Coordinated vulnerability disclosure
← Stefnur

Salesforce: Stefna um ábyrga birtingu

Hjá Salesforce er traust gildið okkar númer 1 og við tökum vernd gagna viðskiptavina okkar mjög alvarlega.

Öryggisteymi Salesforce viðurkennir það dýrmæta hlutverk sem óháðir öryggisrannsakendur gegna í öryggi internetsins. Þess vegna hvetjum við til ábyrgrar tilkynningar um alla veikleika sem kunna að finnast á vefsvæði okkar eða í forritum. Salesforce hefur skuldbundið sig til að vinna með öryggisrannsakendum að því að staðfesta og bregðast við hugsanlegum veikleikum sem tilkynntir eru til okkar.

Vinsamlegast farðu yfir þessa skilmála áður en þú prófar og/eða tilkynnir veikleika. Salesforce heitir því að hefja ekki lagalegar aðgerðir gegn rannsakendum fyrir að komast inn í eða reyna að komast inn í kerfi okkar svo lengi sem þeir fylgja þessari stefnu.

Prófun á öryggisveikleikum:

Þegar prufuútgáfa (Trial) eða þróunarútgáfa (Developer Edition) er tiltæk skaltu framkvæma allar veikleikaprófanir á slíkum tilvikum. Notaðu alltaf prófunar- eða sýnisreikninga þegar þú prófar netþjónustur okkar.

Til að fá upplýsingar um öryggismat, kröfur, takmarkanir og tímasetningar skaltu skoða þekkingargreinina „Vulnerability Assessment and Penetration Test".

Tilkynning um hugsanlegan öryggisveikleika:

  • Deildu upplýsingum um grunaðan veikleika í einrúmi með Salesforce með því að senda tölvupóst á security@salesforce.com
  • Gefðu allar upplýsingar um grunaða veikleikann svo öryggisteymi Salesforce geti staðfest og endurskapað vandamálið

Salesforce leyfir ekki eftirfarandi gerðir öryggisrannsókna:

Þótt við hvetjum þig til að uppgötva og tilkynna okkur á ábyrgan hátt alla veikleika sem þú finnur er eftirfarandi hegðun sérstaklega bönnuð:

  • Að framkvæma aðgerðir sem geta haft neikvæð áhrif á Salesforce eða notendur þess (t.d. ruslpóstur, Brute Force, Denial of Service…)
  • Að fá aðgang, eða reyna að fá aðgang, að gögnum eða upplýsingum sem tilheyra þér ekki
  • Að eyða eða spilla, eða reyna að eyða eða spilla, gögnum eða upplýsingum sem tilheyra þér ekki
  • Að gera hvers kyns líkamlega eða rafræna árás á starfsfólk, eignir eða gagnaver Salesforce
  • Að beita félagsverkfræði gegn þjónustuborði, starfsmönnum eða verktökum Salesforce
  • Að framkvæma veikleikaprófanir á þátttökuþjónustum með öðru en prófunarreikningum (t.d. tilvikum þróunar- eða prufuútgáfu)
  • Að brjóta lög eða rjúfa samninga til að uppgötva veikleika

Skuldbinding öryggisteymis Salesforce:

Við biðjum þig að deila ekki eða gera opinberan óleystan veikleika með/til þriðju aðila. Ef þú sendir veikleikaskýrslu á ábyrgan hátt munu öryggisteymi Salesforce og tengdar þróunarstofnanir leggja sig sanngjarnt fram um að:

  • Svara tímanlega og staðfesta móttöku veikleikaskýrslu þinnar
  • Gefa áætlaðan tímaramma til að bregðast við veikleikaskýrslunni
  • Tilkynna þér þegar veikleikinn hefur verið lagaður

Við þökkum fúslega hverjum rannsakanda sem sendir veikleikaskýrslu og hjálpar okkur að bæta heildaröryggisstöðu okkar hjá Salesforce.