Spares Nordic AB Vulnerability Disclosure Policy

Inleiding

Spares Nordic AB staat open voor feedback van securityonderzoekers en het brede publiek om onze beveiliging te verbeteren. Denk je dat je een kwetsbaarheid, privacyprobleem, blootgestelde data of een ander beveiligingsprobleem in een van onze assets hebt gevonden, dan horen we dat graag. Dit beleid beschrijft hoe je kwetsbaarheden bij ons meldt, wat wij van jou verwachten en wat jij van ons mag verwachten.

Systemen binnen scope

Dit beleid geldt voor alle digitale assets die eigendom zijn van, beheerd worden door of onderhouden worden door Spares Nordic AB.

Buiten scope

• Assets of andere apparatuur die niet in eigendom zijn van partijen die aan dit beleid deelnemen.

Kwetsbaarheden die je ontdekt of vermoedt in systemen buiten scope, meld je bij de betreffende leverancier of bevoegde autoriteit.

Onze toezeggingen

Als je volgens dit beleid met ons samenwerkt, kun je van ons verwachten dat wij:

• Snel op je melding reageren en met je samenwerken om je rapport te begrijpen en te valideren;
• Ons best doen om je op de hoogte te houden van de voortgang bij de afhandeling van een kwetsbaarheid;
• Werken aan het verhelpen van gevonden kwetsbaarheden binnen een redelijke termijn, binnen onze operationele mogelijkheden; en
• Safe Harbor bieden voor je vulnerabilityonderzoek dat onder dit beleid valt.

Onze verwachtingen

Als je in goed vertrouwen deelneemt aan ons vulnerability disclosure-programma, vragen we je om:

• Je aan de regels te houden, inclusief dit beleid en andere relevante afspraken. Als er een verschil is tussen dit beleid en andere toepasselijke voorwaarden, dan gaan de voorwaarden van dit beleid voor;
• Elke kwetsbaarheid die je ontdekt zo snel mogelijk te melden;
• Te voorkomen dat je de privacy van anderen schendt, onze systemen verstoort, data vernietigt en/of de gebruikerservaring schaadt;
• Gebruik alleen de Officiële Kanalen om kwetsbaarheidsinformatie met ons te bespreken;
• Geef ons een redelijke termijn (minstens 90 dagen vanaf het eerste rapport) om het probleem op te lossen voordat je het openbaar maakt;
• Voer tests alleen uit op systemen die binnen scope vallen en respecteer systemen en activiteiten die buiten scope zijn;
• Als een kwetsbaarheid ongewenste toegang tot gegevens geeft: beperk de hoeveelheid gegevens die je bekijkt tot het minimum dat nodig is om een Proof of Concept effectief aan te tonen; stop direct met testen en dien meteen een rapport in als je tijdens het testen gebruikersgegevens tegenkomt, zoals Persoonlijk Identificeerbare Informatie (PII), Persoonlijke Gezondheidsinformatie (PHI), creditcardgegevens of vertrouwelijke informatie;
• Je mag alleen interactie hebben met testaccounts die je zelf bezit of waarvoor je expliciete toestemming hebt van de accounthouder; en
• Ga niet over tot afpersing.

Spares Nordic AB Vulnerability Disclosure Policy

Inleiding

Spares Nordic AB staat open voor feedback van securityonderzoekers en het brede publiek om onze beveiliging te verbeteren. Denk je dat je een kwetsbaarheid, privacyprobleem, blootgestelde data of een ander beveiligingsprobleem in een van onze assets hebt gevonden, dan horen we dat graag. Dit beleid beschrijft hoe je kwetsbaarheden bij ons meldt, wat wij van jou verwachten en wat jij van ons mag verwachten.

Systemen binnen scope

Dit beleid geldt voor alle digitale assets die eigendom zijn van, beheerd worden door of onderhouden worden door Spares Nordic AB.

Buiten scope

• Assets of andere apparatuur die niet in eigendom zijn van partijen die aan dit beleid deelnemen.

Kwetsbaarheden die je ontdekt of vermoedt in systemen buiten scope, meld je bij de betreffende leverancier of bevoegde autoriteit.

