Procedimentos de gestão de vulnerabilidades
Como as possíveis vulnerabilidades são recebidas, priorizadas, corrigidas e verificadas.
Identificação e receção
Possíveis vulnerabilidades podem ser identificadas em revisões de desenvolvimento, testes, avisos sobre dependências ou comunicações de utilizadores e investigadores. Registe o componente afetado, versão ou alteração, provas e impacto potencial. Não inclua dados reais de clientes quando um exemplo mínimo e não sensível permita demonstrar o problema.
Validação e avaliação de risco
Valide o comportamento comunicado e avalie a possibilidade de exploração, exposição, acesso necessário e efeitos nos clientes. Dê prioridade a acessos não autorizados, exposição de dados entre empresas, credenciais comprometidas ou exploração ativa. Reavalie a prioridade quando surgirem novas provas.
Correção
Escolha uma correção ou mitigação temporária proporcional ao risco. Atribua responsabilidades, acompanhe o problema e reveja os efeitos secundários das alterações. Para componentes de terceiros, considere atualizações de segurança, alterações de configuração ou remoção da funcionalidade afetada. Uma solução provisória não verificada não é uma correção concluída.
Verificação e encerramento
Verifique que a correção resolve o problema original sem introduzir regressões evidentes. Registe o resultado e limitações restantes. Encerre o problema apenas depois de verificar a correção ou mitigação aceite. Reabra a investigação se provas posteriores mostrarem que o risco permanece.
Comunicação responsável
Use o nosso canal de contacto para comunicar vulnerabilidades em privado e permitir coordenação antes da divulgação pública. Não aceda a informações de outros clientes, não perturbe o serviço nem continue testes após descobrir acesso involuntário. Esta política não autoriza testes intrusivos nem estabelece um programa de recompensas por vulnerabilidades.
Questões e comunicações de segurança
Contacte a XtraCRM para comunicar um possível problema de segurança ou esclarecer estas políticas. Inclua uma breve descrição e o serviço afetado; não envie palavras-passe, tokens de acesso nem dados pessoais desnecessários.
Contactar a XtraCRM →