Fox-IT Pengungkapan Kerentanan Terkoordinasi

Di Fox-IT, kami menganggap keamanan sistem, jaringan, dan produk kami sebagai hal yang sangat penting. Meskipun kami sangat berhati-hati dalam hal keamanan, titik lemah tetap bisa ada. Jika Anda telah menemukan kelemahan seperti itu, kami ingin mendengarnya sesegera mungkin agar kami dapat mengambil langkah yang tepat secepat mungkin.

Titik lemah dapat ditemukan dengan dua cara: Anda dapat secara tidak sengaja menemukan sesuatu saat menggunakan lingkungan digital secara normal, atau Anda dapat secara eksplisit berusaha sebaik mungkin untuk menemukannya.

Kebijakan pengungkapan bertanggung jawab kami bukanlah undangan untuk memindai secara aktif jaringan bisnis kami guna menemukan titik lemah. Kami memantau jaringan bisnis kami sendiri. Artinya, ada kemungkinan besar bahwa pemindaian akan terdeteksi, dan bahwa penyelidikan akan dilakukan oleh Security Operation Center (SOC) kami, yang dapat mengakibatkan biaya yang tidak perlu. Namun, Anda diundang untuk secara aktif mencari kerentanan pada produk kami di lingkungan non-produksi offline dan melaporkan temuan Anda kepada kami. Tanggung jawab kami kepada pelanggan berarti bahwa niat kami bukan mendorong upaya peretasan terhadap infrastruktur mereka; namun, kami ingin mendengar kabar dari Anda sesegera mungkin jika kerentanan ditemukan, agar kami dapat menyelesaikannya dengan tepat.

Kami ingin bekerja sama dengan Anda agar dapat lebih baik melindungi pelanggan dan sistem kami.

Kami meminta Anda untuk:

Mengirim temuan Anda melalui email sesegera mungkin ke security-alert@fox-it.com.
Tidak menyalahgunakan kerentanan; misalnya, dengan mengunduh, mengedit, atau menghapus data. Kami akan selalu menanggapi laporan Anda dengan serius dan menyelidiki setiap dugaan kerentanan, bahkan tanpa bukti.
Tidak membagikan masalah tersebut kepada pihak lain sampai masalah itu terselesaikan.
Tidak menggunakan serangan terhadap keamanan fisik, rekayasa sosial, atau alat peretasan, seperti pemindai kerentanan.
Memberikan informasi yang memadai agar masalah dapat direproduksi sehingga kami dapat menyelesaikannya secepat mungkin. Biasanya, alamat IP atau URL sistem yang terdampak dan deskripsi kerentanan sudah cukup, meskipun informasi lebih lanjut mungkin diperlukan untuk kerentanan yang lebih kompleks.

Yang kami janjikan:

Kami akan menanggapi laporan Anda dalam tiga hari kerja, dengan evaluasi kami atas laporan tersebut dan perkiraan tanggal penyelesaian.
Kami akan menangani laporan Anda secara rahasia, dan tidak akan membagikan informasi pribadi Anda kepada pihak ketiga tanpa izin Anda. Pengecualian untuk hal ini adalah polisi dan lembaga peradilan jika terjadi penuntutan atau jika informasi diminta.
Kami akan terus memberi tahu Anda tentang kemajuan penyelesaian masalah.
Dalam komunikasi tentang masalah yang dilaporkan, kami akan mencantumkan nama Anda sebagai pihak yang menemukan masalah, jika Anda menginginkannya.
Sayangnya tidak mungkin menjamin sebelumnya bahwa tidak ada tindakan hukum yang akan diambil terhadap Anda. Kami berharap dapat mempertimbangkan setiap situasi secara individual. Kami menganggap diri kami secara moral wajib melaporkan Anda jika kami mencurigai kelemahan atau data disalahgunakan, atau bahwa Anda telah membagikan pengetahuan tentang kelemahan tersebut kepada pihak lain. Anda dapat yakin bahwa penemuan yang tidak disengaja di lingkungan online kami tidak akan berujung pada penuntutan.
Sebagai ucapan terima kasih atas bantuan Anda, kami menawarkan imbalan untuk setiap laporan masalah keamanan yang belum kami ketahui. Kami menentukan nilai imbalan berdasarkan tingkat keseriusan pelanggaran dan kualitas laporan.

