Coordinated vulnerability disclosure
← Politikos

Salesforce: atsakingo atskleidimo politika

Salesforce pasitikėjimas yra svarbiausia mūsų vertybė, ir mes labai rimtai žiūrime į savo klientų duomenų apsaugą.

Salesforce saugumo komanda pripažįsta vertingą nepriklausomų saugumo tyrėjų vaidmenį interneto saugumui. Todėl skatiname atsakingai pranešti apie bet kokius pažeidžiamumus, kuriuos galite rasti mūsų svetainėje ar programose. Salesforce įsipareigoja bendradarbiauti su saugumo tyrėjais, tikrinant ir šalinant bet kokius mums pranešamus galimus pažeidžiamumus.

Prieš testuodami ir (arba) pranešdami apie pažeidžiamumą, prašome peržiūrėti šias sąlygas. Salesforce pasižada nesiimti teisinių veiksmų prieš tyrėjus už įsiskverbimą ar bandymą įsiskverbti į mūsų sistemas, jei jie laikosi šios politikos.

Saugumo pažeidžiamumų testavimas:

Kai tik prieinama Trial arba Developer Edition versija, visą pažeidžiamumų testavimą atlikite su tokiomis instancijomis. Testuodami mūsų internetines paslaugas visada naudokite testines arba demonstracines paskyras.

Informacijos apie saugumo vertinimus, reikalavimus, apribojimus ir planavimą ieškokite žinių bazės straipsnyje „Vulnerability Assessment and Penetration Test“.

Pranešimas apie galimą saugumo pažeidžiamumą:

  • Privačiai pasidalykite įtariamo pažeidžiamumo detalėmis su Salesforce, išsiųsdami el. laišką adresu security@salesforce.com
  • Pateikite visą įtariamo pažeidžiamumo informaciją, kad Salesforce saugumo komanda galėtų patvirtinti ir atkurti problemą

Salesforce neleidžia šių rūšių saugumo tyrimų:

Nors skatiname jus atrasti ir atsakingai mums pranešti apie bet kokius rastus pažeidžiamumus, šis elgesys yra aiškiai draudžiamas:

  • Veiksmai, galintys neigiamai paveikti Salesforce ar jos naudotojus (pvz., šlamštas, brutalioji jėga (Brute Force), paslaugos trikdymas (Denial of Service)…)
  • Prieiga ar bandymas gauti prieigą prie duomenų ar informacijos, kuri jums nepriklauso
  • Duomenų ar informacijos, kuri jums nepriklauso, sunaikinimas ar sugadinimas arba bandymas ją sunaikinti ar sugadinti
  • Bet kokio fizinio ar elektroninio išpuolio prieš Salesforce personalą, turtą ar duomenų centrus vykdymas
  • Bet kurios Salesforce pagalbos tarnybos, darbuotojo ar rangovo socialinė inžinerija
  • Dalyvaujančių paslaugų pažeidžiamumų testavimas naudojant bet ką kita nei testines paskyras (pvz., Developer arba Trial Edition instancijas)
  • Įstatymų pažeidimas ar susitarimų laužymas siekiant aptikti pažeidžiamumus

Salesforce saugumo komandos įsipareigojimas:

Prašome nesidalyti ir nepaviešinti neišspręsto pažeidžiamumo su trečiosiomis šalimis ar trečiosioms šalims. Jei atsakingai pateiksite pranešimą apie pažeidžiamumą, Salesforce saugumo komanda ir susijusios kūrimo organizacijos dės pagrįstas pastangas:

  • Laiku atsakyti ir patvirtinti, kad gautas jūsų pranešimas apie pažeidžiamumą
  • Nurodyti numatomą pranešimo apie pažeidžiamumą nagrinėjimo laikotarpį
  • Pranešti jums, kai pažeidžiamumas bus ištaisytas

Mielai dėkojame kiekvienam tyrėjui, kuris pateikia pranešimą apie pažeidžiamumą ir taip padeda mums gerinti bendrą Salesforce saugumo būklę.