Norme sulla divulgazione responsabile di Startselect

Hai scoperto una falla nel sistema di sicurezza di Startselect?
Avverti noi prima di informare il mondo esterno, così da poter agire fin da subito. Questa si chiama "divulgazione responsabile".

Cosa fare:
Riferisci della falla via email a security@startselect.com. Questa email può essere utilizzata solo per segnalazioni di vulnerabilità.
Per l'assistenza clienti vai su: https://startselect.com/help 

Fornisci una quantità di dettagli sufficiente per poter riprodurre la falla e rimediare alla cosa il prima possibile. In genere è sufficiente l'IP del computer o l'URL e una descrizione della falla nella sicurezza. Più complessa la falla, più dettagli richiederemo.
Lascia i tuoi dettagli di contatto, così ti potremo contattare in seguito. Servono almeno un indirizzo email o un numero di telefono.
Riferisci della falla non appena scoperta.
Non condividere con altri alcuna informazione sulla falla finché questa non verrà riparata.
Usa con cautela le informazioni in tuo possesso. Non fare nulla più del necessario per dimostrare la falla nella sicurezza.

Cosa non fare:
Inviare malware;
Copiare, modificare o cancellare i dati nel sistema coinvolto (in alternativa, puoi creare un elenco di directory del sistema);
Cambiare il sistema;
Accedere ripetutamente al sistema o condividere l'accesso con altri;
Usare la "forza bruta" per aprire il sistema;
Provare a usare "denial of service" o social engineering.
Usare scanner o altri strumenti automatici;

Cosa aspettarsi:
Quando riferisci la falla nella sicurezza assicurati di rispettare le condizioni descritte sopra. Se farai così, non ci saranno conseguenze legali alla tua notifica da parte di Startselect.
Startselect tratta le notifiche che riceve in maniera confidenziale. Non condividerà i tuoi dettagli personali con terze parti senza la tua autorizzazione, a meno che non venga richiesto dalla legge o per ordine del tribunale.
Startselect può, se vuoi, menzionare il tuo nome in quanto scopritore della falla di sicurezza.
Startselect ti invierà un riconoscimento o una ricevuta entro tre giorni lavorativi.
Startselect risponderà alla tua notifica entro tre giorni lavorativi. La sua risposta conterrà una perizia riguardo la tua notifica e la data in cui è prevista la risoluzione della falla.
Startselect informerà te (in quanto persona che ha scoperto la falla) sui progressi fatti nella risoluzione della falla.
Startselect porrà rimedio alla falla il prima possibile. Sicuramente non oltre 60 giorni dalla ricezione della notifica. Startselect collaborerà con te per determinare se e come la falla potrà essere resa pubblica. Non verrà resa pubblica fino alla sua risoluzione.
Startselect potrà conferirti una ricompensa o un riconoscimento per la tua assistenza. A seconda della gravità della falla e della qualità del rapporto fatto, la ricompensa potrebbe variare. Le ricompense vengono conferite a sola discrezione di Startselect.

Vulnerabilità non pertinenti:
Attacchi di social engineering, inclusi quelli mirati ai dipendenti interni;
Attacchi tramite email finte o contraffatte;
Attacchi fisici contro i nostri uffici, infrastrutture o strutture;
Scansioni o rapporti generati da scanner, inclusi strumenti di exploit automatici o attivi;
Qualsiasi vulnerabilità derivante dalla compromissione dell'account di un dipendente;
Vulnerabilità di rete;
Appropriazione di account (PLA, conteggio degli utenti, ecc);
Spam;
Clickjacking, accesso a CSRF;
Impronta digitale, diffusione di messaggi di errore;
Attacchi a livello di protocollo (come BEAST/BREACH);
Mancanza di intestazioni di sicurezza, httponly flags, ecc.

Ultimo aggiornamento: 16 maggio 2022