Politica de divulgare a vulnerabilităților

Ultima actualizare: 5 septembrie 2019

Kraken Security Labs desfășoară în mod constant cercetări privind securitatea aplicațiilor, componentelor hardware și produselor utilizate frecvent. Cercetările au scopul de a informa și proteja utilizatorii finali ai acestor servicii și produse. Această politică descrie modul în care Kraken Security Labs gestionează dezvăluirea responsabilă a vulnerabilităților atunci când descoperim vulnerabilități de securitate în produsele și serviciile unor terți.

Kraken Security Labs va notifica furnizorul corespunzător cu privire la o breșă de securitate existentă în produsul (produsele) și/sau serviciul (serviciile) acestuia. Prima tentativă de contact se va realiza prin intermediul datelor de contact sau mecanismelor oficiale indicate pe site-ul furnizorului. Dacă astfel de informații de contact nu sunt publicate, Kraken Security Labs va depune eforturi rezonabile pentru a identifica un canal de contact adecvat. Odată ce a fost găsit un mecanism oficial sau adecvat de contact, informațiile relevante referitoare la vulnerabilitate vor fi transmise în mod securizat furnizorului.

Dacă furnizorul nu confirmă primirea notificării inițiale în termen de cinci (5) zile lucrătoare, Kraken Security Labs va iniția o a doua tentativă de contact. Dacă Kraken Security Labs epuizează toate mijloacele menționate mai sus pentru a contacta furnizorul, atunci Kraken Security Labs poate publica un aviz public prin care își dezvăluie concluziile, la cincisprezece (15) zile lucrătoare de la tentativa de contact inițială.

Dacă se primește un răspuns din partea furnizorului în intervalul de timp menționat mai sus, Kraken Security Labs solicită furnizorului să precizeze un interval dorit pentru remediere. Kraken Security Labs va acorda furnizorului un termen de până la nouăzeci (90) de zile calendaristice pentru a remedia vulnerabilitatea printr-un patch. La expirarea termenului sau mai devreme (dacă este notificat de furnizor), în cazul în care vulnerabilitatea a fost remediată sau dacă furnizorul nu răspunde ori nu poate furniza o justificare rezonabilă privind motivul pentru care vulnerabilitatea nu a fost remediată, Kraken Security Labs va publica un aviz accesibil publicului, care va include recomandări de atenuare, în vederea protejării utilizatorilor finali.

Kraken Security Labs va depune toate eforturile pentru a colabora cu furnizorii, astfel încât aceștia să înțeleagă detaliile tehnice și gravitatea unei breșe de securitate raportate. Dacă un furnizor de produse nu poate sau alege să nu remedieze o anumită breșă de securitate, Kraken Security Labs poate oferi colaborarea sa pentru a dezvălui public breșa împreună cu soluții alternative eficiente.

În cazul în care Kraken Security consideră că este oportun să alerteze imediat publicul larg cu privire la o vulnerabilitate, din cauza riscului sau al siguranței utilizatorului final al unui produs sau serviciu, atunci Kraken Security Labs va informa simultan furnizorul și publicul larg cu privire la concluziile sale. În comunicarea adresată furnizorului, Kraken Security Labs va enumera factorii care au stat la baza deciziei de a publica imediat concluziile.