Vulnerability Disclosure Policy - SharkNinja

Sérülékenységbejelentési szabályzat

A SharkNinja és kapcsolt vállalkozásai (a továbbiakban: „SharkNinja”) elkötelezettek a fogyasztók és munkavállalók személyes adatainak bizalmas kezelése, weboldalaik és informatikai rendszereik rendelkezésre állása, valamint internethez csatlakoztatott eszközeik biztonsága mellett. A biztonságot platformjaink és csatlakoztatott termékeink tervezésébe is beépítjük, és megfelelünk a dolgok internetére (IoT) vonatkozó alkalmazandó biztonsági követelményeknek. E szabályzat célja, hogy egyértelmű iránymutatást adjon a biztonsági kutatóknak a sérülékenységek feltárásához, és ismertesse, milyen módon kérjük a feltárt sérülékenységek felülvizsgálat céljából történő bejelentését. Arra ösztönözzük Önt, hogy lépjen kapcsolatba velünk, és jelentse be a weboldalainkon, rendszereinkben és termékeinkben észlelt sérülékenységeket.

Ha biztonsági kutatása során jóhiszeműen törekszik e szabályzat betartására, kutatását kizárólag annyiban tekintjük engedélyezettnek, amennyiben az megfelel e szabályzat valamennyi feltételének, és az alábbi „Hatály” szakaszban meghatározott körbe tartozik. Együttműködünk Önnel a bejelentett problémák megértése és gyors megoldása érdekében. A SharkNinja nem javasol és nem kezdeményez jogi fellépést az Ön kutatásával kapcsolatban, feltéve, hogy Ön nem lépte túl e szabályzat hatályát, nem járt el rosszhiszeműen, és nem sértett meg semmilyen alkalmazandó jogszabályt.

Felhívjuk figyelmét, hogy a SharkNinja nem működtet jutalommal járó hibavadászprogramot (bug bounty program), és nem ajánl fel jutalmat vagy díjazást lehetséges biztonsági problémák vagy sérülékenységek bejelentéséért.

Iránymutatások

A SharkNinja az alábbi iránymutatásokat javasolja a sérülékenységet bejelentő vagy jogszerű kutatást végző kutatóknak. E szabályzat alkalmazásában „kutatásnak” azok a tevékenységek minősülnek, amelyek során Ön:

• a tényleges vagy lehetséges biztonsági probléma felfedezését követően a lehető leghamarabb értesít minket;
• mindent megtesz a magánszféra megsértésének, a felhasználói élmény romlásának, az éles rendszerek működésében okozott zavaroknak, valamint az adatok megsemmisítésének vagy manipulálásának elkerülése érdekében;
• a sérülékenységet kihasználó eljárásokat (exploitokat) kizárólag a sérülékenység fennállásának igazolásához szükséges mértékben alkalmazza;
• nem használ exploitot adatok biztonságának megsértésére vagy jogosulatlan kinyerésére, tartós jogosulatlan hozzáférés létrehozására, illetve további rendszerekhez való hozzáférésre;
• a probléma nyilvánosságra hozatala előtt észszerű időt biztosít számunkra annak megoldására.

Amint megállapította, hogy sérülékenység áll fenn, vagy bármilyen érzékeny adathoz jut – ideértve a személyazonosításra alkalmas adatokat, pénzügyi információkat, bármely fél védett üzleti információit vagy üzleti titkait –, köteles leállítani a tesztelést, haladéktalanul értesíteni minket, és ezeket az adatokat senki mással nem közölheti. A SharkNinja értesítését követően a lehető leghamarabb köteles a birtokában lévő ilyen érzékeny adatokat véglegesen törölni vagy megsemmisíteni, és kérésre igazolni a megsemmisítésüket. Ön vállalja, hogy a feltárt sérülékenység valamennyi részletét bizalmasan kezeli mindaddig, amíg a SharkNinja meg nem erősíti a sérülékenység kijavítását, vagy írásban nem engedélyezi annak nyilvánosságra hozatalát.

Sérülékenység bejelentése

Sérülékenység bejelentéséhez küldjön e-mailt a [email protected] címre. A bejelentések előzetes értékelésének és rangsorolásának megkönnyítése érdekében javasoljuk, hogy bejelentése tartalmazza az alábbiakat:

• a sérülékenység vagy probléma észlelésének időpontja;
• annak a rendszernek vagy terméknek a leírása, amelyben a sérülékenységet felfedezte;
• a sérülékenység reprodukálásához szükséges lépések leírása;
• a sérülékenység kijavítására vonatkozó esetleges javaslatok vagy ötletek.

A SharkNinja vállalja, hogy minden bejelentés beérkezését 3 munkanapon belül visszaigazolja, és köszöni a programban való részvételt.

A csatlakoztatott (vagy „IoT-”) termékeket érintő sérülékenységbejelentések esetében a SharkNinja rendszeres tájékoztatást nyújt mindaddig, amíg a bejelentett sérülékenységet ki nem javítják.

Hatály

A program hatálya kiterjed a vállalat tulajdonában álló vagy általa licenc alapján használt valamennyi SharkNinja weboldalra, az internet felől elérhető valamennyi üzleti rendszerre, valamint az internethez csatlakoztatott termékekre és a hozzájuk kapcsolódó mobilalkalmazásokra. A program nem terjed ki az alábbiakra:

• a SharkNinja munkavállalói ellen irányuló, pszichológiai manipulációra épülő támadások (social engineering) vagy adathalász kampányok;
• a SharkNinja weboldalai vagy üzleti alkalmazásai elleni szolgáltatásmegtagadásos (DoS-) támadások;
• bármely más, rosszindulatú céllal végzett jogosulatlan tevékenység.

Ha kérdése van a programmal kapcsolatban, vagy sérülékenységet szeretne bejelenteni, lépjen kapcsolatba a SharkNinjával a [email protected] címen.