Coordinated vulnerability disclosure
← Politikas

Salesforce: atbildīgas atklāšanas politika

Salesforce uzticēšanās ir mūsu galvenā vērtība, un mēs ļoti nopietni uztveram savu klientu datu aizsardzību.

Salesforce drošības komanda atzīst neatkarīgu drošības pētnieku vērtīgo lomu interneta drošībā. Tāpēc mēs mudinām atbildīgi ziņot par jebkurām ievainojamībām, ko varat atrast mūsu vietnē vai lietojumprogrammās. Salesforce ir apņēmies sadarboties ar drošības pētniekiem, lai pārbaudītu un novērstu jebkuras potenciālās ievainojamības, par kurām mums tiek ziņots.

Lūdzu, pārskatiet šos noteikumus pirms ievainojamības testēšanas un/vai ziņošanas par to. Salesforce apsolās neierosināt tiesvedību pret pētniekiem par iekļūšanu vai mēģinājumiem iekļūt mūsu sistēmās, ja vien viņi ievēro šo politiku.

Drošības ievainojamību testēšana:

Kad vien ir pieejams Trial vai Developer Edition, lūdzu, veiciet visu ievainojamību testēšanu pret šādām instancēm. Testējot mūsu tiešsaistes pakalpojumus, vienmēr izmantojiet testa vai demonstrācijas kontus.

Informāciju par drošības novērtējumiem, prasībām, ierobežojumiem un plānošanu skatiet zināšanu bāzes rakstā "Vulnerability Assessment and Penetration Test".

Ziņošana par iespējamu drošības ievainojamību:

  • Privāti dalieties ar Salesforce ar aizdomās turētās ievainojamības detaļām, nosūtot e-pastu uz security@salesforce.com
  • Sniedziet pilnīgu informāciju par aizdomās turēto ievainojamību, lai Salesforce drošības komanda varētu apstiprināt un atveidot problēmu

Salesforce neatļauj šādus drošības pētījumu veidus:

Lai gan mēs mudinām jūs atklāt un atbildīgi ziņot mums par jebkurām atrastajām ievainojamībām, šāda rīcība ir skaidri aizliegta:

  • Darbību veikšana, kas var negatīvi ietekmēt Salesforce vai tā lietotājus (piem., surogātpasts (spam), brutālais spēks (Brute Force), pakalpojumatteice (Denial of Service)…)
  • Piekļuve datiem vai informācijai, kas jums nepieder, vai mēģinājumi tai piekļūt
  • Datu vai informācijas, kas jums nepieder, iznīcināšana vai bojāšana vai mēģinājumi to iznīcināt vai bojāt
  • Jebkāda veida fizisks vai elektronisks uzbrukums Salesforce personālam, īpašumam vai datu centriem
  • Jebkura Salesforce palīdzības dienesta, darbinieka vai darbuzņēmēja sociālā inženierija
  • Iesaistīto pakalpojumu ievainojamību testēšana, izmantojot jebko citu, nevis testa kontus (piem., Developer vai Trial Edition instances)
  • Likumu pārkāpšana vai vienošanos laušana, lai atklātu ievainojamības

Salesforce drošības komandas apņemšanās:

Mēs lūdzam jūs nedalīties un nepubliskot neatrisinātu ievainojamību ar trešajām pusēm vai trešajām pusēm. Ja atbildīgi iesniedzat ievainojamības ziņojumu, Salesforce drošības komanda un saistītās izstrādes organizācijas pieliks saprātīgas pūles, lai:

  • Savlaicīgi atbildētu, apstiprinot jūsu ievainojamības ziņojuma saņemšanu
  • Sniegtu aptuvenu laika grafiku ievainojamības ziņojuma risināšanai
  • Paziņotu jums, kad ievainojamība ir novērsta

Mēs ar prieku pateicamies katram pētniekam, kurš iesniedz ievainojamības ziņojumu, palīdzot mums uzlabot mūsu kopējo drošības stāvokli Salesforce.