Polityka skoordynowanego ujawniania podatności
Jak zgłosić Autovig podatność: zakres, kanał, skoordynowany harmonogram, belgijska przystań CVD (ustawa z 28.11.2022) i eskalacja do CCB.
Autovig z zadowoleniem przyjmuje badania bezpieczeństwa prowadzone w dobrej wierze na jej publicznych zasobach. Niniejsza polityka jest polityką skoordynowanego ujawniania podatności (CVD) administratora w rozumieniu ISO/IEC 29147:2018, belgijskiej ustawy z 28 listopada 2022 r. (warunki przystani CVD oraz rola Centrum Cyberbezpieczeństwa Belgii — CCB) oraz Good Practice Guide on Vulnerability Disclosure ENISA. Ma zastosowanie do strony autovig.eu („Strona").
1. Kanał zgłoszeń
Prześlij pojedyncze, ustrukturyzowane zgłoszenie na adres:
TODO(pgp-key) — po publikacji klucz będzie dostępny na tej stronie.Jeżeli nie możesz nas zastać lub nie otrzymasz potwierdzenia w terminie określonym w pkt 6, możesz przekazać zgłoszenie do belgijskiego krajowego CSIRT:
Możesz pisać po angielsku, francusku, niemiecku, niderlandzku, rumuńsku lub polsku.
2. Zakres
W zakresie:
autovig.eu oraz każda subdomena udostępniająca treści produkcyjne;3. Poza zakresem
4. Treść zgłoszenia
5. O co prosimy
6. Skoordynowany harmonogram — nasze zobowiązania
7. Skoordynowane ujawnienie publiczne
Stosujemy model skoordynowanego ujawniania:
8. Uznanie — obecnie brak programu bug bounty
Autovig nie prowadzi obecnie płatnego programu bug bounty. Uznanie przyjmuje formę publicznego podziękowania na tej stronie (pod wybranym imieniem lub pseudonimem) oraz bezpośredniej korespondencji. Nie składamy żadnej obietnicy nagrody pieniężnej; jeżeli program zostanie wprowadzony w przyszłości, warunki zostaną opublikowane tutaj, zanim jakiekolwiek zgłoszenie będzie mogło się na nich opierać.
9. Przystań i belgijskie ramy prawne
Zrezygnujemy z dochodzenia roszczeń — i będziemy traktować Twoje zachowanie jako autoryzowane na potrzeby właściwych belgijskich przepisów dotyczących nieuprawnionego dostępu do systemów informatycznych (w szczególności art. 550bis i 550ter Code pénal / Strafwetboek) — pod warunkiem, że:
Niniejsza autoryzacja jest udzielana przez Autovig jako administratora wskazanych zasobów. Neutralizuje ona znamię nieuprawnionego dostępu z art. 550bis/550ter dla czynów objętych zakresem. Nie wiąże organów publicznych ani osób trzecich, których systemy mogą zostać ubocznie dotknięte. Badacz, który dodatkowo powiadomi CCB i spełni warunki belgijskiej ustawy z 28 listopada 2022 r. (sygnaliści oraz skoordynowane ujawnianie podatności), korzysta dodatkowo z ustawowego rozwiązania przystani CVD administrowanego przez CCB, niezależnie od niniejszej autoryzacji udzielonej przez administratora. W razie wątpliwości punktem odniesienia jest polityka CVD CCB (https://ccb.belgium.be/en/cvdp).
10. Przetwarzanie Twoich danych osobowych
Dane, które przekazujesz przy zgłoszeniu (adres e-mail, treść zgłoszenia, ewentualna treść zaszyfrowana PGP), są przetwarzane przez Autovig jako administratora na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f) RODO) w celu triażu, naprawy i skoordynowanego ujawnienia. Zgłoszenia są przechowywane do 5 lat od zamknięcia, zgodnie z zalecanym terminem polityki CVD CCB. Twoje prawa, ścieżka skargi do belgijskiego organu APD/GBA oraz pozostałe informacje RODO znajdują się w naszej Polityce prywatności.