Доверие и сигурност
Прилагаме към себе си стандартите, по които тестваме.
Тестването на сигурността означава боравене с чувствителна информация за системите ви. Ето как провеждаме ангажименти безопасно, защитаваме данните и доказателствата ви и подпомагаме прегледа ви на доставчици по сигурност.
С какво се ангажираме
Поемаме конкретни ангажименти, които можете да проверите при определянето на обхвата, по време на тестването и при предаването на резултатите.
Само наши тестери
Ангажиментът се изпълнява от екипа на PXLSec. Не възлагаме тестването на външни изпълнители. Работите със същия екип, който е определил обхвата.
Старши тестери, без прехвърляне на младши
Опитните тестери, които определят обхвата, изпълняват и работата. След приемането на предложението ангажиментът остава при тях.
Повторен тест и писмено закриване
След като отстраните проблемите, ги проверяваме повторно и потвърждаваме писмено резултатите. Корекция, която не можем да проверим, се отбелязва като непроверена.
Работа, която отказваме
Офанзивните ни умения се използват за защита при ясно разрешение. Посочените ограничения са част от начина ни на работа и отказваме ангажименти, които ги нарушават.
Не продаваме експлойти или уязвимости
Това, което откриваме в софтуер на трети страни, отива при доставчика, а не при брокер, правителство или пазар за експлойти. Публикуваните ни бюлетини са доказателството за това — всеки от тях беше разкрит първо на доставчика, съгласно политиката за 90 дни, която публикуваме.
Не тестваме това, което не можете да разрешите
Разрешението трябва да дойде от човек, който действително може да го даде, а когато дадена система се хоства, управлява или притежава от трета страна, е нужно и нейното съгласие. Няма да приемем вашата дума за чужда среда и ще спрем ангажимент, който стигне до такава.
Не работим срещу журналисти, активисти или гражданско общество
Нито като цел, нито като претекст, нито като част от по-широк обхват. Ако даден ангажимент би поставил такава организация или лице от отсрещната страна, го отказваме.
Не изграждаме инструменти за наблюдение и не атакуваме трети страни от ваше име
Тестваме за клиент, никога срещу някого от името на клиент. Не сме на разположение като атакуваща страна и не изграждаме системи, чиято цел е скрито наблюдение на хора.
Безопасност на ангажимента
Безопасност и правила на ангажимента
Всеки ангажимент протича при писмено разрешение и договорени правила. Вие решавате какво влиза в обхвата, кога тестваме и докъде стигаме.
Писмено разрешение преди тестването
Започваме да тестваме едва след като системите в обхвата, периодът на тестване и вашето разрешение са договорени писмено от лице, което има право да го даде.
Договорен обхват и времеви прозорци
Обектите, изключенията, техниките и времевите прозорци се определят, преди работата да започне. Всичко извън този обхват остава недокоснато, освен ако не го разширите писмено.
Контакти за ескалация и аварийно спиране
Договаряме поименни контакти от двете страни преди тестването. Ако ни помолите да спрем или да направим пауза по всяко време, прекратяваме тестовата дейност и изчакваме вашето указание да продължим.
Безопасна експлоатация
Доказваме въздействието с най-малко инвазивния метод, който демонстрира риска. Отказ на услуга, разрушителни действия и промяна на данни са изключени, освен ако изрично не ги одобрите.
Внимание към продукционните системи
Когато продукционни системи са в обхвата, договаряме графика и ограниченията с вашия екип. Следим за странични ефекти и незабавно съобщаваме за неочаквано поведение на посоченото лице за контакт.
Данни за реална компрометация
Ако открием признаци, че някой друг вече е компрометирал средата ви, спираме засегнатата дейност и уведомяваме посоченото от вас лице за контакт веднага, без да чакаме доклада.
Работа с данните
Обработка на данните през целия ангажимент
Третираме всичко, което научаваме за вашата среда, като поверително — от първия разговор до окончателното изтриване. Всеки етап от ангажимента има определен начин на работа с него.
Събираме само необходимото
Изискваме единствено достъпа, идентификационните данни и информацията, от които ангажиментът се нуждае, и избягваме копирането на клиентски данни извън нужното за демонстриране на констатация.
Шифровано съхранение с разделяне
Данните от ангажимента се съхраняват шифровани на управлявани устройства с многофакторно удостоверяване на всеки акаунт и са разделени по клиенти, така че материал от един ангажимент никога не се смесва с друг.
