Objekt Erste Schwachstellenoff

Einführung 

Object First strebt danach, unseren Partnern und Kunden zu helfen, das Risiko im Zusammenhang mit Sicherheitsanfälligkeiten in unseren Produkten zu minimieren. In Übereinstimmung mit unserem Engagement für CISA’s Secure by Design-Versprechen sind wir bestrebt, die besten Praktiken der Branche in Bezug auf Sicherheit und den Umgang mit Schwachstellen aufrechtzuerhalten und unseren Kunden zeitnahe Informationen, Anleitungen und Milderungsoptionen zur Verfügung zu stellen, um Schwachstellen zu beheben.  

Umgang mit Schwachstellenberichten 

Wir schätzen die Einsichten von Branchenpartnern und Sicherheitsforschern und danken für alle Beiträge zu unseren Sicherheitsinitiativen.  Unser Ziel ist es, sicherzustellen, dass Abhilfemaßnahmen und/oder Milderungsstrategien zum Zeitpunkt der Offenlegung von Object First-spezifischen Schwachstellen verfügbar sind und mit Drittanbietern zusammenzuarbeiten, wenn die Behebung deren Zusammenarbeit erfordert. 

Wenn Sie glauben, eine Schwachstelle, ein Datenschutzproblem, exponierte Daten oder andere Sicherheitsprobleme in einem unserer Produkte entdeckt zu haben, möchten wir von Ihnen hören. Diese Richtlinie beschreibt die Schritte zur Meldung von Schwachstellen an uns, was wir erwarten und was Sie von uns erwarten können. 

Gemäß dieser Richtlinie werden alle Informationen, die über neue Schwachstellen offengelegt werden, als vertraulich betrachtet und dürfen nur zwischen Object First und der meldenden Partei geteilt werden, wenn die Informationen nicht bereits öffentlich bekannt sind, bis eine Abhilfe verfügbar ist und die Offenlegungsaktivitäten koordiniert werden. 

Systeme im Geltungsbereich 

Diese Richtlinie gilt für alle von Object First hergestellten, verkauften, besessenen, betriebenen oder gewarteten Produkte. 

Außerhalb des Geltungsbereichs 

• Vermögenswerte oder andere Geräte, die nicht im Besitz von Parteien sind, die an dieser Richtlinie teilnehmen. 

Schwachstellen, die in Systemen außerhalb des Geltungsbereichs entdeckt oder vermutet werden, sollten dem entsprechenden Anbieter oder der zuständigen Behörde gemeldet werden. 

Unsere Verpflichtungen 

Wenn Sie mit uns zusammenarbeiten, können Sie gemäß dieser Richtlinie von uns erwarten: 

• Prompt auf Ihren Bericht zu reagieren und mit Ihnen zusammenzuarbeiten, um Ihren Bericht zu verstehen und zu validieren. 

• Streben, Sie über den Fortschritt einer Schwachstelle während der Bearbeitung informiert zu halten. 

• Darauf hinzuarbeiten, entdeckte Schwachstellen umgehend innerhalb unserer betrieblichen Einschränkungen zu beheben. 

• Safe Harbor für Ihre Schwachstellenforschung im Zusammenhang mit dieser Richtlinie zu gewähren. 

Unsere Erwartungen 

Bei der Teilnahme an unserem Programm zur Offenlegung von Schwachstellen in gutem Glauben bitten wir Sie: 

• Die Regeln zu befolgen, einschließlich dieser Richtlinie und anderer relevanter Vereinbarungen. Wenn es eine Inkonsistenz zwischen dieser Richtlinie und anderen anwendbaren Bedingungen gibt, haben die Bedingungen dieser Richtlinie Vorrang. 

• Jede entdeckte Schwachstelle umgehend zu melden. 

• Zu vermeiden, die Privatsphäre anderer zu verletzen, unsere Systeme zu stören, Daten zu zerstören und/oder die Benutzererfahrung zu beeinträchtigen. 

• Nur die offiziellen Kanäle zu nutzen, um mit uns über Schwachstelleninformationen zu kommunizieren. 

• Uns eine angemessene Frist (mindestens 90 Tage ab dem ursprünglichen Bericht) zu gewähren, um das Problem zu lösen, bevor Sie es öffentlich offenlegen. 

• Tests nur an Systemen im Geltungsbereich durchzuführen und Systeme und Aktivitäten, die außerhalb des Geltungsbereichs liegen, zu respektieren. 

• Wenn eine Schwachstelle unbeabsichtigten Zugriff auf Daten gewährt, die Menge der Daten, auf die Sie zugreifen, auf das Minimum zu beschränken, das erforderlich ist, um einen Proof of Concept effektiv zu demonstrieren. Beenden Sie auch die Tests und reichen Sie sofort einen Bericht ein, wenn Sie während der Tests auf Benutzerdaten stoßen, wie z.B. persönlich identifizierbare Informationen (PII), persönliche Gesundheitsinformationen (PHI), Kreditkartendaten oder vertrauliche Informationen. 

• Sie sollten nur mit Testkonten interagieren, die Sie besitzen oder für die Sie die ausdrückliche Erlaubnis des Kontoinhabers haben. 

• Geben Sie keine Details zu Schwachstellen bekannt, bis Object First die Behebung bestätigt.