Pereiti prie pagrindinio turinio

Pažeidžiamumų atskleidimo politika

Įvadas

Europos Komisijoje ryšių ir informacinių sistemų saugumas yra vienas iš svarbiausių prioritetų pagal Komisijos sprendimą (EB) 2017/46.

Tačiau, nepaisant visų pastangų, pažeidžiamumų niekada negalima visiškai pašalinti. Aptikus pažeidžiamumus ir jais pasinaudojus, kyla pavojus Europos Komisijos sistemų ir jose tvarkomos informacijos konfidencialumui, vientisumui ar prieinamumui.

Šios pažeidžiamumų atskleidimo politikos aprašyme nurodoma, kokias sistemas ir kokių tipų testus leidžiama taikyti ir kaip siųsti pažeidžiamumų ataskaitas. Apie galimas mūsų sistemų saugumo problemas raginame mums pranešti laikantis šios politikos.

Leidimas

Jeigu, veikdami sąžiningai, aptinkate Europos Komisijos sistemų pažeidžiamumų ir apie juos pranešate, laikydamiesi šios politikos, su jumis bendradarbiausime siekdami suprasti ir greitai išspręsti problemas.
Jei vadovausitės šios politikos gairėmis, Europos Komisija nesiims teisinių veiksmų dėl jūsų veiklos, kurios tikslas – aptikti mūsų sistemų pažeidžiamumus.

Taikymo sritis

Ši politika taikoma su internetu susietoms Europos Komisijos sistemoms, įskaitant:

  • visą Europos Komisijos veiklavietę saityne
    • *.ec.europa.eu/*
    • *.commission.europa.eu/*
  • viešus IP, skelbiamus pagal ASN 42848, ir susijusias paslaugas
  • bet kokią kitą Europos Komisijos paskelbtą programinę įrangą

Pirmiau aiškiai neįvardytos paslaugos į taikymo sritį nepatenka ir jų testuoti neleidžiama.
Be to, pardavėjų sistemų pažeidžiamumai taip pat nepatenka į taikymo sritį ir apie juos turėtų būti pranešama tiesiogiai pardavėjui pagal jų pačių informacijos atskleidimo politiką (jei taikytina).

Gairės

Vykdydami savo veiklą privalote:

  • nesinaudoti aptiktu pažeidžiamumu ar problema, pavyzdžiui, atsisiųsdami daugiau duomenų, nei būtina pažeidžiamumui įrodyti, ištrindami arba pakeisdami kitų asmenų duomenis;
  • norėdami patvirtinti, kad yra pažeidžiamumas, naudotis tik nepavojingomis saugumo spragomis;
  • neatskleisti jokių atsisiųstų duomenų, aptikus spragą, nei visuomenei, nei kitoms šalims;
  • neatskleisti visuomenei ar kitoms šalims pažeidžiamumo ar problemos, kol jie nebus pašalinti;
  • aptikę neskelbtiną informaciją (asmens tapatybės informaciją (angl. PII), medicininę, finansinę, privačią informaciją arba komercines paslaptis), nedelsdami apie tai mums praneškite ir neatskleiskite gautų duomenų kitiems asmenims.

Neleidžiama daryti šių veiksmų:

  • įdiegti bet kokioje sistemoje kenkimo programinę įrangą (virusą, kirminą, Trojos arklį ir kt.);
  • užvaldyti sistemų, naudojantis spragomis, kad būtų gauta visiška ar dalinė kontrolė;
  • kopijuoti, keisti arba ištrinti duomenų sistemoje;
  • daryti sistemos pakeitimų;
  • pakartotinai prisijungti prie sistemos arba dalytis prieiga su visuomene ar kitomis šalimis;
  • naudotis gauta prieiga mėginant prisijungti prie kitų sistemų;
  • keisti kitų naudotojų prieigos teises;
  • naudoti automatinio skenavimo priemones;
  • naudoti brutaliąją ataką siekiant prisijungti prie sistemų;
  • naudoti paslaugos trikdymą arba socialinę inžineriją (duomenų viliojimą, duomenų viliojimą telefonu, brukalus ir t. t.);
  • naudoti išpuolius prieš fizinį saugumą.

Pranešimas apie pažeidžiamumą

Ką iš jūsų norėtume sužinoti

Jei aptikote pažeidžiamumą, prašytume:

  • kuo greičiau apie nustatytus faktus pranešti el. paštu EC-VULNERABILITY-DISCLOSUREatec [dot] europa [dot] eu (EC-VULNERABILITY-DISCLOSURE[at]ec[dot]europa[dot]eu), nurodant, ar sutinkate, kad jūsų vardas ir pavardė arba slapyvardis būtų paskelbti viešai, kaip problemą aptikusio asmens.
  • užšifruoti nustatytus faktus naudojantis mūsų PGP raktu, kad ši itin svarbi informacija nepatektų netinkamam asmeniui.
  • suteikti mums pakankamai informacijos, kad galėtume atkurti problemą ir ją kuo greičiau išspręsti. Paprastai pakanka paveiktos sistemos IP adreso arba URL ir pažeidžiamumo aprašymo, tačiau jei spragos sudėtingos, gali tekti pateikti išsamesnį techninės informacijos paaiškinimą arba potencialų koncepcijos patvirtinimo kodą;
  • pateikti pranešimą anglų kalba (pageidautina) arba bet kuria kita oficialiąja Europos Sąjungos kalba.

Ko galite iš mūsų tikėtis

Kai pranešite mums apie pažeidžiamumą, pažadame:

  • atsakyti į jūsų pranešimą per tris (3) darbo dienas nuo pranešimo įvertinimo;
  • griežtai konfidencialiai tvarkyti jūsų pranešimą;
  • jei įmanoma, informuoti jus, kai pažeidžiamumas buvo pašalintas;
  • tvarkyti jūsų pateiktus asmens duomenis (pvz., e. pašto adresą ir pavardę) pagal taikytinus duomenų apsaugos teisės aktus ir neperduoti tų asmens duomenų be jūsų leidimo trečiosioms šalims;
  • paskelbti jūsų, kaip problemą aptikusio asmens, vardą ir pavardę, jei su tuo sutikote pirminiame e. laiške, kai ar jei problemą atskleisime viešai.