Datgelu Cydgysylltiedig o Wendidau Fox-IT

Yn Fox-IT, rydym yn ystyried diogelwch ein systemau, ein rhwydwaith a'n cynhyrchion yn hollbwysig. Er gwaethaf y gofal mawr a gymerwn ynglŷn â diogelwch, gall mannau gwan aros o hyd. Os ydych wedi dod o hyd i wendid o'r fath, hoffem glywed amdano cyn gynted â phosibl fel y gallwn gymryd mesurau priodol cyn gynted â phosibl.

Gellir darganfod mannau gwan mewn dwy ffordd: gallwch ddod ar draws rhywbeth ar ddamwain wrth ddefnyddio amgylchedd digidol yn normal, neu gallwch wneud eich gorau yn benodol i'w canfod.

Nid yw ein polisi datgelu cyfrifol yn wahoddiad i sganio ein rhwydwaith busnes yn weithredol i ddarganfod mannau gwan. Rydym yn monitro ein rhwydwaith busnes ein hunain. Mae hyn yn golygu bod siawns uchel y canfyddir sgan, ac y cynhelir ymchwiliad gan ein Canolfan Gweithrediadau Diogelwch (SOC), a allai arwain at gostau diangen. Fodd bynnag, gwahoddir chi i chwilio'n weithredol am wendidau yn ein cynhyrchion mewn amgylchedd all-lein nad yw'n amgylchedd cynhyrchu ac i adrodd am eich canfyddiadau i ni. Mae ein cyfrifoldeb i'n cwsmeriaid yn golygu nad ein bwriad yw annog ymdrechion hacio ar eu seilwaith; fodd bynnag, hoffem glywed gennych cyn gynted â phosibl os canfyddir gwendidau, fel y gallwn eu datrys yn ddigonol.

Hoffem weithio gyda chi i allu amddiffyn ein cwsmeriaid a'n systemau yn well.

Gofynnwn i chi:

• Anfon eich canfyddiadau mewn e-bost cyn gynted â phosibl i security-alert@fox-it.com.

• Peidio â chamddefnyddio'r gwendid; er enghraifft, drwy lawrlwytho, golygu neu ddileu data. Byddwn bob amser yn cymryd eich adroddiad o ddifrif ac yn ymchwilio i unrhyw amheuaeth o wendid, hyd yn oed heb brawf.

• Peidio â rhannu'r broblem ag eraill nes ei bod wedi'i datrys.

• Peidio â defnyddio ymosodiadau ar ddiogelwch ffisegol, peirianneg gymdeithasol nac offer hacio, megis sganwyr gwendid.

• Rhoi digon o wybodaeth i atgynhyrchu'r broblem fel y gallwn ei datrys cyn gynted â phosibl. Fel arfer, mae cyfeiriad IP neu URL y system yr effeithir arni a disgrifiad o'r gwendid yn ddigon, er y gall fod angen mwy o wybodaeth ar gyfer gwendidau mwy cymhleth.

Beth rydym yn ei addo:

• Byddwn yn ymateb i'ch adroddiad o fewn tri diwrnod gwaith, gyda'n gwerthusiad o'r adroddiad a dyddiad datrys disgwyliedig.

• Byddwn yn trin eich adroddiad yn gyfrinachol, ac ni fyddwn yn rhannu eich gwybodaeth bersonol â thrydydd partïon heb eich caniatâd. Eithriad i hyn yw'r heddlu a'r farnwriaeth os cynhelir erlyniad neu os gofynnir am wybodaeth.

• Byddwn yn eich hysbysu o gynnydd yr ateb i'r broblem.

• Wrth gyfathrebu am y broblem a adroddwyd, byddwn yn nodi eich enw fel y parti a ddarganfu'r broblem, os dymunwch.

• Yn anffodus, nid yw'n bosibl gwarantu ymlaen llaw na fydd camau cyfreithiol yn cael eu cymryd yn eich erbyn. Gobeithiwn allu ystyried pob sefyllfa yn unigol. Rydym yn ystyried ein hunain dan rwymedigaeth foesol i'ch adrodd os ydym yn amau bod y gwendid neu'r data'n cael eu camddefnyddio, neu eich bod wedi rhannu gwybodaeth am y gwendid ag eraill. Gallwch fod yn dawel eich meddwl na fydd darganfyddiad damweiniol yn ein hamgylchedd ar-lein yn arwain at erlyniad.

• Fel diolch am eich cymorth, rydym yn cynnig gwobr am bob adroddiad o broblem diogelwch nad ydym yn ei hadnabod. Rydym yn pennu gwerth y wobr ar sail difrifoldeb y tor-diogelwch ac ansawdd yr adroddiad.

