Divulgação Responsável
O Centro Nacional de Cibersegurança (CNCS) e a Associação DNS.PT (.PT) consideram a segurança dos utilizadores e dos sistemas uma prioridade. Nesse sentido, encontramo-nos comprometidos em investigar e corrigir eventuais vulnerabilidades de segurança desta plataforma, em colaboração com a comunidade de segurança.
O .PT e o CNCS, entidades promotoras e responsáveis pela manutenção da plataforma Webcheck.pt, permitem que a comunidade interessada realize testes de segurança à plataforma, nos termos e condições enunciadas nesta política, com o objetivo de identificar eventuais vulnerabilidades, incluindo a divulgação de resultados.
Esta política tem por objetivo definir a metodologia de cooperação entre as entidades patrocinadoras e a comunidade de modo a agilizar a identificação e mitigação de vulnerabilidades de segurança, seguindo uma abordagem ética e responsável e contribuindo para uma utilização mais segura e confiável da Internet.
Deste modo, e caso identifique alguma vulnerabilidade, contacte-nos através do endereço de correio eletrónico: info@webchek.pt. Preferencialmente, os conteúdos da mensagem devem ser cifrados com a nossa chave PGP de forma a garantir a confidencialidade da informação:
- Key-ID: 4761FCDB
- Fingerprint: 145D898B98FE9CCB225A761D8D43EEFE4761FCDB
- Key-ID: 4761FCDB
- Fingerprint: 145D898B98FE9CCB225A761D8D43EEFE4761FCDB
ÂMBITO:
Os termos aqui definidos para participação da comunidade interessada aplicam-se apenas a vulnerabilidades identificadas na plataforma Webcheck.pt e nos servidores que suportam o seu funcionamento.
CONSIDERA-SE FORA DO ÂMBITO A:
1. Exploração de vulnerabilidades ou utilização de técnicas que possam conduzir à degradação ou negação de serviço (vulgo denial-of-service);
2. Utilização de meios e recursos desproporcionais e desadequados para a comprovação de vulnerabilidades identificadas;
3. Realização de testes à segurança física, utilização de técnicas de engenharia social, spam ou phishing assim como o estender de testes a aplicações de terceiros, mesmo que estas estejam a ser utilizadas pela plataforma webcheck.pt;
4. Qualquer outro tipo de exploração de recursos humanos;
5. Aproveitamento das vulnerabilidades ou erros identificados para acesso a dados para além do estritamente necessário para a sua comprovação;
6. Apagamento ou modificação de dados.
O QUE SOLICITAMOS:
1. Que nos forneça informação detalhada, relevante e suficiente, que permita a análise da vulnerabilidade identificada;
2. Que não utilize a informação obtida de forma abusiva e que possa comprometer, nomeadamente, a disponibilidade e confidencialidade da informação e a integridade da plataforma;
3. Que assegure a privacidade dos utilizadores;
4. Que não divulgue as vulnerabilidades identificadas até que as mesmas estejam corrigidas ou 90 dias após a receção da sua comunicação, salvo indicação expressa em contrário por parte das entidades promotoras;
5. Que assegure uma atuação cooperante, responsável e no cumprimento da lei.
O QUE ESPERAR DE NÓS:
1. Uma resposta no prazo máximo de sete dias, com a avaliação da vulnerabilidade reportada e a estimativa temporal de correção;
2. Cumpridas as regras e procedimentos descritos na presente política, não será efetuada participação criminal por factos relacionados com a descoberta da vulnerabilidade reportada;
3. Confidencialidade: não forneceremos informação a terceiros, sem autorização, salvo se decorrente de obrigação legal;
4. A disponibilização de informação relevante, relacionada com a resolução da vulnerabilidade identificada, sempre que possível e adequado;
5. O reconhecimento, através da divulgação na própria plataforma do nome/alcunha do utilizador que identificou a vulnerabilidade e a identificação da mesma;
6. No âmbito da Divulgação Responsável de Vulnerabilidades e na aceção do regime legal aplicável, os seus dados pessoais serão de imediato apagados mal cesse o motivo pelo qual foram tratados. Qualquer questão sobre matéria de tratamento ou acesso a dados pessoais deve ser dirigida a info@webcheck.pt, com a inclusão do assunto: Tratamento de dados pessoais.