Polityka dot. ujawniania słabości

Ostatnia aktualizacja: 5 września 2019 r.

Kraken Security Labs regularnie prowadzi badania nad bezpieczeństwem powszechnie stosowanych aplikacji, sprzętu i produktów. Celem tych badań jest edukacja i ochrona użytkowników końcowych takich usług i produktów. Niniejsza polityka określa, w jaki sposób Kraken Security Labs postępuje w zakresie odpowiedzialnego ujawniania podatności, gdy wykryjemy luki w zabezpieczeniach produktów i usług podmiotów trzecich.

Kraken Security Labs powiadomi odpowiedniego dostawcę o luce w zabezpieczeniach jego produktów lub usług. Pierwsza próba kontaktu zostanie podjęta za pośrednictwem odpowiednich danych kontaktowych lub formalnych mechanizmów wskazanych na stronie internetowej dostawcy. Jeżeli takie dane kontaktowe nie są opublikowane, Kraken Security Labs dołoży wszelkich starań, aby znaleźć odpowiedni kanał kontaktu. Po ustaleniu formalnego lub odpowiedniego mechanizmu kontaktu istotne informacje o podatności zostaną przekazane dostawcy w bezpieczny sposób.

Jeżeli dostawca nie potwierdzi otrzymania pierwszego powiadomienia w ciągu pięciu (5) dni roboczych, Kraken Security Labs podejmie drugą próbę kontaktu. Jeżeli Kraken Security Labs wyczerpie wszystkie powyższe środki w celu skontaktowania się z dostawcą, może opublikować komunikat ujawniający swoje ustalenia po upływie piętnastu (15) dni roboczych od pierwszej próby kontaktu.

Jeżeli odpowiedź dostawcy wpłynie w opisanym wyżej terminie, Kraken Security Labs zwraca się do dostawcy o wskazanie oczekiwanego terminu usunięcia podatności. Kraken Security Labs przyzna dostawcy do dziewięćdziesięciu (90) dni kalendarzowych na usunięcie podatności w formie poprawki. Po upływie tego terminu lub wcześniej (jeżeli dostawca tak wskaże) – niezależnie od tego, czy podatność została naprawiona, czy też dostawca nie odpowiada bądź nie jest w stanie przedstawić rzeczowego wyjaśnienia przyczyn jej nieusunięcia – Kraken Security Labs opublikuje ogólnodostępny komunikat zawierający rekomendacje łagodzące w celu ochrony użytkowników końcowych.

Kraken Security Labs dołoży wszelkich starań, aby współpracować z dostawcami i zapewnić, że rozumieją oni szczegóły techniczne oraz powagę zgłoszonej luki w zabezpieczeniach. Jeżeli dostawca produktu nie jest w stanie lub nie zdecyduje się naprawić określonej luki, Kraken Security Labs może zaproponować współpracę w celu publicznego ujawnienia luki wraz ze skutecznymi rozwiązaniami tymczasowymi.

W przypadku gdy Kraken Security uzna za zasadne natychmiastowe poinformowanie opinii publicznej o podatności ze względu na ryzyko lub bezpieczeństwo użytkownika końcowego produktu lub usługi, Kraken Security Labs jednocześnie powiadomi dostawcę i opinię publiczną o swoich ustaleniach. W komunikacji z dostawcą Kraken Security Labs wskaże czynniki, które zadecydowały o niezwłocznej publikacji ustaleń.