da avaliação;
Configuração de software — detalhes da configuração do computador/dispositivo no momento da vulnerabilidade;
Informações relevantes sobre dispositivos conectados caso surja vulnerabilidade durante a interação. Quando um dispositivo secundário aciona a vulnerabilidade, esses detalhes devem ser fornecidos.

Não inclua nenhum dado pessoal em seus relatórios, exceto quando necessário para entrar em contato com você.

A participação neste programa não lhe confere quaisquer direitos de propriedade intelectual pertencentes a OnePlan Limited ou qualquer terceiro.

As informações enviadas sob esta política serão usadas apenas para fins defensivos – para mitigar ou remediar vulnerabilidades. Se suas descobertas incluírem vulnerabilidades recentemente descobertas que afetam todos os usuários de um produto ou serviço e não apenas OnePlan Limited, poderemos partilhar o seu relatório com a Agência Nacional de Segurança dos Sistemas de Informação (ANSSI), onde será tratado no âmbito do seu processo coordenado de divulgação de vulnerabilidades. Não compartilharemos seu nome ou informações de contato sem permissão expressa.

Ao nos enviar um Relatório, você indica que leu, compreendeu e concorda com as diretrizes descritas nesta política para a realização de pesquisas de segurança e divulgação de vulnerabilidades ou indicadores de vulnerabilidades relacionadas a OnePlan Sistemas de informação limitados e consentimento para que o conteúdo da comunicação e das comunicações de acompanhamento seja armazenado num sistema de informação da UE.

Para nos ajudar a fazer a triagem e priorizar os envios, recomendamos que seus relatórios:

Cumpra todos os termos e condições legais descritos em OnePlan Termos de serviço de divulgação responsável limitada. (a especificar no seu e-mail)
Descreva a vulnerabilidade, onde foi descoberta e o impacto potencial da exploração.
Ofereça uma descrição detalhada das etapas necessárias para reproduzir a vulnerabilidade (scripts de prova de conceito ou capturas de tela são úteis).

Dé fechamento

OnePlan A Limited está empenhada em corrigir vulnerabilidades prontamente. No entanto, reconhecemos que a divulgação pública de uma vulnerabilidade, na ausência de ações corretivas prontamente disponíveis, provavelmente aumenta, em vez de diminuir, o risco. Portanto, solicitamos que você evite compartilhar informações sobre vulnerabilidades descobertas por 90 dias corridos após receber nosso reconhecimento de seu relatório. Se você acredita que outras pessoas precisam saber sobre a vulnerabilidade antes de implementarmos medidas corretivas, pedimos que nos consulte previamente.

Poderemos compartilhar relatórios de vulnerabilidade com a Agência Nacional de Segurança de Sistemas de Informação (ANSSI), bem como com quaisquer fornecedores afetados. Não compartilharemos nomes ou dados de contato de pesquisadores de segurança, a menos que recebamos permissão explícita.

Frequentes

Dúvidas sobre esta política podem ser enviadas para [email protegido]. Também convidamos você a entrar em contato conosco com sugestões para melhorar esta política.