Autovig

Polityka skoordynowanego ujawniania podatności

Jak zgłosić Autovig podatność: zakres, kanał, skoordynowany harmonogram, belgijskie ramy prawne CVD (ustawa NIS2 z 2024) i eskalacja do CCB.

Ostatnia weryfikacja
11 października 2026

W skrócie

  • Podatność należy zgłosić w jednym uporządkowanym e-mailu na security@autovig.eu z „security report” w temacie; zakres obejmuje autovig.eu, wynik kompilacji i przepływ zgody na pliki cookie, a zgłoszenia są przyjmowane w sześciu językach.
  • Autovig potwierdza w ciągu 5 dni roboczych, dokonuje triażu w ciągu 10 dni i dąży do 90 dni na naprawę w modelu skoordynowanego ujawniania; nie ma płatnego programu bug bounty, tylko publiczne podziękowania.
  • Badania w dobrej wierze w zakresie objęte są autoryzacją administratora; ustawowe wyłączenie z art. 23 belgijskiej ustawy NIS2 ma dodatkowo zastosowanie, jeśli powiadomią Państwo CCB w ciągu 24 godzin (zgłoszenie uproszczone) i 72 godzin (zgłoszenie pełne), a CCB (CERT.be) jest ścieżką eskalacji.

Autovig z zadowoleniem przyjmuje badania bezpieczeństwa prowadzone w dobrej wierze na jej publicznych zasobach. Niniejsza polityka jest polityką skoordynowanego ujawniania podatności (CVD) administratora w rozumieniu ISO/IEC 29147:2018, belgijskich ram prawnych skoordynowanego ujawniania podatności (art. 22 i 23 ustawy z 26 kwietnia 2024 r., belgijskiej ustawy NIS2, oraz rola Centrum Cyberbezpieczeństwa Belgii — CCB) oraz Good Practice Guide on Vulnerability Disclosure ENISA. Ma zastosowanie do strony autovig.eu („Strona”).

1. Kanał zgłoszeń

Prosimy przesłać pojedyncze, ustrukturyzowane zgłoszenie na adres:

Jeżeli nie mogą się Państwo z nami skontaktować lub nie otrzymają potwierdzenia w terminie określonym w pkt 6, mogą Państwo przekazać zgłoszenie do belgijskiego krajowego CSIRT:

Mogą Państwo pisać po angielsku, francusku, niemiecku, niderlandzku, rumuńsku lub polsku.

2. Zakres

W zakresie:

  • autovig.eu oraz każda subdomena udostępniająca treści produkcyjne;
  • wynik statycznego buildu: HTML, CSS, paczki JavaScript oraz emitowane dane strukturalne;
  • baner zgody na cookies oraz przechowywanie zgody po stronie klienta.

3. Poza zakresem

  • Witryny operatorów zewnętrznych (ASFINAG, DARS, NÚSZ, BGTOLL, CNAIR itd.) — proszę zgłaszać bezpośrednio operatorowi.
  • Problemy wymagające pozycji uprzywilejowanej (już skompromitowana przeglądarka, złośliwe rozszerzenie przeglądarki, fizyczny dostęp do urządzenia użytkownika).
  • Wyniki automatycznych skanerów bez wyraźnego, możliwego do wykazania wpływu na bezpieczeństwo.
  • Zgłoszenia dotyczące brakujących dobrych praktyk (hardening nagłówków HTTP, konfiguracja TLS, identyfikacja wersji oprogramowania) bez wykazanego ryzyka wykorzystania podatności.
  • Testy odmowy usługi, socjotechnika wymierzona w personel lub kontrahentów, ataki na obiekty fizyczne lub na zewnętrznych dostawców (hosting, DNS, poczta).

4. Treść zgłoszenia

  • Krótki opis problemu oraz adres URL lub komponent, którego dotyczy.
  • Kroki reprodukcji, w tym ładunek żądania, jeżeli jest istotny.
  • Szacowany wpływ i realistyczny scenariusz wykorzystania.
  • Data i godzina testu oraz użyta przeglądarka, narzędzie lub skrypt.
  • Imię lub pseudonim, pod którym ewentualnie chcą Państwo zostać uznani publicznie (pkt 8).

5. O co prosimy

  • Prosimy nie uzyskiwać dostępu do danych, które nie należą do Państwa, ani ich nie modyfikować i nie pobierać. Jeżeli błędna konfiguracja ujawnia dane osób trzecich, prosimy przerwać działania i nas poinformować — bez pobierania więcej niż minimum potrzebne do udokumentowania problemu.
  • Prosimy nie prowadzić testów odmowy usługi, socjotechniki ani ataków na obiekty fizyczne lub zewnętrznych dostawców.
  • Prosimy dać nam rozsądny czas na naprawę przed jakimkolwiek ujawnieniem publicznym (pkt 7).
  • Prosimy działać w dobrej wierze. Zgłoszenia ze szczerą intencją poprawy bezpieczeństwa są mile widziane; groźby, szantaż lub żądania zapłaty w zamian za nieujawnienie nie są.

