Autovig

Politică de divulgare coordonată a vulnerabilităților

Cum raportați o vulnerabilitate la Autovig: domeniu de aplicare, canal, calendar coordonat, cadrul legal belgian CVD (legea NIS2 din 2024) și trimitere la CCB.

Ultima verificare
11 octombrie 2026

Pe scurt

  • Raportați o vulnerabilitate printr-un singur e-mail structurat la security@autovig.eu cu „security report” în subiect; domeniul acoperă autovig.eu, rezultatul build-ului și fluxul de consimțământ cookie, iar rapoartele sunt acceptate în șase limbi.
  • Autovig confirmă în 5 zile lucrătoare, face triajul în 10 zile și vizează 90 de zile pentru remediere într-un model de divulgare coordonată; nu există un program de recompense plătit, doar recunoaștere publică.
  • Cercetarea de bună-credință în domeniu este acoperită de o autorizare a operatorului; scutirea legală de la articolul 23 din legea belgiană NIS2 se aplică în plus dacă notificați CCB în 24 de ore (notificare simplificată) și în 72 de ore (notificare completă), iar CCB (CERT.be) este calea de escaladare.

Autovig salută cercetarea în domeniul securității efectuată cu bună-credință asupra resurselor sale publice. Prezenta politică este politica de divulgare coordonată a vulnerabilităților (CVD) a operatorului în sensul ISO/IEC 29147:2018, al cadrului juridic belgian pentru divulgarea coordonată a vulnerabilităților (articolele 22 și 23 din Legea din 26 aprilie 2024, legea belgiană NIS2, și rolul Centrului pentru Securitate Cibernetică Belgia — CCB) și al Good Practice Guide on Vulnerability Disclosure al ENISA. Se aplică site-ului autovig.eu („Site-ul”).

1. Canal de raportare

Trimiteți un singur raport structurat la:

Dacă nu ne puteți contacta sau dacă nu primiți confirmare în termenul prevăzut la secțiunea 6, puteți redirecționa raportul către CSIRT-ul național belgian:

Puteți scrie în engleză, franceză, germană, neerlandeză, română sau poloneză.

2. Domeniu de aplicare

În domeniu:

  • autovig.eu și orice subdomeniu care servește conținut de producție;
  • rezultatul build-ului static: HTML, CSS, bundle-uri JavaScript și datele structurate pe care le emitem;
  • bannerul de consimțământ pentru cookie-uri și stocarea consimțământului pe partea clientului.

3. În afara domeniului

  • Site-urile operatorilor terți (ASFINAG, DARS, NÚSZ, BGTOLL, CNAIR etc.) — raportați-le direct operatorului.
  • Problemele care necesită o poziție privilegiată (browser deja compromis, extensie de browser malițioasă, acces fizic la dispozitivul utilizatorului).
  • Rezultatele scanerelor automate fără un impact de securitate clar și demonstrabil.
  • Raportările privind bune practici lipsă (întărirea anteturilor HTTP, configurația TLS, identificarea versiunilor software) fără un risc exploatabil demonstrat.
  • Testele de denial-of-service, ingineria socială împotriva personalului sau a contractorilor, atacurile asupra spațiilor fizice sau asupra furnizorilor terți (găzduire, DNS, e-mail).

4. Conținutul raportului

  • O scurtă descriere a problemei și URL-ul sau componenta afectată.
  • Pașii de reproducere, inclusiv payload-ul cererii, dacă este relevant.
  • Impactul estimat și un scenariu realist de exploatare.
  • Data și ora testării și browserul, instrumentul sau scriptul utilizat.
  • Numele sau pseudonimul sub care doriți să fiți creditat public, dacă este cazul (secțiunea 8).

5. Ce vă cerem

  • Nu accesați, nu modificați și nu descărcați date care nu vă aparțin. Dacă o configurare greșită expune datele unui terț, opriți-vă și anunțați-ne — nu descărcați mai mult decât minimul necesar pentru a dovedi problema.
  • Nu efectuați teste de denial-of-service, inginerie socială sau atacuri asupra spațiilor fizice ori asupra furnizorilor terți.
  • Acordați-ne un termen rezonabil pentru remediere înainte de orice divulgare publică (secțiunea 7).
  • Acționați cu bună-credință. Raportările transmise cu intenția sinceră de a îmbunătăți securitatea sunt binevenite; amenințările, șantajul sau cererile de plată pentru a nu divulga nu sunt.

