Esempio di divulgazione delle vulnerabilità di ResponsibleDisclosure.nl

Presso Acme Corporation consideriamo la sicurezza dei nostri sistemi una priorità assoluta. Ma per quanto impegno dedichiamo alla sicurezza dei sistemi, possono comunque esserci vulnerabilità.

Se scopri una vulnerabilità, vorremmo saperlo per poter adottare misure per risolverla il più rapidamente possibile.

Vorremmo chiederti di aiutarci a proteggere meglio i nostri clienti e i nostri sistemi.

Ti chiediamo di fare quanto segue:

Invia le tue scoperte via email a cert@example.com. Cifra le tue scoperte usando la nostra chiave PGP per evitare che queste informazioni critiche finiscano nelle mani sbagliate,
Non approfittare della vulnerabilità o del problema che hai scoperto, ad esempio scaricando più dati del necessario per dimostrare la vulnerabilità o eliminando o modificando i dati di altre persone,
Non rivelare il problema ad altri finché non sarà stato risolto,
Non usare attacchi alla sicurezza fisica, ingegneria sociale, denial of service distribuito, spam o applicazioni di terze parti, e
Fornisci informazioni sufficienti per riprodurre il problema, così potremo risolverlo il più rapidamente possibile. Di solito l'indirizzo IP o l'URL del sistema interessato e una descrizione della vulnerabilità saranno sufficienti, ma vulnerabilità complesse possono richiedere ulteriori spiegazioni.

Cosa promettiamo:

Risponderemo alla tua segnalazione entro 3 giorni lavorativi con la nostra valutazione della segnalazione e una data prevista di risoluzione,
Se hai seguito le istruzioni di cui sopra, non intraprenderemo alcuna azione legale nei tuoi confronti in relazione alla segnalazione,
Tratteremo la tua segnalazione con la massima riservatezza e non trasmetteremo i tuoi dati personali a terzi senza il tuo permesso,
Ti terremo informato sui progressi verso la risoluzione del problema,
Nelle informazioni pubbliche relative al problema segnalato, indicheremo il tuo nome come scopritore del problema (a meno che tu non desideri diversamente), e
Come segno di gratitudine per il tuo aiuto, offriamo una ricompensa per ogni segnalazione di un problema di sicurezza che non ci era ancora noto. L'importo della ricompensa sarà determinato in base alla gravità della falla e alla qualità della segnalazione. La ricompensa minima sarà un buono regalo da 50 €.

Ci impegniamo a risolvere tutti i problemi il più rapidamente possibile e vorremmo svolgere un ruolo attivo nella pubblicazione finale sul problema dopo che sarà stato risolto.

Questo testo è scritto da Floor Terra ed è pubblicato con licenza Creative Commons Attribution 3.0 Unported.