Politica di rilevamento delle vulnerabilità

INTRODUZIONE

OnePlan Limited si impegna a garantire la sicurezza del pubblico proteggendo le sue informazioni dalla divulgazione ingiustificata. Lo scopo di questa politica è fornire ai ricercatori della sicurezza linee guida chiare per condurre attività di rilevamento delle vulnerabilità e comunicare le nostre preferenze su come inviarci le vulnerabilità scoperte.

Questa politica descrive i sistemi e le tipologie di ricerca a cui si applica, le modalità di invio delle segnalazioni di vulnerabilità e il periodo di tempo che chiediamo ai ricercatori di sicurezza di attendere prima di divulgare pubblicamente le vulnerabilità.

Vogliamo che i ricercatori sulla sicurezza si sentano a proprio agio nel segnalare le vulnerabilità che hanno scoperto, come delineato in questa politica, in modo da poterle risolvere e mantenere i nostri utenti al sicuro. Abbiamo sviluppato questa politica per riflettere i nostri valori e mantenere il nostro senso di responsabilità nei confronti dei ricercatori di sicurezza che condividono con noi la loro esperienza in buona fede.

Authorization

Se fai uno sforzo in buona fede per rispettare questa politica durante la tua ricerca sulla sicurezza, considereremo la tua ricerca autorizzata, lavoreremo con te per comprendere e risolvere rapidamente il problema e OnePlan Limited non consiglierà né intraprenderà azioni legali relative alla tua ricerca.

Glinee guida

Ai fini della presente politica, il termine "ricerca" indica attività in cui l'utente:

• Informaci il prima possibile dopo aver scoperto un problema di sicurezza reale o potenziale.
• Fare tutto il possibile per evitare violazioni della privacy, degrado dell’esperienza dell’utente, interruzione dei sistemi di produzione e distruzione o manipolazione dei dati.
• Utilizzare gli exploit solo nella misura necessaria per confermare la presenza di una vulnerabilità. Non utilizzare un exploit per compromettere o esfiltrare dati, stabilire l'accesso alla riga di comando e/o la persistenza, né utilizzare l'exploit per "orientarsi" su altri sistemi.
• Ci concedi un ragionevole periodo di tempo per risolvere il problema prima di renderlo pubblico.
• Non comprometterai intenzionalmente la privacy o la sicurezza di OnePlan Personale limitato o terze parti.
• Non comprometterai intenzionalmente la proprietà intellettuale o altri interessi commerciali o finanziari di alcuno OnePlan Personale o entità limitati o terze parti.

Una volta accertata l'esistenza di una vulnerabilità o individuati dati sensibili (incluse informazioni di identificazione personale, informazioni finanziarie, informazioni proprietarie o segreti commerciali di terzi), è necessario interrompere i test, informarci immediatamente e non divulgare tali dati a nessuno.

Sfar fronte

Tla sua politica si applica ai seguenti sistemi e servizi:

oneplanevents.com

seditwin.com

Sono inclusi nell'ambito di applicazione i sistemi e i servizi direttamente associati ai domini e sottodomini sopra elencati. Inoltre, qualsiasi sito web pubblicato con un link a questa policy è considerato incluso. I siti web non esplicitamente elencati qui o pubblicati con un link a questa policy sono considerati esclusi dall'ambito di applicazione della presente policy. Le vulnerabilità scoperte nei sistemi dei nostri fornitori sono al di fuori dell'ambito di applicazione della presente policy e devono essere segnalate direttamente al fornitore in conformità con la sua politica di divulgazione (se presente). In caso di dubbi sull'inclusione o meno di un sistema o endpoint nell'ambito di applicazione, si prega di contattare [email protected] prima di iniziare la ricerca o il referente per la sicurezza del nome di dominio del sistema elencato nel WHOIS .com.

Sebbene sviluppiamo e manteniamo altri sistemi o servizi accessibili tramite Internet, chiediamo che la ricerca attiva e i test siano condotti solo sui sistemi e servizi coperti dall'ambito di questo documento. Se ritieni che un sistema non coperto da questo documento meriti di essere testato, contattaci per discuterne in anticipo. Aumenteremo la portata di questa politica nel tempo.

L' indirizzo email [email protected] è destinato ESCLUSIVAMENTE alla segnalazione di vulnerabilità di sicurezza relative a prodotti o servizi. Non deve essere utilizzato per richiedere assistenza tecnica per i nostri prodotti o servizi. Qualsiasi contenuto diverso da quelli specifici relativi a vulnerabilità di sicurezza nei nostri prodotti o servizi non verrà elaborato.

Rregole di ingaggio

SI ricercatori in materia di sicurezza non devono:

• Testare qualsiasi sistema diverso da quelli indicati nella sezione "Ambito" di cui sopra,
• divulgare informazioni sulla vulnerabilità ad eccezione di quanto stabilito nelle sezioni "Segnalazione di una vulnerabilità" e "Divulgazione" di seguito,
• impegnarsi in test fisici di strutture o risorse,
• impegnarsi nell’ingegneria sociale,
• inviare e-mail non richieste agli utenti di OnePlan Limitato, compresi i messaggi di "phishing",
• eseguire o tentare di eseguire attacchi di tipo “Denial of Service” o “Resource Exhaustion”,
• introdurre software dannoso,
• condurre test in modo tale da comprometterne il funzionamento OnePlan Sistemi limitati; o alterare, interrompere o disabilitare intenzionalmente OnePlan Sistemi limitati,
• testare applicazioni, siti Web o servizi di terze parti che si integrano o si collegano a o da OnePlan Sistemi limitati,
• eliminare, alterare, condividere, conservare o distruggere OnePlan Dati limitati o rendering OnePlan Dati limitati inaccessibili o
• utilizzare un exploit per esfiltrare dati, stabilire l'accesso alla riga di comando, stabilire una presenza persistente su OnePlan Sistemi limitati o “pivot” verso altri OnePlan Sistemi limitati.

