Coordinated vulnerability disclosure
← Polityki

Salesforce: polityka odpowiedzialnego ujawniania

W Salesforce zaufanie jest naszą wartością nr 1 i bardzo poważnie traktujemy ochronę danych naszych klientów.

Zespół ds. bezpieczeństwa Salesforce docenia cenną rolę, jaką niezależni badacze bezpieczeństwa odgrywają w bezpieczeństwie internetu. W związku z tym zachęcamy do odpowiedzialnego zgłaszania wszelkich podatności, które mogą zostać znalezione na naszej stronie lub w naszych aplikacjach. Salesforce zobowiązuje się do współpracy z badaczami bezpieczeństwa w celu weryfikacji i usuwania wszelkich potencjalnych podatności zgłoszonych nam.

Zapoznaj się z tymi warunkami przed testowaniem i/lub zgłaszaniem podatności. Salesforce zobowiązuje się nie wszczynać działań prawnych wobec badaczy za przenikanie lub próby przenikania do naszych systemów, o ile przestrzegają oni tej polityki.

Testowanie pod kątem podatności w zabezpieczeniach:

Gdy dostępna jest wersja Trial lub Developer Edition, przeprowadzaj wszelkie testy podatności na takich instancjach. Zawsze używaj kont testowych lub demonstracyjnych podczas testowania naszych usług online.

Informacje o ocenach bezpieczeństwa, wymaganiach, ograniczeniach i harmonogramie znajdziesz w artykule bazy wiedzy zatytułowanym „Vulnerability Assessment and Penetration Test".

Zgłaszanie potencjalnej podatności w zabezpieczeniach:

  • Prywatnie przekaż szczegóły podejrzewanej podatności Salesforce, wysyłając e-mail na adres security@salesforce.com
  • Podaj pełne szczegóły podejrzewanej podatności, aby zespół ds. bezpieczeństwa Salesforce mógł zweryfikować i odtworzyć problem

Salesforce nie zezwala na następujące rodzaje badań bezpieczeństwa:

Chociaż zachęcamy do odkrywania i odpowiedzialnego zgłaszania nam wszelkich znalezionych podatności, następujące postępowanie jest wyraźnie zabronione:

  • Wykonywanie działań, które mogą negatywnie wpłynąć na Salesforce lub jego użytkowników (np. spam, Brute Force, Denial of Service…)
  • Uzyskiwanie dostępu lub próby uzyskania dostępu do danych lub informacji, które do ciebie nie należą
  • Niszczenie lub uszkadzanie albo próby niszczenia lub uszkadzania danych lub informacji, które do ciebie nie należą
  • Przeprowadzanie jakiegokolwiek ataku fizycznego lub elektronicznego na personel, mienie lub centra danych Salesforce
  • Stosowanie socjotechniki wobec jakiegokolwiek biura obsługi, pracownika lub wykonawcy Salesforce
  • Przeprowadzanie testów podatności uczestniczących usług przy użyciu czegokolwiek innego niż konta testowe (np. instancje Developer lub Trial Edition)
  • Naruszanie jakichkolwiek przepisów prawa lub umów w celu odkrywania podatności

Zobowiązanie zespołu ds. bezpieczeństwa Salesforce:

Prosimy, abyś nie udostępniał ani nie upubliczniał nierozwiązanej podatności stronom trzecim. Jeśli odpowiedzialnie prześlesz zgłoszenie podatności, zespół ds. bezpieczeństwa Salesforce i powiązane organizacje programistyczne dołożą rozsądnych starań, aby:

  • Odpowiedzieć w odpowiednim czasie, potwierdzając otrzymanie twojego zgłoszenia podatności
  • Podać szacunkowe ramy czasowe zajęcia się zgłoszeniem podatności
  • Powiadomić cię, gdy podatność zostanie naprawiona

Z przyjemnością dziękujemy każdemu badaczowi, który przesyła zgłoszenie podatności, pomagając nam poprawić ogólny stan bezpieczeństwa w Salesforce.