Что такое политика ответственного раскрытия

Ответственное раскрытие (responsible disclosure) – это согласованный процесс, позволяющий специалистам по безопасности сообщать о найденных уязвимостях в системах без риска для пользователя и без нарушения закона. Мы ценим активную роль сообщества в повышении уровня защиты наших сервисов, поэтому предлагаем прозрачный механизм для таких сообщений.

Как сообщить о проблеме

1. Подготовьте подробное описание – укажите тип уязвимости, шаги воспроизведения, возможные последствия и, если возможно, скриншоты.
2. Не публикуйте информацию публично – до тех пор, пока уязвимость не будет исправлена, держите детали в секрете.
3. Отправьте письмо на адрес security@bizprof.org, указав в теме «Responsible Disclosure».
4. Подтвердите личность – при необходимости мы можем запросить подтверждение вашей роли в сообществе исследователей.
5. Подождите обратной связи – после получения сообщения мы начнём внутреннюю проверку и свяжёмся с вами с предложением о дальнейших шагах.

Ответные меры

• Проверка – наш технический отдел проведёт аудит, чтобы подтвердить существование уязвимости.
• Устранение – после подтверждения мы разрабатываем и внедряем патч или обновление.
• Обновление – вы получите обратную связь о статусе исправления и сроках его внедрения.
• Благодарность – при условии, что уязвимость раскрыта в соответствии с правилами, мы рассматриваем возможность публичного признания и/или небольшого вознаграждения.

Контакты

Важные обязательства

• Конфиденциальность – информация, полученная от сообщества, хранится в соответствии с обязательствами по защите персональных данных.
• Объективность – каждая заявка рассматривается независимо, без предвзятости.
• Публичность – после исправления уязвимости мы обязуемся опубликовать отчёт о её устранении, если сам исследователь согласен на это.

Мы благодарим всех, кто заботится о безопасности и помогает улучшать наш сервис. Ваше взаимодействие играет ключевую роль в поддержании надёжности образовательных платформ и защите данных пользователей.