Сигурен пренос
Идентификационни данни, доклади и доказателства се придвижват между нас по сигурни, шифровани канали, договорени с вашия екип. Не изпращаме чувствителен материал като обикновени прикачени файлове по имейл.
Съхранение по договорен график
Колко дълго пазим данните от ангажимента се договаря с вас и се записва в договора, така че срокът да отразява вашите изисквания, а не наша настройка по подразбиране.
Сигурно изтриване след предаването
След изтичането на договорения срок данните от ангажимента, включително доказателства, работни бележки и тестови акаунти, създадени от нас, се изтриват сигурно съгласно този график.
Доказателства и отчети
Работа с доказателства и доклади
Докладите ни се нуждаят от достатъчно доказателства, за да може екипът ви да възпроизведе и отстрани всеки проблем — и от нищо повече. Държим чувствителните данни извън тях, където е възможно.
Минимум чувствителни данни в доказателствата
Екранните снимки и журналите на заявките се правят, за да покажат проблема, а не за да събират данни. Когато самото излагане е констатацията, записваме минимума, нужен за доказването ѝ.
Заличени идентификационни данни и лични данни
Идентификационните данни, токените и личната информация се заличават в доказателствата, преди докладът да напусне нашата среда.
Сигурно предаване
Предоставяме докладите шифровани, по предварително договорен сигурен канал и само на посочените от вас получатели. Не ги изпращаме като незащитени прикачени файлове.
Контрол върху получателите
Вие определяте кой получава доклада. Не споделяме него или подробности за ангажимента с лица извън договорения списък.
Хора и достъп
Хора и достъп
Ангажиментът се изпълнява от екипа, с който се запознавате при определянето на обхвата. Достъпът до материалите ви е ограничен до тестерите по проекта.
Старши тестери от собствения ни екип
Тестването се извършва от опитни членове на нашия екип, които остават с ангажимента от началото до докладването и всички последващи въпроси.
Достъп на принципа „необходимост да се знае“
Достъпът до клиентски материал е ограничен до тестерите, работещи по съответния ангажимент. Данните са разделени по клиенти, а достъпът приключва заедно с работата по тях.
Задължения за поверителност
Всеки, който работи по клиентски ангажименти, е обвързан със задължения за поверителност в допълнение към NDA, което подписваме с вас, преди да бъдат споделени детайли по обхвата.
Нашата собствена сигурност
Как работим сигурно
Същите практики, които препоръчваме на клиентите, приложени към нас самите.
- Укрепена защита на крайните устройстваУправлявани, шифровани устройства с многофакторно удостоверяване на всеки акаунт.
- Разделяне на клиентските данниДанните от ангажимента се разделят по клиент.
- Минимални необходими праваДостъпът до клиентски материали е ограничен до тестерите по ангажимента.
- Прилагаме практиките си и към собствените системиТестваме собствените си инструменти и инфраструктура и разкриваме каквото намерим в чуждите.
За вашата проверка по сигурността
Подкрепа за вашия преглед на сигурността
Очакваме да бъдем оценени като доставчик и улесняваме този процес за вашите отдели по доставки и сигурност.
Въпросници за сигурност на доставчици
Попълваме вашия въпросник за сигурност на доставчици или формуляр за надлежна проверка, като отговаряме директно и точно, вместо да ви насочваме към общи маркетингови материали.
Образци на NDA и DPA
Можем да предоставим собствени образци на NDA и споразумение за обработка на данни или да прегледаме и подпишем вашите, така че поверителността да е налице, преди да бъдат споделени каквито и да е детайли по обхвата.
Представяне на методологията
Запознаваме екипа ви с това как ще тестваме, какъв достъп ни е нужен, как се документират констатациите и как правилата на ангажимента ще се прилагат към вашата среда.
Представяне на работата с данни
Обясняваме как събираме, съхраняваме, пренасяме и изтриваме данните по време на ангажимента. Така специалистите ви по поверителност и сигурност могат да оценят процеса.
Пряка връзка с тестерите
Вашият екип по сигурността може да говори с тестерите, които ще изпълнят ангажимента, преди той да започне, за да се изяснят технически въпроси и ограничения предварително.
