Introduktion
IT Minds ønsker et tæt og konstruktivt samarbejde med sikkerhedsforskere, brugere og eksterne partnere. Denne politik beskriver, hvordan du kan rapportere sårbarheder ansvarligt, og hvordan vi behandler indberetningerne.
Anvendelsesområde
Politikken gælder for alle, der finder potentielle sikkerhedssvagheder i IT Minds’ systemer, tjenester eller infrastruktur. Den omfatter eksterne bidragydere og interne medarbejdere, der ønsker at rapportere identificerede fejl eller sårbarheder.
Omfang og undtagelser
Vi ønsker rapporter om sikkerhedssvagheder, konfigurationsfejl og potentielle angrebsveje. Rapportering bør ikke omfatte bevidst destruktive handlinger, adgang til systemer uden godkendelse eller forsøg på eksfiltration af data, da sådanne handlinger kan være ulovlige.
Hvad vi forventer af dig
Vi forventer, at du handler ansvarligt og undgår unødig skade eller forstyrrelse. Du må ikke tilgå, ændre, slette eller eksfiltrere data ud over det, der er nødvendigt for at bekræfte sårbarheden. Du må ikke offentliggøre eller dele detaljer om fundne sårbarheder, før vi har haft mulighed for at håndtere sagen.
Giv os detaljerede oplysninger, så vi kan reproducere problemet, herunder påvirkede systemer, angrebsvektor og trin til reproduktion.
Hvad du kan forvente af os
Vi bekræfter modtagelsen af din rapport senest 5 arbejdsdage efter indsendelse. Vi vurderer fundet og prioriterer handlinger ud fra risiko og omfang. Vi informerer om status og næste skridt, når det er relevant, og vi respekterer dit ønske om anerkendelse, hvis du ønsker det.
Rapportering
Send rapporter til security@it-minds.dk. Angiv så mange oplysninger som muligt, herunder:
- beskrivelser af den identificerede sårbarhed
- påvirkede systemer eller domæner
- trin til reproduktion
- potentielle konsekvenser
- dokumentation eller skærmbilleder.
Marker rapporten tydeligt, hvis du vurderer, at fundet er kritisk eller haster.
Kontaktalternativer
Hvis du ikke kan bruge den primære kanal, kan du kontakte People & Culture direkte. Hvis der er behov for det, kan vi tilbyde alternative rapporteringsveje, der understøtter fortrolighed.
Safe harbor
Hvis du følger denne politik i god tro, vil IT Minds ikke retsforfølge dig for ansvarlig sikkerhedsforskning. Uautoriseret adgang, datatyveri eller handlinger, der forårsager skade på systemer, er stadig ulovligt og kan være i strid med dansk lovgivning.
Revision
Denne politik revideres mindst én gang årligt eller ved ændringer i vores sikkerhedspraksis.