Kami berusaha menyelesaikan semua masalah secepat mungkin, menjaga semua pihak yang terlibat tetap mendapat informasi, dan kami ingin terlibat dalam publikasi apa pun tentang masalah tersebut setelah terselesaikan.

Contoh: Bits of Freedom

Ketergantungan kita pada infrastruktur digital terus meningkat. Hal ini berlaku bagi masyarakat secara keseluruhan, tetapi juga bagi kami sendiri. Karena itu, menurut kami pemerintah dan organisasi (termasuk organisasi kami) harus berkomitmen kuat untuk mengamankan infrastruktur digital kami. Kami menyadari bahwa, meskipun kami memiliki niat terbaik dan kehati-hatian terbesar, kerentanan mungkin ada dalam sistem kami. Jika Anda menemukan salah satu kelemahan tersebut, kami ingin mendengar kabar dari Anda agar kami dapat menyelesaikan masalah tersebut.

Yang kami harapkan dari Anda

Ketika Anda menyelidiki salah satu sistem kami, ingatlah proporsionalitas serangan. Tidak perlu mendemonstrasikan bahwa ketika Anda menjadikan situs web kami sasaran serangan DDoS terbesar dalam sejarah internet, situs tersebut dapat menjadi tidak dapat diakses. Kami tahu itu. Kami juga memahami bahwa jika Anda mengemudikan buldoser ke kantor kami, Anda mungkin akan dapat menyambar salah satu laptop kami.
Prinsip proporsionalitas ini juga relevan ketika mendemonstrasikan kerentanan itu sendiri. Anda tidak boleh memeriksa atau mengubah lebih banyak data daripada yang benar-benar diperlukan untuk mengonfirmasi keabsahan temuan Anda. Misalnya, jika Anda dapat mengubah beranda kami, cukup tambahkan satu kata yang tidak kontroversial di sana alih-alih mengambil alih seluruh halaman. Jika Anda bisa mendapatkan akses ke basis data, cukup tunjukkan kepada kami daftar tabel yang ada di dalamnya, atau mungkin rekaman pertama dari salah satu tabel tersebut.
Kerentanan pada salah satu sistem kami harus dilaporkan sesegera mungkin dengan mengirim email ke security@bof.nl. Sebaiknya Anda mengenkripsi pesan Anda menggunakan OpenPGP. Mohon berikan informasi yang cukup agar kami dapat mereproduksi dan menyelidiki masalah tersebut.
Kunci publik OpenPGP untuk security@bof.nl
Anda tidak akan membagikan pengetahuan Anda tentang kerentanan kepada pihak lain selama kami belum menangani masalah tersebut dan kami masih berada dalam jangka waktu yang wajar sejak Anda melaporkan masalah tersebut.
Anda akan menghapus semua informasi rahasia yang Anda peroleh selama penyelidikan segera setelah kami menyelesaikan kerentanan tersebut.

Yang dapat Anda harapkan dari kami

Kami akan menanggapi laporan Anda dalam waktu tiga hari secara terperinci. Kami akan menyertakan perkiraan waktu yang kami perlukan untuk menangani masalah tersebut. Tentu saja, kami akan secara berkala memberi kabar kepada Anda tentang kemajuan kami.
Kami akan menyelesaikan kerentanan secepat mungkin. Di sini juga, proporsionalitas penting: waktu yang diperlukan untuk memperbaiki kerentanan bergantung pada beberapa faktor, di antaranya tingkat keparahan dan kompleksitas masalah yang dihadapi.
Jika Anda mengikuti pedoman yang diuraikan di sini, kami tidak akan mengambil tindakan hukum terhadap Anda terkait laporan Anda.
Penting bagi kami untuk memberikan penghargaan atas apa yang Anda lakukan - jika Anda menginginkannya. Kami akan menyebut nama Anda dalam publikasi tentang kerentanan tersebut hanya jika Anda menyetujuinya.
Sebagai ucapan terima kasih karena telah membantu kami melindungi sistem kami dengan lebih baik, kami ingin memberi imbalan untuk setiap laporan kerentanan yang belum kami ketahui pada saat itu. Imbalan akan bergantung pada tingkat keparahan kerentanan dan kualitas laporan.

Jika Anda menemukan kerentanan pada perangkat lunak pihak ketiga yang kami gunakan dan kerentanan tersebut tercakup dalam program bug bounty, kami tidak akan mencoba mengklaim imbalan tersebut; Anda yang seharusnya mengklaimnya.