Salesforce: Beleid voor verantwoorde melding

• Contact: security@salesforce.com
• Website: https://trust.salesforce.com/en/security/responsible-disclosure-policy/
• Gecontroleerd: 2017-09-21

Bij Salesforce is vertrouwen onze nummer 1-waarde en nemen we de bescherming van de gegevens van onze klanten zeer serieus.

Het beveiligingsteam van Salesforce erkent de waardevolle rol die onafhankelijke beveiligingsonderzoekers spelen in de internetbeveiliging. Daarom moedigen we het verantwoord melden aan van alle kwetsbaarheden die op onze site of in onze applicaties worden gevonden. Salesforce zet zich in om samen te werken met beveiligingsonderzoekers om mogelijke aan ons gemelde kwetsbaarheden te verifiëren en aan te pakken.

Lees deze voorwaarden door voordat je een kwetsbaarheid test en/of meldt. Salesforce belooft geen juridische stappen te ondernemen tegen onderzoekers voor het binnendringen of proberen binnen te dringen in onze systemen, zolang zij dit beleid naleven.

Testen op beveiligingskwetsbaarheden:

Wanneer een Trial- of Developer Edition beschikbaar is, voer dan alle kwetsbaarheidstests uit op dergelijke instanties. Gebruik altijd test- of demoaccounts bij het testen van onze onlinediensten.

Voor informatie over beveiligingsbeoordelingen, vereisten, beperkingen en planning, raadpleeg het kennisartikel "Vulnerability Assessment and Penetration Test".

Een mogelijke beveiligingskwetsbaarheid melden:

• Deel de details van de vermoede kwetsbaarheid privé met Salesforce door een e-mail te sturen naar security@salesforce.com
• Geef alle details van de vermoede kwetsbaarheid zodat het beveiligingsteam van Salesforce het probleem kan valideren en reproduceren

Salesforce staat de volgende soorten beveiligingsonderzoek niet toe:

Hoewel we je aanmoedigen de kwetsbaarheden die je vindt op verantwoorde wijze te ontdekken en aan ons te melden, is het volgende gedrag uitdrukkelijk verboden:

• Handelingen verrichten die Salesforce of zijn gebruikers negatief kunnen beïnvloeden (bijv. spam, brute force, denial of service…)
• Toegang krijgen tot, of proberen toegang te krijgen tot, gegevens of informatie die niet van jou zijn
• Gegevens of informatie die niet van jou zijn vernietigen of beschadigen, of proberen te vernietigen of te beschadigen
• Welke vorm van fysieke of elektronische aanval dan ook uitvoeren op personeel, eigendommen of datacenters van Salesforce
• Social engineering toepassen op een servicedesk, werknemer of aannemer van Salesforce
• Kwetsbaarheidstests van deelnemende diensten uitvoeren met iets anders dan testaccounts (bijv. Developer- of Trial Edition-instanties)
• Wetten overtreden of overeenkomsten schenden om kwetsbaarheden te ontdekken

De toezegging van het beveiligingsteam van Salesforce:

We vragen je een onopgeloste kwetsbaarheid niet te delen of bekend te maken met/aan derden. Als je op verantwoorde wijze een kwetsbaarheidsmelding indient, zullen het beveiligingsteam van Salesforce en de bijbehorende ontwikkelorganisaties redelijke inspanningen leveren om:

• Tijdig te reageren en de ontvangst van je kwetsbaarheidsmelding te bevestigen
• Een geschatte termijn te geven voor het aanpakken van de kwetsbaarheidsmelding
• Je op de hoogte te stellen wanneer de kwetsbaarheid is verholpen

We bedanken graag elke afzonderlijke onderzoeker die een kwetsbaarheidsmelding indient en ons zo helpt onze algehele beveiligingspositie bij Salesforce te verbeteren.