Coordinated vulnerability disclosure
← Poliitikad

Salesforce: vastutustundliku avalikustamise poliitika

Salesforces on usaldus meie esimene väärtus ja suhtume klientide andmete kaitsesse väga tõsiselt.

Salesforce'i turvameeskond tunnustab sõltumatute turvateadlaste väärtuslikku rolli interneti turvalisuses. Seetõttu julgustame vastutustundlikult teatama kõigist haavatavustest, mida meie saidilt või rakendustest leitakse. Salesforce on pühendunud koostööle turvateadlastega, et kontrollida ja lahendada kõiki meile teatatud võimalikke haavatavusi.

Palun tutvu nende tingimustega enne haavatavuse testimist ja/või sellest teatamist. Salesforce lubab mitte algatada õiguslikke samme teadlaste vastu meie süsteemidesse tungimise või sellega katsetamise eest, kui nad järgivad seda poliitikat.

Turvaaukude testimine:

Kui on saadaval prooviversioon (Trial) või arendajaversioon (Developer Edition), tee kogu haavatavuste testimine sellistes keskkondades. Meie veebiteenuseid testides kasuta alati test- või demokontosid.

Teavet turvahindamiste, nõuete, piirangute ja ajastamise kohta leiad teadmusartiklist „Vulnerability Assessment and Penetration Test".

Võimalikust turvaaugust teatamine:

  • Jaga kahtlustatava haavatavuse üksikasju Salesforce'iga privaatselt, saates e-kirja aadressile security@salesforce.com
  • Anna kahtlustatava haavatavuse kohta kõik üksikasjad, et Salesforce'i turvameeskond saaks probleemi kinnitada ja taasesitada

Salesforce ei luba järgmisi turvauuringu liike:

Kuigi julgustame sind avastama ja meile vastutustundlikult teatama kõigist leitud haavatavustest, on järgmine tegevus selgesõnaliselt keelatud:

  • Toimingute tegemine, mis võivad Salesforce'i või selle kasutajaid negatiivselt mõjutada (nt rämpspost, jõuründed (brute force), teenusetõkestus…)
  • Andmetele või teabele juurdepääs või selle katse, mis sulle ei kuulu
  • Andmete või teabe, mis sulle ei kuulu, hävitamine või rikkumine või selle katse
  • Mis tahes füüsilise või elektroonilise rünnaku sooritamine Salesforce'i töötajate, vara või andmekeskuste vastu
  • Salesforce'i kasutajatoe, töötajate või töövõtjate sotsiaalne manipuleerimine
  • Osalevate teenuste haavatavuste testimine mis tahes muuga kui testkontod (nt arendaja- või prooviversiooni keskkonnad)
  • Seaduste rikkumine või lepingute rikkumine haavatavuste avastamiseks

Salesforce'i turvameeskonna kohustus:

Palume sul mitte jagada ega avalikustada lahendamata haavatavust kolmandatele osapooltele. Kui esitad haavatavuse aruande vastutustundlikult, teevad Salesforce'i turvameeskond ja seotud arendusorganisatsioonid mõistlikke jõupingutusi, et:

  • Vastata õigeaegselt, kinnitades sinu haavatavuse aruande kättesaamist
  • Anda hinnanguline ajaraam haavatavuse aruande lahendamiseks
  • Teavitada sind, kui haavatavus on parandatud

Täname hea meelega iga üksikut teadlast, kes esitab haavatavuse aruande ja aitab meil parandada Salesforce'i üldist turvalisust.