6. Skoordynowany harmonogram — nasze zobowiązania

  • Potwierdzenie odbioru w terminie 5 dni roboczych od otrzymania.
  • Triaż (potwierdzenie zakresu, wstępna ocena ważności) w terminie 10 dni roboczych.
  • Aktualizacje statusu dotyczące istotnych ustaleń co najmniej co 15 dni kalendarzowych aż do zamknięcia.
  • Naprawa w terminie proporcjonalnym do ważności: podatności krytyczne lub aktywnie wykorzystywane mają priorytet; standardowe poprawki celują w 90 dni kalendarzowych od triażu; dłuższy termin uzgadniamy z Państwem i uzasadniamy.
  • Publiczne uznanie przy wydaniu poprawki, jeżeli Państwo sobie tego życzą (pkt 8).

7. Skoordynowane ujawnienie publiczne

Stosujemy model skoordynowanego ujawniania:

  • zgłoszenie i poprawka pozostają poufne aż do wydania poprawki lub do upływu standardowego terminu 90 dni kalendarzowych od triażu;
  • administrator i badacz uzgadniają treść, atrybucję i moment każdej publikacji;
  • gdy ustalenie dotyczy osoby trzeciej (operatora, podmiotu przetwarzającego, biblioteki), termin może zostać przedłużony za obopólną zgodą, aby umożliwić tej stronie skoordynowanie własnej odpowiedzi;
  • w razie braku zgody co do terminu sprawa może zostać przekazana CCB (pkt 9);
  • jeśli powołują się Państwo na ochronę ustawową opisaną w pkt 9, publiczne ujawnienie wymaga także zgody CCB.

8. Uznanie — obecnie brak programu bug bounty

Autovig nie prowadzi obecnie płatnego programu bug bounty. Uznanie przyjmuje formę publicznego podziękowania na tej stronie (pod wybranym imieniem lub pseudonimem) oraz bezpośredniej korespondencji. Nie składamy żadnej obietnicy nagrody pieniężnej; jeżeli program zostanie wprowadzony w przyszłości, warunki zostaną opublikowane tutaj, zanim jakiekolwiek zgłoszenie będzie mogło się na nich opierać.

9. Ochrona badaczy i belgijskie ramy prawne

Zrezygnujemy z dochodzenia roszczeń — i będziemy traktować Państwa działania jako autoryzowane na potrzeby właściwych belgijskich przepisów dotyczących nieuprawnionego dostępu do systemów informatycznych — pod warunkiem, że Państwo:

  • działają w dobrej wierze ze szczerą intencją poprawy bezpieczeństwa;
  • pozostają w zakresie określonym w pkt 2 i przestrzegają listy „poza zakresem” w pkt 3;
  • uzyskują dostęp wyłącznie do ścisłego minimum danych niezbędnych do potwierdzenia ustalenia i nie eksfiltrują, nie zachowują, nie publikują ani nie udostępniają danych osób trzecich;
  • nie obniżają dostępności, integralności ani poufności poza zakres ściśle niezbędny do wykazania problemu;
  • powiadamiają nas bez nieuzasadnionej zwłoki kanałem z pkt 1;
  • przestrzegają harmonogramu skoordynowanego ujawnienia z pkt 7.

Niniejsza autoryzacja jest udzielana przez Autovig jako administratora wskazanych zasobów i obejmuje wyłącznie czyny objęte zakresem. Nie wiąże organów publicznych ani osób trzecich, których systemy mogą zostać ubocznie dotknięte.

Ochrona ustawowa. Niezależnie od tej autoryzacji art. 23 belgijskiej ustawy z 26 kwietnia 2024 r. ustanawiającej ramy cyberbezpieczeństwa sieci i systemów informatycznych (belgijskiej ustawy NIS2) stanowi, że osoby zgłaszające potencjalną podatność w trybie jej art. 22 nie popełniają niektórych przestępstw, w tym nieuprawnionego dostępu do systemu informatycznego, jeśli spełnią wszystkie warunki, w szczególności:

  • działają bez zamiaru oszustwa i bez zamiaru wyrządzenia szkody;
  • wysyłają zgłoszenie uproszczone — wskazanie systemu i prosty opis potencjalnej podatności — bez zwłoki, najpóźniej w ciągu 24 godzin od jej wykrycia, do odpowiedzialnej organizacji (dla tej Strony: security@autovig.eu) i do CCB;
  • wysyłają zgłoszenie pełne bez zwłoki, najpóźniej w ciągu 72 godzin od wykrycia, do tych samych odbiorców;
  • nie wykraczają poza to, co konieczne i proporcjonalne do weryfikacji i zgłoszenia podatności;
  • nie ujawniają publicznie informacji o podatności bez zgody CCB.

Punktem odniesienia dla tej procedury jest strona CVD CCB (https://ccb.belgium.be/regulation/cvdp). Belgijski Kodeks karny z 1867 r. został 1 września 2026 r. zastąpiony nowym Kodeksem karnym; o obowiązujące obecnie przepisy karne proszę pytać CCB lub prawnika.

10. Przetwarzanie Państwa danych osobowych

Dane, które przekazują Państwo przy zgłoszeniu (adres e-mail, treść zgłoszenia, ewentualna treść zaszyfrowana PGP), są przetwarzane przez Autovig jako administratora na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f) RODO) w celu triażu, naprawy i skoordynowanego ujawnienia. Zgłoszenia są przechowywane do 5 lat od zamknięcia. Państwa prawa, ścieżka skargi do belgijskiego organu APD/GBA oraz pozostałe informacje RODO znajdują się w naszej Polityce prywatności.

Źródła

Powiązane strony prawne