Данните, които отделът по доставки изисква
Фактите, за които екип по сигурността или по покупки обикновено трябва да ни пише. Тук са, за да не се налага.
Юридическо лице
PXLSecurity LTD., регистрирано в България и действащо от 2014 г. Седалище: бул. „Васил Левски“ 12, 1142 София, България.
Регистрация по ДДС
BG203239331. Фактурираме като българско дружество, регистрирано по ДДС, и можем да предоставим данните за регистрация, нужни на вашия финансов отдел.
Застраховка
Имаме застраховка „професионална отговорност“ и застраховка за киберриск. Можем да потвърдим покритието и да предоставим сертификати директно на вашия отдел по доставки при поискване.
Сертификации, казано ясно
Нашите инженери притежават индивидуални професионални сертификати. PXLSecurity LTD. не притежава фирмена акредитация по каквато и да е схема и не претендира за такава. Ако вашите правила за доставки изискват акредитиран доставчик, кажете ни рано — предпочитаме да го заявим, отколкото да ви губим времето.
Договаряне
Можем да работим с вашите NDA, DPA и рамково споразумение за услуги или да предоставим наши. Поверителността е налице, преди да бъдат разменени детайли по обхвата.
Отговорно разкриване
Намерили сте уязвимост в нещо наше?
Ако считате, че сте намерили уязвимост в сигурността на сайт на PXLSec или в софтуер, който публикуваме, искаме да научим от вас.
Как да докладвате
Имейл [email protected] с описание на проблема, засегнатия актив и стъпки за възпроизвеждане. Нашият security.txt съдържа машинно четимите детайли. Ако трябва да споделите чувствителни подробности, поискайте от нас защитен канал.
Нашият ангажимент
- Ще потвърдим получаването на доклада ви и ще ви държим в течение за хода на работата.
- Няма да предприемаме правни действия за добросъвестни изследвания, които следват тази политика.
- Ще ви посочим за валидни доклади, ако желаете да бъдете назовани.
Моля, направете
- Дайте ни разумно време да проучим и поправим, преди каквото и да е публично разкриване.
- Избягвайте нарушения на поверителността, унищожаване на данни и прекъсване на услуги.
- Тествайте само активи, които принадлежат на нас — не системите на нашите клиенти.
Това е политика за разкриване, не платена програма за награди за уязвимости.
Често задавани въпроси
Често задавани въпроси
Ще имате ли достъп до нашите продукционни данни?
Само ако продукционната среда е в обхвата и сте го разрешили писмено. Използваме най-малко инвазивния метод, който доказва констатацията, избягваме копирането на данни извън нужното за демонстрирането ѝ и заличаваме чувствителните стойности в доказателствата. Ако ангажиментът може да се проведе безопасно срещу тестова среда, ще го кажем при определянето на обхвата.
Какво се случва, ако откриете данни за активен пробив?
Спираме засегнатото тестване и се свързваме с посоченото от вас лице за ескалация веднага, без да чакаме окончателния доклад. Споделяме наблюденията си, за да може екипът ви да реши за следващите стъпки, и възобновяваме тестването само по ваше указание.
Колко дълго пазите нашите данни?
Срокът на съхранение се договаря с вас и се записва в договора, преди ангажиментът да започне. С изтичането му данните от ангажимента, включително доказателства и работни бележки, се изтриват сигурно.
Можете ли да подпишете нашите NDA и DPA?
Да. Подписваме споразумения за поверителност и за обработка на данни, преди да бъдат разменени детайли по обхвата, и с удоволствие работим с вашите образци или предоставяме наши.
Кой ще види нашия доклад?
Достъп имат тестерите по ангажимента и получателите, които посочите. Докладите се съхраняват шифровани и се предоставят по сигурен канал. Не ги споделяме с други лица извън договорения списък.
Можем ли да поставим на пауза или да спрем тестването в кратък срок?
Да. Договаряме контакти за ескалация от двете страни, преди тестването да започне. Ако ни помолите да спрем или да направим пауза, прекратяваме тестовата дейност и не я възобновяваме, докато не потвърдите.
Трябва ви наше NDA, споразумение за обработка на данни или попълнен въпросник?
Поискайте нашето NDA, споразумение за обработка на данни или помощ с въпросника ви за сигурност на доставчици. Ще ви свържем с екипа, който отговаря за проверката.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност