Program odpowiedzialnego ujawniania informacji

Poważnie traktujemy bezpieczeństwo naszych systemów, produktów, informacji naszych pracowników i klientów oraz cenimy społeczność zajmującą się bezpieczeństwem. Doceniamy i zachęcamy badaczy bezpieczeństwa do kontaktowania się z nami w celu zgłaszania potencjalnych luk w zabezpieczeniach wykrytych w jakimkolwiek produkcie, systemie lub zasobie należącym do firmy Worldline S.A., jej podmiotów stowarzyszonych i zależnych (zwanych łącznie „Worldline” lub „my”/„nas”/„nasze”). Jeśli uważasz, że zidentyfikowałeś(-aś) potencjalną lukę w zabezpieczeniach, prześlij ją do naszego Programu odpowiedzialnego ujawniania informacji.

Pamiętaj, że Worldline nie prowadzi publicznego programu nagród za znalezione błędy i nie oferujemy nagród ani rekompensat w zamian za zgłaszanie potencjalnych problemów.

Wytyczne programu odpowiedzialnego ujawniania informacji

Wymagamy, aby wszyscy badacze:

• Dokładali wszelkich starań, aby uniknąć naruszeń prywatności, pogorszenia doświadczenia użytkownika, zakłóceń w systemach produkcyjnych i zniszczenia danych podczas testów bezpieczeństwa;
• Nie angażowali się w żadne działania, które mogą potencjalnie lub faktycznie wyrządzić szkodę Worldline, naszym klientom lub naszym pracownikom;
• Nie inicjowali żadnych oszukańczych transakcji finansowych;
• Nie przechowywali, nie udostępniali, nie narażali na szwank ani nie niszczyli danych Worldline ani danych klientów. W przypadku napotkania informacji umożliwiających identyfikację osoby (PII) należy natychmiast przerwać działalność, usunąć powiązane dane ze swojego systemu i natychmiast skontaktować się z Worldline. Ten krok chroni wszelkie potencjalnie wrażliwe dane i Ciebie;
• Nie angażowali się w żadną działalność, która narusza (a) europejskie, federalne lub stanowe prawa lub przepisy lub (b) prawa lub przepisy jakiegokolwiek kraju, w którym (i) znajdują się dane, zasoby lub systemy, (ii) ruch danych jest kierowany lub (iii) badacz prowadzi działalność badawczą;
• Wykonywali badania wyłącznie w zakresie określonym poniżej;
  • Korzystali ze zidentyfikowanych kanałów komunikacji, aby zgłaszać nam informacje o lukach w zabezpieczeniach; oraz
    
  • Zachowywali informacje o wszelkich wykrytych lukach w zabezpieczeniach jako poufne między sobą a Worldline.

 

Jeśli postępujesz zgodnie z tymi wytycznymi, zgłaszając nam problem, zobowiązujemy się do:

• Niepodejmowania ani niewspierania żadnych działań prawnych związanych z Twoimi badaniami;
• Współpracy z Tobą w celu szybkiego zrozumienia i rozwiązania problemu (w tym wstępne potwierdzenie zgłoszenia w ciągu 5 dni roboczych od jego przesłania);
• Docenienia Twojego wkładu w naszej galerii sław badaczy bezpieczeństwa, jeśli jako pierwszy zgłosisz problem, a my dokonamy zmiany kodu lub konfiguracji w oparciu o problem.

Zasady ujawniania informacji

• Daj nam znać jak najszybciej po wykryciu potencjalnego problemu z bezpieczeństwem, a my dołożymy wszelkich starań, aby szybko go rozwiązać;
• Zapewnij nam rozsądną ilość czasu na rozwiązanie problemu przed ujawnieniem go opinii publicznej lub stronie trzeciej;
• Staraj się w dobrej wierze unikać naruszeń prywatności, niszczenia danych oraz przerw lub pogorszenia jakości naszych usług. Wchodź w interakcje tylko z kontami, których jesteś właścicielem lub za wyraźną zgodą właściciela konta.

Kto może wziąć udział w programie

Każda osoba, która nie pracuje dla Worldline lub partnerów Worldline, która zgłasza unikatowy problem z bezpieczeństwem w zakresie i nie ujawnia go osobom trzecim.

Zakres

• Każda publiczna witryna będąca własnością, obsługiwana lub kontrolowana przez Worldline, w tym aplikacje internetowe hostowane na tych witrynach.
• Wszystkie dostępne dla konsumenta systemy Oprogramowania do wprowadzania kodu PIN w COTS, w tym sama Aplikacja PIN CVM, jak również protokoły używane do komunikacji między Aplikacją PIN CVM, SCRP i systemami monitorowania back-end.

Poza zakresem

Wszelkie witryny lub usługi klientów hostowane przez zewnętrznych dostawców i usługi są wyłączone z zakresu.

W trosce o bezpieczeństwo naszych użytkowników, personelu, całego Internetu i Ciebie jako badacza bezpieczeństwa, następujące typy testów są wyłączone z zakresu:

• Wyniki testów fizycznych, takich jak dostęp do biura (np. otwarte drzwi, czy tzw. tailgating)
• Ustalenia pochodzące głównie z inżynierii społecznej (np. phishing, vishing)
• Ustalenia z aplikacji lub systemów niewymienionych w sekcji „Zakres”.
• Błędy UI i UX oraz błędy ortograficzne
• Ataki polegające na wyczerpaniu zasobów
• Luki w zabezpieczeniach związane z odmową usługi (DoS/DDoS) na poziomie sieci
• W żadnym wypadku nie wolno przenosić żadnych danych
• Nie wolno narażać celowo prywatności ani bezpieczeństwa personelu Worldline ani osób trzecich
• Nie wolno narażać celowo własności intelektualnej ani innych interesów handlowych lub finansowych żadnego personelu lub podmiotów Worldline ani żadnych stron trzecich.

Wszelkie działania prowadzone w sposób zgodny z niniejszą polityką będą uważane za zachowanie dozwolone i nie będziemy wszczynać przeciwko Tobie działań prawnych. Jeśli strona trzecia podejmie kroki prawne przeciwko Tobie w związku z działaniami prowadzonymi w ramach tej polityki, podejmiemy kroki w celu poinformowania, że Twoje działania zostały przeprowadzone zgodnie z tą polityką.

Dziękujemy za pomoc w zapewnieniu bezpieczeństwa Worldline i naszym użytkownikom!  Prześlij swoje zgłoszenie do programu ujawnień Worldline w HackerOne.