Last update: Aug 21st 2024
Objekt Erste Schwachstellenoff
Einführung
Object First strebt danach, unseren Partnern und Kunden zu helfen, das Risiko im Zusammenhang mit Sicherheitsanfälligkeiten in unseren Produkten zu minimieren. In Übereinstimmung mit unserem Engagement für CISA’s Secure by Design-Versprechen sind wir bestrebt, die besten Praktiken der Branche in Bezug auf Sicherheit und den Umgang mit Schwachstellen aufrechtzuerhalten und unseren Kunden zeitnahe Informationen, Anleitungen und Milderungsoptionen zur Verfügung zu stellen, um Schwachstellen zu beheben.
Umgang mit Schwachstellenberichten
Wir schätzen die Einsichten von Branchenpartnern und Sicherheitsforschern und danken für alle Beiträge zu unseren Sicherheitsinitiativen. Unser Ziel ist es, sicherzustellen, dass Abhilfemaßnahmen und/oder Milderungsstrategien zum Zeitpunkt der Offenlegung von Object First-spezifischen Schwachstellen verfügbar sind und mit Drittanbietern zusammenzuarbeiten, wenn die Behebung deren Zusammenarbeit erfordert.
Wenn Sie glauben, eine Schwachstelle, ein Datenschutzproblem, exponierte Daten oder andere Sicherheitsprobleme in einem unserer Produkte entdeckt zu haben, möchten wir von Ihnen hören. Diese Richtlinie beschreibt die Schritte zur Meldung von Schwachstellen an uns, was wir erwarten und was Sie von uns erwarten können.
Gemäß dieser Richtlinie werden alle Informationen, die über neue Schwachstellen offengelegt werden, als vertraulich betrachtet und dürfen nur zwischen Object First und der meldenden Partei geteilt werden, wenn die Informationen nicht bereits öffentlich bekannt sind, bis eine Abhilfe verfügbar ist und die Offenlegungsaktivitäten koordiniert werden.
Systeme im Geltungsbereich
Diese Richtlinie gilt für alle von Object First hergestellten, verkauften, besessenen, betriebenen oder gewarteten Produkte.
Außerhalb des Geltungsbereichs
- Vermögenswerte oder andere Geräte, die nicht im Besitz von Parteien sind, die an dieser Richtlinie teilnehmen.
Schwachstellen, die in Systemen außerhalb des Geltungsbereichs entdeckt oder vermutet werden, sollten dem entsprechenden Anbieter oder der zuständigen Behörde gemeldet werden.
Unsere Verpflichtungen
Wenn Sie mit uns zusammenarbeiten, können Sie gemäß dieser Richtlinie von uns erwarten:
- Prompt auf Ihren Bericht zu reagieren und mit Ihnen zusammenzuarbeiten, um Ihren Bericht zu verstehen und zu validieren.
- Streben, Sie über den Fortschritt einer Schwachstelle während der Bearbeitung informiert zu halten.
- Darauf hinzuarbeiten, entdeckte Schwachstellen umgehend innerhalb unserer betrieblichen Einschränkungen zu beheben.
- Safe Harbor für Ihre Schwachstellenforschung im Zusammenhang mit dieser Richtlinie zu gewähren.
Unsere Erwartungen
Bei der Teilnahme an unserem Programm zur Offenlegung von Schwachstellen in gutem Glauben bitten wir Sie:
- Die Regeln zu befolgen, einschließlich dieser Richtlinie und anderer relevanter Vereinbarungen. Wenn es eine Inkonsistenz zwischen dieser Richtlinie und anderen anwendbaren Bedingungen gibt, haben die Bedingungen dieser Richtlinie Vorrang.
- Jede entdeckte Schwachstelle umgehend zu melden.
- Zu vermeiden, die Privatsphäre anderer zu verletzen, unsere Systeme zu stören, Daten zu zerstören und/oder die Benutzererfahrung zu beeinträchtigen.
- Nur die offiziellen Kanäle zu nutzen, um mit uns über Schwachstelleninformationen zu kommunizieren.
- Uns eine angemessene Frist (mindestens 90 Tage ab dem ursprünglichen Bericht) zu gewähren, um das Problem zu lösen, bevor Sie es öffentlich offenlegen.
- Tests nur an Systemen im Geltungsbereich durchzuführen und Systeme und Aktivitäten, die außerhalb des Geltungsbereichs liegen, zu respektieren.
- Wenn eine Schwachstelle unbeabsichtigten Zugriff auf Daten gewährt, die Menge der Daten, auf die Sie zugreifen, auf das Minimum zu beschränken, das erforderlich ist, um einen Proof of Concept effektiv zu demonstrieren. Beenden Sie auch die Tests und reichen Sie sofort einen Bericht ein, wenn Sie während der Tests auf Benutzerdaten stoßen, wie z.B. persönlich identifizierbare Informationen (PII), persönliche Gesundheitsinformationen (PHI), Kreditkartendaten oder vertrauliche Informationen.
- Sie sollten nur mit Testkonten interagieren, die Sie besitzen oder für die Sie die ausdrückliche Erlaubnis des Kontoinhabers haben.
- Geben Sie keine Details zu Schwachstellen bekannt, bis Object First die Behebung bestätigt.
- Speichern Sie keine Daten, die während des Testprozesses entdeckt wurden.
- Beteiligen Sie sich nicht an Erpressung.
Offizielle Kanäle
Bitte melden Sie Sicherheitsprobleme über mailto:security@objectfirst.com, indem Sie alle relevanten Informationen bereitstellen. Je mehr Details Sie bereitstellen, desto schneller können wir das Problem triagieren und angehen.
Safe Harbor
- Wenn Sie Schwachstellenforschung gemäß dieser Richtlinie durchführen, betrachten wir diese Forschung als: Autorisiert in Bezug auf alle anwendbaren Anti-Hacking-Gesetze, und wir werden keine rechtlichen Schritte gegen Sie einleiten oder unterstützen für versehentliche, gutgläubige Verstöße gegen diese Richtlinie;
- Autorisiert in Bezug auf alle relevanten Anti-Umgehungsgesetze, und wir werden keine Ansprüche gegen Sie wegen Umgehung von Technologie-Kontrollen erheben;
- Von Einschränkungen in unseren Nutzungsbedingungen (TOS) und/oder der Richtlinie für akzeptable Nutzung (AUP) befreit, die die Durchführung von Sicherheitsforschung beeinträchtigen würden, und wir verzichten auf diese Einschränkungen in begrenztem Umfang; und
- Rechtskonform, hilfreich für die allgemeine Sicherheit des Internets und in gutem Glauben durchgeführt.
Sie werden erwartet, alle anwendbaren Gesetze in Ihrer Forschung, Tests und Berichterstattung einzuhalten. Wenn ein Dritter rechtliche Schritte gegen Sie einleitet und Sie diese Richtlinie eingehalten haben, werden wir Schritte unternehmen, um bekannt zu machen, dass Ihre Handlungen in Übereinstimmung mit dieser Richtlinie durchgeführt wurden.
Wenn Sie Bedenken haben oder unsicher sind, ob Ihre Sicherheitsforschung zu jeder Zeit mit dieser Richtlinie übereinstimmt, reichen Sie bitte einen Bericht an security@objectfirst.com ein.
Bitte beachten Sie, dass der Safe Harbor nur für rechtliche Ansprüche gilt, die unter der Kontrolle der Organisation stehen, die an dieser Richtlinie teilnimmt, und dass die Richtlinie unabhängige Dritte nicht bindet.