Coordinated vulnerability disclosure
← Käytännöt

Salesforce: vastuullisen julkistamisen käytäntö

Salesforcella luottamus on arvoistamme ykkönen, ja otamme asiakkaidemme tietojen suojaamisen erittäin vakavasti.

Salesforcen tietoturvatiimi tunnustaa riippumattomien tietoturvatutkijoiden arvokkaan roolin internetin tietoturvassa. Tämän vuoksi kannustamme vastuulliseen ilmoittamiseen kaikista haavoittuvuuksista, joita sivustoltamme tai sovelluksistamme saatetaan löytää. Salesforce on sitoutunut tekemään yhteistyötä tietoturvatutkijoiden kanssa meille ilmoitettujen mahdollisten haavoittuvuuksien varmistamiseksi ja korjaamiseksi.

Tutustu näihin ehtoihin ennen haavoittuvuuden testaamista ja/tai ilmoittamista. Salesforce lupaa olla ryhtymättä oikeustoimiin tutkijoita vastaan järjestelmiimme tunkeutumisesta tai sen yrittämisestä, kunhan he noudattavat tätä käytäntöä.

Tietoturvahaavoittuvuuksien testaaminen:

Aina kun kokeiluversio (Trial) tai kehittäjäversio (Developer Edition) on saatavilla, suorita kaikki haavoittuvuustestaus kyseisissä instansseissa. Käytä aina testi- tai demotilejä testatessasi verkkopalvelujamme.

Tietoja tietoturva-arvioinneista, vaatimuksista, rajoituksista ja aikataulutuksesta löydät tietämysartikkelista "Vulnerability Assessment and Penetration Test".

Mahdollisesta tietoturvahaavoittuvuudesta ilmoittaminen:

  • Jaa epäillyn haavoittuvuuden yksityiskohdat yksityisesti Salesforcen kanssa lähettämällä sähköpostia osoitteeseen security@salesforce.com
  • Anna täydelliset tiedot epäillystä haavoittuvuudesta, jotta Salesforcen tietoturvatiimi voi vahvistaa ja toistaa ongelman

Salesforce ei salli seuraavan tyyppistä tietoturvatutkimusta:

Vaikka kannustamme sinua löytämään ja ilmoittamaan meille vastuullisesti kaikki löytämäsi haavoittuvuudet, seuraava toiminta on nimenomaisesti kielletty:

  • Toimenpiteiden suorittaminen, jotka voivat vaikuttaa kielteisesti Salesforceen tai sen käyttäjiin (esim. roskaposti, raaka voima (brute force), palvelunesto…)
  • Sellaisten tietojen tai informaation käyttäminen tai sen yrittäminen, jotka eivät kuulu sinulle
  • Sellaisten tietojen tai informaation tuhoaminen tai turmeleminen tai sen yrittäminen, jotka eivät kuulu sinulle
  • Minkäänlaisen fyysisen tai sähköisen hyökkäyksen tekeminen Salesforcen henkilöstöä, omaisuutta tai tietokeskuksia vastaan
  • Salesforcen asiakaspalvelun, työntekijöiden tai urakoitsijoiden sosiaalinen manipulointi
  • Osallistuvien palvelujen haavoittuvuustestauksen tekeminen muulla kuin testitileillä (esim. kehittäjä- tai kokeiluversioinstanssit)
  • Lakien rikkominen tai sopimusten rikkominen haavoittuvuuksien löytämiseksi

Salesforcen tietoturvatiimin sitoumus:

Pyydämme, ettet jaa tai julkista ratkaisematonta haavoittuvuutta kolmansille osapuolille. Jos lähetät haavoittuvuusraportin vastuullisesti, Salesforcen tietoturvatiimi ja siihen liittyvät kehitysorganisaatiot pyrkivät kohtuullisin toimin:

  • Vastaamaan ajoissa ja vahvistamaan haavoittuvuusraporttisi vastaanottamisen
  • Antamaan arvioidun aikataulun haavoittuvuusraportin käsittelylle
  • Ilmoittamaan sinulle, kun haavoittuvuus on korjattu

Kiitämme mielellämme jokaista tutkijaa, joka lähettää haavoittuvuusraportin ja auttaa meitä parantamaan Salesforcen yleistä tietoturvatasoa.