Процедуры управления уязвимостями
Порядок приема, приоритизации, исправления и проверки потенциальных уязвимостей.
Выявление и прием
Потенциальные уязвимости могут выявляться при проверках разработки, тестировании, из уведомлений о зависимостях или сообщений пользователей и исследователей. Зафиксируйте затронутый компонент, версию или изменение, доказательства и возможное воздействие. Не включайте реальные данные клиентов, если проблему можно показать минимальным примером без чувствительной информации.
Подтверждение и оценка риска
Подтвердите описанное поведение и оцените возможность эксплуатации, подверженность, необходимый доступ и последствия для клиентов. Приоритет имеют несанкционированный доступ, раскрытие данных между компаниями, скомпрометированные учетные данные и активная эксплуатация. Пересматривайте приоритет при появлении новых доказательств.
Исправление
Выберите соразмерное риску исправление или временную меру снижения риска. Назначьте ответственных, отслеживайте проблему и проверяйте побочные эффекты изменений. Для сторонних компонентов рассмотрите обновления безопасности, изменения конфигурации или удаление затронутой функции. Непроверенный обходной путь нельзя считать завершенным исправлением.
Проверка и закрытие
Убедитесь, что исправление устраняет исходную проблему и не вызывает очевидной регрессии. Зафиксируйте результат и оставшиеся ограничения. Закрывайте проблему только после проверки исправления или принятой меры снижения риска. Возобновите расследование, если последующие доказательства покажут, что риск сохраняется.
Ответственное сообщение
Сообщайте об уязвимостях конфиденциально через наш канал связи и обеспечьте координацию до публичного раскрытия. Не получайте доступ к информации других клиентов, не нарушайте работу сервиса и не продолжайте тестирование после обнаружения непреднамеренного доступа. Эта политика не разрешает интрузивное тестирование и не учреждает программу вознаграждений за уязвимости.
Вопросы и сообщения о безопасности
Свяжитесь с XtraCRM при подозрении на проблему безопасности или с вопросом об этих политиках. Кратко опишите проблему и затронутый сервис; не отправляйте пароли, токены доступа или ненужные персональные данные.
Связаться с XtraCRM →