Säkerhetspolicy

Synkzone – Policy för rapportering av säkerhetssårbarheter

  1. Syfte

Synkzone välkomnar rapporter om misstänkta säkerhetssårbarheter i våra produkter och tjänster. Genom samarbete med säkerhetsforskare, kunder och partners vill vi identifiera och åtgärda brister samt minska risken för att de utnyttjas.

Denna policy beskriver hur sårbarheter rapporteras, hur vi hanterar rapporterna och hur vi samordnar ett eventuellt offentliggörande.

  1. Omfattning

Vi tar emot rapporter som rör Synkzones programvara, inklusive serverkomponenter, webbgränssnitt, API och klientapplikationer, samt webbplatser och tjänster som drivs av Synkzone.

Sårbarheter i Synkzones programvara kan rapporteras även när de upptäcks i en kund- eller partnerdriven installation. Denna policy ger däremot inte tillstånd att testa kunders, partners eller andra tredje parters miljöer.

Rapportering av en sårbarhet ersätter inte kundens ordinarie incidentrapportering eller avtalade kontaktvägar vid en pågående incident.

  1. Rapportera en sårbarhet

Skicka din rapport till security@synkzone.com. Vi tar emot rapporter på svenska och engelska.

Inkludera om möjligt:

  • Berörd produkt, version och komponent eller webbadress.
  • En beskrivning av sårbarheten och dess möjliga konsekvenser.
  • Steg för att återskapa problemet, gärna med ett begränsat demonstrationsexempel.
  • Relevanta loggutdrag eller skärmbilder med känsliga uppgifter borttagna.
  • Dina kontaktuppgifter, om du önskar återkoppling.

Rapportera gärna även om du inte har kunnat verifiera sårbarheten fullt ut.

Skicka inte lösenord, privata nycklar, kunddata eller säkerhetsskyddsklassificerade uppgifter i vanlig e-post. Om rapporten innehåller känslig information, kontakta oss först med en övergripande beskrivning så att vi kan komma överens om en lämplig säker överföringsväg.

  1. Ansvarsfull undersökning

Begränsa undersökningen till det som behövs för att identifiera och beskriva sårbarheten. Använd i första hand en egen testmiljö och syntetiska data.

Denna policy innebär inte ett generellt tillstånd till säkerhetstester. Tester i Synkzones driftmiljöer kräver föregående skriftlig överenskommelse. Tester i andra miljöer kräver tillstånd från den som har rätt att lämna sådant tillstånd.

Vid undersökning ska du:

  • Undvika driftstörningar, överbelastning och ändring eller förstöring av data.
  • Inte använda social manipulation, nätfiske eller fysisk åtkomst som testmetod.
  • Inte hämta, kopiera eller sprida andra användares information.
  • Inte försöka etablera bestående åtkomst eller utnyttja sårbarheten utöver vad som behövs för en begränsad verifiering.

Om du får oväntad åtkomst till information, en annan kundmiljö eller en kryptografiskt avskild zon ska du avbryta den delen av undersökningen och rapportera observationen. Försök inte kartlägga åtkomstens omfattning genom ytterligare åtkomst till andras data.

  1. Vår hantering

Vi hanterar rapporter sakligt och respektfullt och eftersträvar att:

  • Bekräfta mottagandet inom två arbetsdagar.
  • Lämna en första bedömning eller begäran om komplettering inom tio arbetsdagar.
  • Därefter hålla rapportören informerad om väsentliga framsteg och nästa steg.

Vi prioriterar åtgärder utifrån bland annat möjlig påverkan, förutsättningar för utnyttjande och berörda installationer. Åtgärdstiden kan därför variera. Angivna svarstider är målsättningar.

Information i rapporten delas endast med dem som behöver den för att utreda, åtgärda eller hantera sårbarheten.

  1. Samordnat offentliggörande

Vi ber dig att samordna offentliggörandet med oss så att berörda användare får rimlig möjlighet att skydda sina system.

Vi eftersträvar en gemensam överenskommelse om tidpunkt och innehåll, med hänsyn till sårbarhetens allvar, eventuell pågående exploatering och möjligheten att distribuera åtgärder. Om hanteringen fördröjs ska vi förklara orsaken och föreslå en reviderad tidsplan.

Vid behov publicerar vi säkerhetsinformation om berörda versioner, konsekvenser och rekommenderade åtgärder.

  1. Erkännande och ersättning

Vi tackar gärna rapportörer offentligt efter överenskommelse. Namn eller andra identifierande uppgifter publiceras endast med rapportörens samtycke.

Denna policy innebär inget löfte om ekonomisk ersättning. Eventuell ersättning kräver en separat överenskommelse.

  1. Ansvar och översyn

Synkzone ansvarar för att kontaktvägen är bevakad och att rapporter får en utsedd intern ansvarig. Policyn och tillhörande security.txt ses över minst årligen och vid förändringar av kontaktvägar eller rapporteringsprocess.