6. Calendar coordonat — angajamentele noastre

  • Confirmare de primire în termen de 5 zile lucrătoare de la primire.
  • Triere (confirmarea încadrării în domeniu, severitate inițială) în termen de 10 zile lucrătoare.
  • Actualizări de stare asupra constatărilor materiale cel puțin la fiecare 15 zile calendaristice până la închidere.
  • Remediere într-un termen proporțional cu severitatea: vulnerabilitățile critice sau exploatate activ sunt prioritare; corectările standard vizează 90 de zile calendaristice de la triere; orice termen suplimentar se convine cu dumneavoastră și se motivează.
  • Creditare publică la livrarea corectării, dacă doriți (secțiunea 8).

7. Divulgare publică coordonată

Urmăm un model de divulgare coordonată:

  • raportul și corectarea rămân confidențiale până la livrarea remedierii sau până la expirarea termenului implicit de 90 de zile calendaristice de la triere;
  • operatorul și cercetătorul convin asupra formulării, atribuirii și calendarului oricărei publicații;
  • atunci când o constatare privește un terț (operator, persoană împuternicită, bibliotecă), termenul poate fi prelungit prin acord pentru a permite terțului să-și coordoneze propriul răspuns;
  • în caz de dezacord asupra calendarului, dosarul poate fi adus la cunoștința CCB (secțiunea 9);
  • dacă invocați protecția legală descrisă la secțiunea 9, divulgarea publică necesită și acordul CCB.

8. Recunoaștere — fără program bug bounty în prezent

Autovig nu operează în prezent un program bug bounty plătit. Recunoașterea se face prin creditare publică pe această pagină (sub numele sau pseudonimul preferat) și prin corespondență directă. Nu se face nicio promisiune de recompensă bănească; dacă un program va fi introdus ulterior, condițiile vor fi publicate aici înainte ca o raportare să se poată baza pe ele.

9. Protecția cercetătorilor și cadrul legal belgian

Vom renunța la orice acțiune — și vom trata conduita dumneavoastră ca autorizată în raport cu incriminările belgiene privind accesul neautorizat la sistemele informatice — cu condiția să:

  • acționați cu bună-credință, cu intenția sinceră de a îmbunătăți securitatea;
  • rămâneți în domeniul de la secțiunea 2 și respectați lista „în afara domeniului” de la secțiunea 3;
  • accesați doar minimul strict de date necesar pentru a dovedi constatarea și să nu exfiltrați, păstrați, publicați sau partajați date ale unor terți;
  • nu degradați disponibilitatea, integritatea sau confidențialitatea peste minimul strict necesar demonstrării problemei;
  • ne notificați fără întârzieri nejustificate prin canalul de la secțiunea 1;
  • respectați calendarul de divulgare coordonată de la secțiunea 7.

Această autorizare este acordată de Autovig în calitate de operator al activelor vizate și acoperă doar actele aflate în domeniu. Aceasta nu obligă autoritățile publice sau terții ale căror sisteme ar putea fi afectate indirect.

Protecția legală. Independent de această autorizare, articolul 23 din Legea belgiană din 26 aprilie 2024 de stabilire a unui cadru pentru securitatea cibernetică a rețelelor și sistemelor informatice (legea belgiană NIS2) prevede că persoanele care raportează o vulnerabilitate potențială prin procedura de la articolul 22 nu săvârșesc anumite infracțiuni, între care accesul neautorizat la un sistem informatic, dacă îndeplinesc toate condițiile, în special:

  • acționează fără intenție frauduloasă și fără intenția de a cauza prejudicii;
  • trimit o notificare simplificată — sistemul vizat și o descriere simplă a vulnerabilității potențiale — fără întârziere și cel târziu în 24 de ore de la descoperire, organizației responsabile (pentru acest Site: security@autovig.eu) și CCB;
  • trimit o notificare completă fără întârziere și cel târziu în 72 de ore de la descoperire, acelorași destinatari;
  • nu depășesc ce este necesar și proporțional pentru verificarea și raportarea vulnerabilității;
  • nu divulgă public informații despre vulnerabilitate fără acordul CCB.

Pagina CVD a CCB (https://ccb.belgium.be/regulation/cvdp) este referința pentru această procedură. Codul penal belgian din 1867 a fost înlocuit de un nou Cod penal la 1 septembrie 2026; întrebați CCB sau un avocat dacă aveți nevoie de prevederile penale aplicabile acum.

10. Prelucrarea datelor dumneavoastră cu caracter personal

Datele pe care le transmiteți la o raportare (adresa de e-mail, conținutul raportului, eventual conținut criptat PGP) sunt prelucrate de Autovig în calitate de operator, în temeiul interesului legitim (articolul 6 alineatul (1) litera (f) RGPD), în scopul trierii, corectării și divulgării coordonate. Raportările sunt păstrate până la 5 ani de la închidere. Drepturile dumneavoastră, calea de reclamație către APD/GBA belgiană și celelalte informații RGPD figurează în Politica de confidențialitate.

Surse

Pagini juridice conexe