مثال على الإفصاح عن الثغرات من ResponsibleDisclosure.nl

في شركة Acme Corporation، نعتبر أمن أنظمتنا أولوية قصوى. ولكن مهما بذلنا من جهد في أمن الأنظمة، قد تبقى ثغرات موجودة.

إذا اكتشفت ثغرة، فنود أن نعلم بها لنتمكن من اتخاذ خطوات لمعالجتها في أسرع وقت ممكن.

نرجو منك أن تساعدنا على حماية عملائنا وأنظمتنا بشكل أفضل.

يرجى القيام بما يلي:

• أرسل نتائجك بالبريد الإلكتروني إلى cert@example.com. شفّر نتائجك باستخدام مفتاح PGP الخاص بنا لمنع وقوع هذه المعلومات الحرجة في أيدٍ خاطئة،

• لا تستغل الثغرة أو المشكلة التي اكتشفتها، مثلاً بتنزيل بيانات أكثر مما يلزم لإثبات الثغرة أو بحذف بيانات الآخرين أو تعديلها،

• لا تكشف المشكلة للآخرين إلى أن تُحل،

• لا تستخدم هجمات على الأمن المادي، أو الهندسة الاجتماعية، أو حجب الخدمة الموزَّع، أو الرسائل المزعجة، أو تطبيقات الأطراف الثالثة، و

• قدّم معلومات كافية لإعادة إنتاج المشكلة، حتى نتمكن من حلها في أسرع وقت ممكن. عادةً يكفي عنوان IP أو عنوان URL للنظام المتأثر ووصف للثغرة، لكن الثغرات المعقدة قد تتطلب مزيداً من الشرح.

ما نعدك به:

• سنرد على تقريرك خلال 3 أيام عمل بتقييمنا للتقرير وتاريخ الحل المتوقع،

• إذا اتبعت التعليمات أعلاه، فلن نتخذ أي إجراء قانوني ضدك فيما يتعلق بالتقرير،

• سنتعامل مع تقريرك بسرية تامة، ولن نمرّر بياناتك الشخصية إلى أطراف ثالثة دون إذنك،

• سنبقيك على اطلاع بالتقدم نحو حل المشكلة،

• في المعلومات العامة المتعلقة بالمشكلة المُبلَّغ عنها، سنذكر اسمك بوصفك مكتشف المشكلة (ما لم تَرغب خلاف ذلك)، و

• تعبيراً عن امتناننا لمساعدتك، نقدّم مكافأة عن كل تقرير بمشكلة أمنية لم تكن معروفة لدينا بعد. وسيُحدَّد مبلغ المكافأة بناءً على خطورة التسرب وجودة التقرير. وستكون المكافأة الدنيا قسيمة هدايا بقيمة 50 يورو.

نسعى إلى حل جميع المشكلات في أسرع وقت ممكن، ونود أن نؤدي دوراً نشطاً في النشر النهائي حول المشكلة بعد حلها.

كتب هذا النص Floor Terra وهو منشور بموجب ترخيص Creative Commons Attribution 3.0 Unported.