Güvenlik
Güvenlik açığı açıklama politikası
RadContour tıbbi görüntü verilerini işler; bu nedenle güvenliği önemlidir. Yazılımımızda veya web sitemizde zayıflık bulan güvenlik araştırmacılarından ve kullanıcılardan gelen bildirimleri memnuniyetle karşılıyoruz ve her bildirimi ciddiye alacağız.
Bu politika, bir güvenlik açığını nasıl bildireceğinizi, karşılığında ne yapacağımızı ve sizden içinde çalışmanızı istediğimiz sınırları açıklar. Test etmeden veya bildirmeden önce tümünü okuyun ve buna uygun davranın.
Kapsam
Kapsam içinde:
- RadContour iPad uygulaması
- Bekleme listesi uç noktası dahil radcontourapp.com web sitesi
Kapsam dışında:
- Üzerine kurulu olduğumuz üçüncü taraf hizmetler — örneğin Apple ve Cloudflare. Bunları doğrudan sağlayıcıya bildirin.
- RadContour’un bağlandığı herhangi bir PACS, tedavi planlama sistemi veya hastane ağı. Bunlar işletmecilerine aittir ve onları test etmemelisiniz.
- DICOM Uygunluk Bildirimi’mizde bilinen kısıtlamalar olarak zaten belgelenmiş bulgular — özellikle DICOM ağ trafiğinin tasarım gereği şifresiz olduğu ve hastane tarafından yönetilen bir ağda kullanılması gerektiği.
- Kanıtlanabilir bir güvenlik etkisi olmadan bir hizmetin bir «en iyi uygulamayı» izlemediğine dair bildirimler.
Bir güvenlik açığını bildirme
Bildiriminizi [email protected] adresine gönderin. Bildirimler anonim olarak gönderilebilir; ciddiye alınmak için kimliğinizi belirtmeniz gerekmez.
Lütfen şunları ekleyin:
- Güvenlik açığının nerede gözlemlenebileceği — uygulama ekranı, URL veya uç nokta
- Kısa bir başlık ve güvenlik açığı türünün bir açıklaması
- Etkisi — bir saldırganın gerçekte neyi elde edebileceği
- Zararsız, tahrip edici olmayan bir kavram kanıtı olarak yeniden oluşturma adımları
Açık yeniden oluşturma adımları, hızlı ve doğru önceliklendirme yapmamızı sağlar ve mükerrer bildirimleri azaltır.
Ne beklemelisiniz
- Bildiriminizi 5 iş günü içinde teyit etmeyi hedefliyoruz.
- İlk değerlendirmeyi 10 iş günü içinde tamamlamayı hedefliyoruz ve süreç boyunca sizi bilgilendireceğiz.
- Düzeltmeyi etkiye, ciddiyete ve sorunun ne kadar kolay istismar edilebildiğine göre önceliklendiririz. Özellikle bir App Store yayını söz konusu olduğunda bazı düzeltmeler zaman alır.
- Sorun çözüldüğünde size haber vereceğiz ve düzeltmenin gerçekten sorunu giderdiğini teyit etmeye davetlisiniz.
RadContour küçük bir ekip tarafından geliştirilir. Tutamayacağımız aynı gün çözüm sözü vermektense, karşılayabileceğimiz beklentiler belirlemeyi tercih ederiz.
Katılım kuralları
Lütfen şunları yapmayın:
- Geçerli herhangi bir yasa veya düzenlemeyi ihlal etmek
- Sorunu göstermek için gerekenden fazla veriye erişmek — ve eriştiğiniz anda durun
- Size ait olmayan verileri değiştirmek veya silmek
- Yüksek yoğunluklu, istilacı veya tahrip edici tarama yapmak
- Hizmet reddi sorunlarını denemek veya bildirmek — bir hizmeti isteklerle boğmak dahil
- Hizmetlerimizin diğer kullanıcılar için erişilebilirliğini bozmak
- RadContour ile bağlantılı herhangi birine sosyal mühendislik, kimlik avı veya fiziksel saldırı uygulamak
- Sorunu bu politika dışında kamuya veya başka birine açıklamak
- Bir güvenlik açığını açıklamanın koşulu olarak ödeme talep etmek
Lütfen şunları yapın:
- Veri koruma yasasına uyun ve kullanıcılarımızın ve verilerine rastlayabileceğiniz herkesin gizliliğine saygı gösterin
- Araştırmanız sırasında elde edilen her veriyi artık gerekli olmadığı anda — ve her hâlükârda sorunun çözülmesinden itibaren bir ay içinde — güvenli biçimde silin
Eşgüdümlü açıklama
Güvenlik açıklarını hızla düzeltmeye kararlıyız. Bir düzeltme mevcut olmadan ayrıntıları yayımlamak kullanıcılar için riski artırır; bu yüzden sorunu teyit edene ve varsa bir düzeltme yayımlayana dek bulgularınızı gizli tutmanızı rica ederiz. Başkalarını daha erken bilgilendirmek için güçlü bir gerekçe olduğunu düşünüyorsanız önce bize ulaşın; birlikte bir yaklaşım üzerinde anlaşırız.
Sorunu düzeltmek için gerekli olduğunda bir bildirimi etkilenen sağlayıcılarla veya ilgili bir güvenlik makamıyla paylaşabiliriz. Açık izniniz olmadan adınızı veya iletişim bilgilerinizi paylaşmayız.
Takdir
Şu anda ücretli bir hata ödül programı yürütmüyoruz. Geçerli bir bildirim için anılmak isterseniz, nasıl anılmak istediğinizi bize bildirin; sorun çözüldüğünde sizi takdir ederiz.
Yasal
Bu politika, eşgüdümlü güvenlik açığı açıklaması için yaygın iyi uygulamaları izler. Yasayı çiğneyen hiçbir şekilde, ne de RadContour’u veya bir ortak kuruluşu kendi yasal yükümlülüklerini ihlal eder duruma getirecek hiçbir şekilde hareket etme yetkisi vermez. İyi niyetle ve bu politikaya uygun yürütülen araştırma, hakkınızda işlem başlatmamıza yol açmaz.