Coordinated vulnerability disclosure
← 정책

Salesforce: 책임 있는 공개 정책

Salesforce에서 신뢰는 가장 중요한 가치이며, 저희는 고객 데이터 보호를 매우 진지하게 받아들입니다.

Salesforce 보안 팀은 독립적인 보안 연구자가 인터넷 보안에서 하는 소중한 역할을 인정합니다. 그래서 저희 사이트나 애플리케이션에서 발견될 수 있는 모든 취약점을 책임 있게 보고하도록 권장합니다. Salesforce는 저희에게 보고된 잠재적 취약점을 확인하고 해결하기 위해 보안 연구자와 협력할 것을 약속합니다.

취약점을 테스트하거나 보고하기 전에 이 약관을 검토해 주세요. Salesforce는 연구자가 이 정책을 준수하는 한, 저희 시스템에 침투했거나 침투를 시도한 것을 이유로 연구자에게 법적 조치를 시작하지 않겠다고 서약합니다.

보안 취약점 테스트:

체험판(Trial) 또는 개발자 에디션(Developer Edition)을 이용할 수 있는 경우에는 모든 취약점 테스트를 그러한 인스턴스에 대해 수행해 주세요. 저희 온라인 서비스를 테스트할 때는 항상 테스트 계정이나 데모 계정을 사용하세요.

보안 평가, 요구 사항, 제한 사항, 일정에 대한 정보는 "Vulnerability Assessment and Penetration Test"라는 제목의 지식 문서를 참조하세요.

잠재적 보안 취약점 보고:

  • security@salesforce.com으로 이메일을 보내 의심되는 취약점의 세부 사항을 Salesforce에 비공개로 공유하세요
  • Salesforce 보안 팀이 문제를 확인하고 재현할 수 있도록 의심되는 취약점의 모든 세부 사항을 제공하세요

Salesforce가 허용하지 않는 보안 연구의 유형:

발견한 취약점을 책임 있는 방식으로 찾아 저희에게 보고하는 것은 권장하지만, 다음 행위는 명시적으로 금지됩니다:

  • Salesforce나 그 사용자에게 부정적인 영향을 줄 수 있는 행위(예: 스팸, 무차별 대입, 서비스 거부…)를 하는 것
  • 본인의 것이 아닌 데이터나 정보에 접근하거나 접근을 시도하는 것
  • 본인의 것이 아닌 데이터나 정보를 파괴하거나 손상하거나, 파괴나 손상을 시도하는 것
  • Salesforce 직원, 자산 또는 데이터 센터에 대해 어떤 종류든 물리적 또는 전자적 공격을 하는 것
  • Salesforce 서비스 데스크, 직원 또는 계약자에게 사회공학을 사용하는 것
  • 대상 서비스의 취약점 테스트를 테스트 계정(예: 개발자 또는 체험판 에디션 인스턴스) 이외의 것으로 수행하는 것
  • 취약점을 찾기 위해 법률을 위반하거나 계약을 위반하는 것

Salesforce 보안 팀의 약속:

해결되지 않은 취약점을 제3자에게 공유하거나 공표하지 말아 주세요. 취약점 보고서를 책임 있게 제출하시면 Salesforce 보안 팀과 관련 개발 조직은 다음을 위해 합리적인 노력을 기울입니다:

  • 적시에 응답하여 취약점 보고서의 접수를 확인합니다
  • 취약점 보고서를 해결하는 데 걸릴 예상 기간을 제공합니다
  • 취약점이 수정되었을 때 알려 드립니다

취약점 보고서를 제출하여 Salesforce의 전반적인 보안 태세를 개선하도록 도와주신 모든 연구자 한 분 한 분께 기꺼이 감사드립니다.