Coordinated vulnerability disclosure
← Zásady

Salesforce: zásady odpovědného zveřejňování

Ve společnosti Salesforce je důvěra naší hodnotou č. 1 a ochranu dat našich zákazníků bereme velmi vážně.

Bezpečnostní tým Salesforce uznává cennou roli, kterou nezávislí bezpečnostní výzkumníci hrají v bezpečnosti internetu. V důsledku toho podporujeme odpovědné hlášení jakýchkoli zranitelností, které mohou být nalezeny na našem webu nebo v aplikacích. Salesforce je odhodlán spolupracovat s bezpečnostními výzkumníky při ověřování a řešení jakýchkoli potenciálních zranitelností, které nám jsou nahlášeny.

Před testováním a/nebo hlášením zranitelnosti si prosím přečtěte tyto podmínky. Salesforce slibuje, že nezahájí právní kroky proti výzkumníkům za pronikání nebo pokusy o pronikání do našich systémů, pokud tyto zásady dodržují.

Testování bezpečnostních zranitelností:

Kdykoli je k dispozici edice Trial nebo Developer Edition, provádějte veškeré testování zranitelností na takových instancích. Při testování našich online služeb vždy používejte testovací nebo demo účty.

Informace o bezpečnostních hodnoceních, požadavcích, omezeních a plánování najdete v článku znalostní báze s názvem „Vulnerability Assessment and Penetration Test".

Hlášení potenciální bezpečnostní zranitelnosti:

  • Soukromě sdílejte podrobnosti o podezřelé zranitelnosti se Salesforce zasláním e-mailu na security@salesforce.com
  • Poskytněte úplné podrobnosti o podezřelé zranitelnosti, aby bezpečnostní tým Salesforce mohl problém ověřit a reprodukovat

Salesforce nepovoluje následující typy bezpečnostního výzkumu:

I když vás vybízíme, abyste jakékoli zranitelnosti, které najdete, odpovědným způsobem objevovali a hlásili nám, následující jednání je výslovně zakázáno:

  • Provádění akcí, které mohou negativně ovlivnit Salesforce nebo jeho uživatele (např. spam, Brute Force, Denial of Service…)
  • Přístup nebo pokus o přístup k datům či informacím, které vám nepatří
  • Ničení nebo poškozování, případně pokus o ničení či poškozování, dat nebo informací, které vám nepatří
  • Provádění jakéhokoli druhu fyzického nebo elektronického útoku na zaměstnance, majetek nebo datová centra Salesforce
  • Sociální inženýrství vůči jakékoli službě helpdesk, zaměstnanci nebo dodavateli Salesforce
  • Provádění testování zranitelností zúčastněných služeb pomocí čehokoli jiného než testovacích účtů (např. instance Developer nebo Trial Edition)
  • Porušování jakýchkoli zákonů nebo smluv za účelem objevení zranitelností

Závazek bezpečnostního týmu Salesforce:

Žádáme vás, abyste nesdíleli ani nezveřejňovali nevyřešenou zranitelnost třetím stranám. Pokud odpovědně odešlete hlášení zranitelnosti, bezpečnostní tým Salesforce a související vývojové organizace vynaloží přiměřené úsilí, aby:

  • Včas odpověděly a potvrdily přijetí vašeho hlášení zranitelnosti
  • Poskytly odhadovaný časový rámec pro řešení hlášení zranitelnosti
  • Vás upozornily, když bude zranitelnost opravena

Rádi poděkujeme každému výzkumníkovi, který odešle hlášení zranitelnosti a pomůže nám zlepšit naši celkovou bezpečnostní úroveň ve Salesforce.