Onze toezeggingen

Als je volgens dit beleid met ons samenwerkt, kun je van ons verwachten dat wij:

• Snel op je melding reageren en met je samenwerken om je rapport te begrijpen en te valideren;
• Ons best doen om je op de hoogte te houden van de voortgang bij de afhandeling van een kwetsbaarheid;
• Werken aan het verhelpen van gevonden kwetsbaarheden binnen een redelijke termijn, binnen onze operationele mogelijkheden; en
• Safe Harbor bieden voor je vulnerabilityonderzoek dat onder dit beleid valt.

Onze verwachtingen

Als je in goed vertrouwen deelneemt aan ons vulnerability disclosure-programma, vragen we je om:

• Je aan de regels te houden, inclusief dit beleid en andere relevante afspraken. Als er een verschil is tussen dit beleid en andere toepasselijke voorwaarden, dan gaan de voorwaarden van dit beleid voor;
• Elke kwetsbaarheid die je ontdekt zo snel mogelijk te melden;
• Te voorkomen dat je de privacy van anderen schendt, onze systemen verstoort, data vernietigt en/of de gebruikerservaring schaadt;
• Gebruik alleen de Officiële Kanalen om kwetsbaarheidsinformatie met ons te bespreken;
• Geef ons een redelijke termijn (minstens 90 dagen vanaf het eerste rapport) om het probleem op te lossen voordat je het openbaar maakt;
• Voer tests alleen uit op systemen die binnen scope vallen en respecteer systemen en activiteiten die buiten scope zijn;
• Als een kwetsbaarheid ongewenste toegang tot gegevens geeft: beperk de hoeveelheid gegevens die je bekijkt tot het minimum dat nodig is om een Proof of Concept effectief aan te tonen; stop direct met testen en dien meteen een rapport in als je tijdens het testen gebruikersgegevens tegenkomt, zoals Persoonlijk Identificeerbare Informatie (PII), Persoonlijke Gezondheidsinformatie (PHI), creditcardgegevens of vertrouwelijke informatie;
• Je mag alleen interactie hebben met testaccounts die je zelf bezit of waarvoor je expliciete toestemming hebt van de accounthouder; en
• Ga niet over tot afpersing.

Officiële Kanalen

Meld beveiligingsproblemen via disclosure@k-nets.se en geef alle relevante informatie door. Hoe meer details je geeft, hoe makkelijker het voor ons is om het probleem te beoordelen en op te lossen.

Safe Harbor

Bij het uitvoeren van kwetsbaarheidsonderzoek volgens dit beleid, zien we dit onderzoek onder dit beleid als:

• Geautoriseerd in relatie tot toepasselijke anti-hackwetten, en we zullen geen juridische stappen tegen je starten of steunen voor onbedoelde, te goeder trouw begane overtredingen van dit beleid;
• Geautoriseerd in relatie tot relevante anticircumventiewetten, en we zullen geen claim tegen je indienen voor het omzeilen van technologische beveiligingen;
• Vrijgesteld van beperkingen in onze Terms of Service (TOS) en/of Acceptable Usage Policy (AUP) die het uitvoeren van beveiligingsonderzoek zouden belemmeren, en we zien die beperkingen tijdelijk af; en
• Rechtmatig, nuttig voor de algehele veiligheid van het internet en te goeder trouw uitgevoerd.

Je wordt, zoals altijd, verwacht alle toepasselijke wetten na te leven. Als een derde partij juridische stappen tegen je onderneemt en je hebt je aan dit beleid gehouden, zullen wij stappen ondernemen om duidelijk te maken dat je handelingen in overeenstemming met dit beleid zijn uitgevoerd.

Als je op enig moment twijfels hebt of niet zeker weet of je beveiligingsonderzoek in lijn is met dit beleid, dien dan eerst een rapport in via een van onze Officiële Kanalen voordat je verdergaat.

Let op: de Safe Harbor geldt alleen voor juridische claims die onder de controle vallen van de organisatie die aan dit beleid deelneemt, en dit beleid bindt geen onafhankelijke derden.