Si ricercatori in materia di sicurezza possono:

• Visualizza o memorizza OnePlan Limitare i dati non pubblici solo nella misura necessaria a documentare la presenza di una potenziale vulnerabilità.

SI ricercatori nel campo della sicurezza devono:

• cessare i test e avvisarci immediatamente non appena viene scoperta una vulnerabilità,
• cessare i test e informarci immediatamente non appena viene scoperta l'esposizione di dati non pubblici e,
• eliminare qualsiasi contenuto memorizzato OnePlan Dati non pubblici limitati al momento della segnalazione di una vulnerabilità.

Reportare una vulnerabilità

Accettiamo segnalazioni di vulnerabilità all'indirizzo [email protected] . Le segnalazioni possono essere inviate in forma anonima. Al momento non supportiamo le email crittografate con PGP.

Per facilitare la nostra gestione della vulnerabilità, ci aspettiamo alcuni report ben scritti in inglese o francese contenenti le seguenti informazioni:

• Ora e data della scoperta
• Modello e numero del prodotto utilizzando, se possibile, la nomenclatura del fornitore
• URL, informazioni sul browser inclusi tipo e versione e input richiesti per riprodurre la vulnerabilità;
• Descrizione tecnica: fornire quali azioni sono state eseguite e il risultato nel modo più dettagliato possibile;
• Codice di esempio: se possibile, fornire il codice utilizzato nei test per creare la vulnerabilità;
• Informazioni di contatto della parte segnalante: il metodo migliore per raggiungerlo
• Piano/i di divulgazione: piano attuale di divulgazione;
• Valutazione delle minacce/rischi: contiene dettagli sulle minacce e/o sui rischi identificati, incluso un livello di rischio (alto, medio, basso) per il risultato della valutazione;
• Configurazione software: dettagli sulla configurazione del computer/dispositivo al momento della vulnerabilità;
• Informazioni rilevanti sui dispositivi connessi se si verifica una vulnerabilità durante l'interazione. Quando un dispositivo secondario attiva la vulnerabilità, è necessario fornire questi dettagli.

Ti preghiamo di non includere dati personali nei tuoi rapporti, tranne quelli necessari per contattarti.

La partecipazione a questo programma non conferisce alcun diritto sulla proprietà intellettuale di proprietà di OnePlan Limited o qualsiasi terza parte.

Le informazioni inviate in base a questa politica verranno utilizzate solo a scopo difensivo, per mitigare o correggere le vulnerabilità. Se i risultati includono vulnerabilità scoperte di recente che interessano tutti gli utenti di un prodotto o servizio e non solo OnePlan In termini limitati, potremmo condividere la tua segnalazione con l'Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI), dove verrà gestita nell'ambito del loro processo coordinato di divulgazione delle vulnerabilità. Non condivideremo il tuo nome o le informazioni di contatto senza esplicita autorizzazione.

Inviandoci una segnalazione, dichiari di aver letto, compreso e accettato le linee guida descritte in questa politica per lo svolgimento di ricerche sulla sicurezza e la divulgazione di vulnerabilità o indicatori di vulnerabilità correlate OnePlan Sistemi informativi limitati e consenso all'archiviazione dei contenuti della comunicazione e delle comunicazioni successive su un sistema informativo dell'UE.

Per aiutarci a classificare e stabilire la priorità degli invii, ti consigliamo di:

• Rispettare tutti i termini e le condizioni legali delineati all'indirizzo OnePlan Termini di servizio di divulgazione responsabile limitata. (da specificare nella tua email)
• Descrivi la vulnerabilità, dove è stata scoperta e il potenziale impatto dello sfruttamento.
• Offrire una descrizione dettagliata dei passaggi necessari per riprodurre la vulnerabilità (sono utili script o screenshot di prova).

Disclosure

OnePlan Limited si impegna a risolvere tempestivamente le vulnerabilità. Tuttavia, riconosciamo che la divulgazione pubblica di una vulnerabilità in assenza di azioni correttive prontamente disponibili probabilmente aumenta anziché diminuire il rischio. Pertanto, ti chiediamo di astenerti dal condividere informazioni sulle vulnerabilità scoperte per 90 giorni di calendario dopo aver ricevuto la nostra conferma della tua segnalazione. Se ritieni che altri debbano conoscere la vulnerabilità prima di implementare misure correttive, ti chiediamo di consultarci in anticipo.

Potremmo condividere i rapporti sulle vulnerabilità con l'Agenzia nazionale per la sicurezza dei sistemi informativi (ANSSI) e con tutti i fornitori interessati. Non condivideremo nomi o dati di contatto dei ricercatori sulla sicurezza a meno che non ci venga dato il permesso esplicito.

Domande

Per qualsiasi domanda relativa a questa informativa, potete contattarci all'indirizzo [email protected] . Vi invitiamo inoltre a contattarci per fornirci suggerimenti su come migliorare questa informativa.