Rydym yn ymdrechu i ddatrys pob problem cyn gynted â phosibl, i gadw'r holl bartïon dan sylw yn wybodus a hoffem fod yn rhan o unrhyw gyhoeddiad am y broblem ar ôl iddi gael ei datrys.

Enghraifft: Bits of Freedom

Mae ein dibyniaeth ar seilwaith digidol yn cynyddu drwy'r amser. Mae hyn yn wir am y gymdeithas gyfan, ond hefyd amdanom ni ein hunain. Felly ein barn ni yw y dylai llywodraethau a sefydliadau (gan gynnwys ni) ymrwymo'n gryf i ddiogelu ein seilwaith digidol. Rydym yn sylweddoli, er gwaethaf ein bwriadau gorau a'n gofal mwyaf, y gall gwendidau fodoli yn ein systemau. Os byddwch yn dod o hyd i un o'r gwendidau hyn, byddem wrth ein bodd yn clywed gennych fel y gallwn ddatrys y broblem.

Beth rydym yn ei ddisgwyl gennych

• Pan fyddwch yn ymchwilio i un o'n systemau, cofiwch gymesuredd yr ymosodiad. Does dim angen dangos, os byddwch yn cyflwyno ein gwefan i'r ymosodiad DDoS mwyaf yn hanes y rhyngrwyd, y gall y safle fynd yn anghyraeddadwy. Rydym yn gwybod hynny. Rydym hefyd yn deall, os byddwch yn gyrru bwldoser i mewn i'n swyddfa, mae'n debyg y byddwch yn gallu cipio un o'n gliniaduron.

• Mae'r egwyddor hon o gymesuredd hefyd yn berthnasol wrth ddangos y gwendid ei hun. Ni ddylech archwilio nac addasu mwy o ddata nag sy'n gwbl angenrheidiol i gadarnhau dilysrwydd eich canfyddiad. Er enghraifft, os gallwch addasu ein hafan, ychwanegwch un gair di-ddadl yn unig yn hytrach na chymryd y dudalen gyfan drosodd. Os gallwch gael mynediad i gronfa ddata, mae'n ddigon dangos rhestr o'r tablau sydd ynddi, neu efallai'r cofnod cyntaf yn un o'r tablau hyn.

• Dylid adrodd am wendid yn un o'n systemau cyn gynted â phosibl drwy anfon e-bost i security@bof.nl. Yn ddelfrydol, byddech yn amgryptio eich neges gan ddefnyddio OpenPGP. Rhowch ddigon o wybodaeth i ni fel y gallwn atgynhyrchu ac ymchwilio i'r broblem.

• Yr allwedd OpenPGP gyhoeddus ar gyfer security@bof.nl

• Ni fyddwch yn rhannu eich gwybodaeth am y gwendid ag eraill cyhyd nad ydym wedi mynd i'r afael â'r broblem a'n bod yn dal o fewn amserlen resymol ers i chi adrodd am y broblem.

• Byddwch yn dileu'r holl wybodaeth gyfrinachol a gawsoch yn ystod eich ymchwiliad cyn gynted ag y byddwn wedi datrys y gwendid.

Beth y gallwch ei ddisgwyl gennym ni

• Byddwn yn ymateb i'ch adroddiad o fewn tri diwrnod mewn modd manwl. Byddwn yn cynnwys amcangyfrif o'r amser y bydd ei angen arnom i fynd i'r afael â'r broblem. Wrth gwrs, byddwn yn eich hysbysu'n rheolaidd o'n cynnydd.

• Byddwn yn datrys y gwendid cyn gynted â phosibl. Yma hefyd mae cymesuredd yn bwysig: mae faint o amser sydd ei angen i drwsio gwendid yn dibynnu ar sawl ffactor, yn eu plith difrifoldeb a chymhlethdod y broblem dan sylw.

• Pan fyddwch yn dilyn y canllawiau a nodir yma, ni fyddwn yn cymryd camau cyfreithiol yn eich erbyn ynglŷn â'ch adroddiad.

• Mae'n bwysig i ni roi clod i chi am yr hyn a wnaethoch - os dymunwch. Byddwn yn crybwyll eich enw mewn cyhoeddiad ynglŷn â'r gwendid dim ond os cytunwch i hyn.

• Fel diolch am helpu i ddiogelu ein systemau'n well, hoffem wobrwyo pob adroddiad o wendid nad oeddem yn ei adnabod ar y pryd. Bydd y wobr yn dibynnu ar ddifrifoldeb y gwendid ac ansawdd yr adroddiad.

Os byddwch yn dod o hyd i wendid mewn meddalwedd trydydd parti rydym yn ei defnyddio a bod y gwendid hwnnw wedi'i gwmpasu gan raglen gwobrwyo gwallau, ni fyddwn yn ceisio hawlio'r wobr hon; dylech chi wneud hynny.