Coordinated vulnerability disclosure
← Zásady

Salesforce: Zásady zodpovedného zverejňovania

V spoločnosti Salesforce je dôvera našou hodnotou č. 1 a ochranu údajov našich zákazníkov berieme veľmi vážne.

Bezpečnostný tím Salesforce si uvedomuje hodnotnú úlohu nezávislých bezpečnostných výskumníkov v bezpečnosti internetu. Preto podporujeme zodpovedné nahlasovanie akýchkoľvek zraniteľností, ktoré môžete nájsť na našej stránke alebo v aplikáciách. Salesforce sa zaväzuje spolupracovať s bezpečnostnými výskumníkmi pri overovaní a riešení všetkých potenciálnych zraniteľností, ktoré nám budú nahlásené.

Pred testovaním a/alebo nahlásením zraniteľnosti si prosíme prečítajte tieto podmienky. Salesforce sa zaväzuje, že nezačne právne kroky voči výskumníkom za prienik alebo pokus o prienik do našich systémov, pokiaľ dodržiavajú tieto zásady.

Testovanie bezpečnostných zraniteľností:

Kedykoľvek je k dispozícii edícia Trial alebo Developer Edition, vykonávajte všetko testovanie zraniteľností na takýchto inštanciách. Pri testovaní našich online služieb vždy používajte testovacie alebo demo účty.

Informácie o bezpečnostných posúdeniach, požiadavkách, obmedzeniach a plánovaní nájdete v článku znalostnej databázy s názvom „Vulnerability Assessment and Penetration Test".

Nahlásenie potenciálnej bezpečnostnej zraniteľnosti:

  • Súkromne zdieľajte podrobnosti o podozrivej zraniteľnosti so Salesforce zaslaním e-mailu na security@salesforce.com
  • Poskytnite úplné podrobnosti o podozrivej zraniteľnosti, aby bezpečnostný tím Salesforce mohol problém overiť a reprodukovať

Salesforce nepovoľuje nasledovné druhy bezpečnostného výskumu:

Hoci vás podporujeme, aby ste zraniteľnosti, ktoré nájdete, objavovali a zodpovedne nám ich hlásili, nasledujúce konanie je výslovne zakázané:

  • Vykonávanie akýchkoľvek akcií, ktoré môžu negatívne ovplyvniť Salesforce alebo jeho používateľov (napr. spam, brute force, odmietnutie služby…)
  • Prístup alebo pokus o prístup k údajom alebo informáciám, ktoré vám nepatria
  • Ničenie alebo poškodzovanie, alebo pokus o ničenie či poškodzovanie údajov alebo informácií, ktoré vám nepatria
  • Vykonávanie akéhokoľvek fyzického alebo elektronického útoku na zamestnancov, majetok alebo dátové centrá Salesforce
  • Sociálne inžinierstvo voči akémukoľvek servisnému centru, zamestnancovi alebo dodávateľovi Salesforce
  • Vykonávanie testovania zraniteľností zúčastnených služieb pomocou čohokoľvek iného než testovacích účtov (napr. inštancie edície Developer alebo Trial)
  • Porušovanie akýchkoľvek zákonov alebo zmlúv s cieľom objaviť zraniteľnosti

Záväzok bezpečnostného tímu Salesforce:

Prosíme vás, aby ste nezdieľali ani nezverejňovali nevyriešenú zraniteľnosť tretím stranám. Ak zodpovedne odošlete hlásenie o zraniteľnosti, bezpečnostný tím Salesforce a súvisiace vývojové organizácie vynaložia primerané úsilie na to, aby:

  • Včas odpovedali a potvrdili prijatie vášho hlásenia o zraniteľnosti
  • Poskytli odhadovaný časový rámec na vyriešenie hlásenia o zraniteľnosti
  • Vás informovali, keď bude zraniteľnosť opravená

Radi poďakujeme každému výskumníkovi, ktorý odošle hlásenie o zraniteľnosti a pomôže nám zlepšiť celkovú bezpečnostnú pozíciu spoločnosti Salesforce.