Sicurezza
Politica di divulgazione delle vulnerabilità
RadContour tratta dati di immagini mediche, quindi la sua sicurezza è importante. Accogliamo con favore le segnalazioni di ricercatori di sicurezza e utenti che individuano debolezze nel nostro software o sito, e tratteremo ogni segnalazione con serietà.
Questa politica spiega come segnalare una vulnerabilità, cosa faremo in risposta e i limiti entro cui Le chiediamo di operare. La legga per intero prima di testare o segnalare, e agisca di conseguenza.
Ambito
Nell’ambito:
- L’app RadContour per iPad
- Il sito radcontourapp.com, incluso il suo endpoint della lista d’attesa
Fuori ambito:
- I servizi di terze parti su cui ci basiamo — per esempio Apple e Cloudflare. Li segnali direttamente al fornitore.
- Qualsiasi PACS, sistema di pianificazione del trattamento o rete ospedaliera a cui RadContour si connette. Appartengono ai loro gestori e non deve testarli.
- Constatazioni già documentate come limitazioni note nella nostra Dichiarazione di conformità DICOM — in particolare che il traffico di rete DICOM non è cifrato per progettazione e deve essere usato su una rete gestita dall’ospedale.
- Segnalazioni che un servizio non segue una «buona pratica» senza un impatto di sicurezza dimostrabile.
Segnalare una vulnerabilità
Invii la Sua segnalazione a [email protected]. Le segnalazioni possono essere inviate in forma anonima; non deve identificarsi per essere preso sul serio.
Includa:
- Dove si può osservare la vulnerabilità — la schermata dell’app, l’URL o l’endpoint
- Un titolo breve e una descrizione del tipo di vulnerabilità
- Il suo impatto — cosa potrebbe ottenere davvero un aggressore
- I passi per riprodurla, come prova di concetto benigna e non distruttiva
Passi di riproduzione chiari ci permettono di valutare in modo rapido e preciso e riducono le segnalazioni duplicate.
Cosa aspettarsi
- Puntiamo a confermare la Sua segnalazione entro 5 giorni lavorativi.
- Puntiamo a completare una valutazione iniziale entro 10 giorni lavorativi, tenendoLa aggiornato lungo il percorso.
- Diamo priorità alla correzione in base a impatto, gravità e facilità di sfruttamento. Alcune correzioni richiedono tempo, soprattutto quando è coinvolta una pubblicazione sull’App Store.
- La avviseremo quando il problema sarà risolto, ed è il benvenuto a confermare che la correzione lo risolve davvero.
RadContour è sviluppato da un piccolo team. Preferiamo fissare aspettative che possiamo mantenere piuttosto che promettere una risoluzione in giornata che non possiamo garantire.
Regole di ingaggio
Per favore non:
- Violare alcuna legge o regolamento applicabile
- Accedere a più dati del necessario per dimostrare il problema — e si fermi appena l’ha fatto
- Modificare o eliminare dati che non sono Suoi
- Eseguire scansioni ad alta intensità, invasive o distruttive
- Tentare, o segnalare, problemi di denial-of-service — incluso inondare un servizio di richieste
- Interrompere la disponibilità dei nostri servizi per altri utenti
- Usare ingegneria sociale, phishing o attacchi fisici verso chiunque sia legato a RadContour
- Divulgare il problema pubblicamente, o a chiunque altro, se non tramite questa politica
- Chiedere un pagamento come condizione per divulgare una vulnerabilità
Per favore faccia:
- Rispetti la normativa sulla protezione dei dati e la privacy dei nostri utenti e di chiunque i cui dati potrebbe incontrare
- Elimini in modo sicuro qualsiasi dato ottenuto durante la Sua ricerca appena non è più necessario — e comunque entro un mese dalla risoluzione del problema
Divulgazione coordinata
Ci impegniamo a correggere le vulnerabilità con tempestività. Pubblicare dettagli prima che esista una correzione aumenta il rischio per gli utenti, quindi Le chiediamo di mantenere riservate le Sue constatazioni finché non avremo confermato il problema e, ove applicabile, rilasciato una correzione. Se ritiene che vi sia un motivo valido per informare altri prima, ci contatti per primo e concorderemo insieme un approccio.
Possiamo condividere una segnalazione con i fornitori interessati o con un’autorità di sicurezza competente quando è necessario per correggere il problema. Non condivideremo il Suo nome o i Suoi contatti senza il Suo esplicito permesso.
Riconoscimento
Al momento non gestiamo un programma di ricompense a pagamento. Se desidera essere accreditato per una segnalazione valida, ci dica come vuole essere nominato e La riconosceremo una volta risolto il problema.
Aspetti legali
Questa politica segue le comuni buone pratiche per la divulgazione coordinata delle vulnerabilità. Non La autorizza ad agire in alcun modo che violi la legge, né in alcun modo che porrebbe RadContour o un’organizzazione partner in violazione dei propri obblighi legali. La ricerca condotta in buona fede e in conformità a questa politica non ci porterà ad avviare azioni contro di Lei.