Politica di divulgazione responsabile
Se ritiene di aver trovato una vulnerabilità di sicurezza in Idntfy, vogliamo saperlo. Questa politica spiega come segnalarla, cosa può e non può fare durante la ricerca e a cosa ci impegniamo in cambio.
In vigore dal
Come segnalare una vulnerabilità
Invii la sua segnalazione via e-mail a:
Indichi:
- l’indirizzo, la pagina o la funzione interessata;
- i passaggi per riprodurre il problema;
- cosa potrebbe farne un attaccante;
- se desidera essere citato e, in tal caso, con quale nome.
Leggiamo le segnalazioni in inglese e in olandese.
Ambito
Questa politica copre i sistemi che gestiamo:
- il nostro sito web (
idntfy.eu,ydntfy.com) - la piattaforma Idntfy: l’applicazione di amministrazione, il suo servizio di accesso e la sua API (
app.idntfy.eu,auth.idntfy.eu,api.idntfy.eu) - i portali eIFU pubblici che ospitiamo per i nostri clienti, compresi i portali sul dominio proprio di un cliente (
*.hcp.idntfy.eu,*.patient.idntfy.eu)
Non copre i servizi dei nostri fornitori, come i nostri fornitori di hosting cloud e di posta elettronica. Segnali un problema nei loro sistemi direttamente a loro, secondo le loro politiche.
Regole durante la ricerca
Per restare nell’ambito di questa politica:
- Utilizzi solo account di sua proprietà o che è autorizzato a utilizzare.
- Non acceda a dati che non sono suoi, né li modifichi, cancelli o conservi. Se si imbatte in dati personali o nei contenuti di un cliente, si fermi, non li copi e lo indichi nella sua segnalazione.
- Non vada oltre quanto necessario per dimostrare il problema.
- Non effettui attacchi di tipo denial of service, test di carico o qualsiasi altra azione che peggiori il servizio per altri.
- Non utilizzi ingegneria sociale o phishing nei confronti del nostro personale o dei nostri clienti, e non attacchi i nostri locali o le nostre apparecchiature.
- Si fermi e segnali il problema non appena lo trova. Non lo utilizzi per spingersi oltre nei nostri sistemi.
- Mantenga riservati i dettagli finché il problema non è stato risolto, come descritto più avanti in Divulgazione.
A cosa ci impegniamo
- Confermiamo la ricezione della sua segnalazione entro 3 giorni lavorativi.
- Le comunichiamo se riusciamo a riprodurre il problema e la teniamo informata dei nostri progressi fino alla sua risoluzione.
- Correggiamo o mitighiamo una vulnerabilità che interessa la produzione entro 7 giorni se è critica, 30 giorni se è alta e 90 giorni se è media, a decorrere dal momento in cui ne veniamo a conoscenza.
- Se lo desidera, la citiamo per nome una volta risolto il problema.
Tutela legale
Non intraprenderemo azioni legali nei suoi confronti, né chiederemo alle autorità di agire contro di lei, per una ricerca condotta in buona fede nel rispetto di questa politica. I nostri Termini di servizio dicono lo stesso ai nostri clienti: una ricerca di sicurezza in buona fede che ci viene segnalata in conformità a questa politica non costituisce una violazione delle loro regole di uso accettabile. Questa politica non può autorizzare l’accesso a sistemi che non sono nostri.
Divulgazione
Ci conceda un tempo ragionevole per risolvere il problema prima di renderlo pubblico: 90 giorni dalla sua segnalazione, salvo diversa data concordata con lei. Ci avvisi prima di pubblicare, in modo da concordare cosa divulgare.
Nessun programma di bug bounty
Non gestiamo un programma di bug bounty e non paghiamo per le segnalazioni.
Contatto leggibile da macchina
Il nostro contatto per la sicurezza è pubblicato anche nel formato definito dalla RFC 9116, all’indirizzo: