Verantwortungsbewusste Offenlegung

Richtlinie von Mimecast zur verantwortungsvollen Offenlegung

Mimecast betrachtet den Schutz von Kundendaten als eine große Verantwortung, die für uns höchste Priorität genießt, da wir unseren Kunden in jeder Phase ihrer Customer Journey ein herausragendes Erlebnis bieten möchten. Wir nehmen die Sicherheit unserer Systeme daher äußerst ernst und schätzen die Unterstützung von Sicherheitsforschern und anderen Mitgliedern der Sicherheitsgemeinschaft bei der Gewährleistung der Sicherheit unserer Systeme sehr. Gemeinsam können wir die Situation verbessern und Wege finden, um Herausforderungen zu meistern. Mimecast berücksichtigt die Sichtweisen anderer, um die cyber resilience zu stärken. Die verantwortungsvolle Offenlegung von Sicherheitslücken hilft uns dabei, die Sicherheit und den Datenschutz aller unserer Nutzer zu gewährleisten. Sollten Sie eine Sicherheitslücke entdecken, würden wir uns freuen, wenn Sie uns gemäß dieser Richtlinie darüber informieren, damit wir das Problem so schnell wie möglich beheben können. Gemeinsam können wir durch Zusammenarbeit, Kommunikation und gegenseitige Rechenschaftspflicht unsere Ziele erreichen.

Weitere Informationen zu unseren Zertifizierungen finden Sie in unserem Trust Center.

Leitlinien für die verantwortungsvolle Offenlegung

• Führen Sie Forschungsarbeiten ausschließlich im Rahmen des in dieser Richtlinie festgelegten „Geltungsbereichs“ durch;
• „Mimecast-Kunden sollten für alle Meldungen, die nicht sicherheitsrelevant sind, einen Fall eröffnen.“
• Um uns dabei zu helfen, Art und Ausmaß der potenziellen Sicherheitslücke besser zu verstehen, besuchen Sie bitte https://bugcrowd.com/ und füllen Sie das Formular mit möglichst vielen Angaben aus. Wenn Sie fertig sind, klicken Sie auf „Sicherheitslücke melden“, um Ihren Bericht an Mimecast zu übermitteln;
• Behandeln Sie Informationen über jede von Ihnen entdeckte Sicherheitslücke vertraulich – ausschließlich zwischen Ihnen und Mimecast –, bis wir mindestens 90 Tage Zeit hatten, das Problem zu prüfen und zu beheben. Es ist wichtig zu beachten, dass der Zeitaufwand für die Prüfung und Behebung eines Problems von einer Reihe von Faktoren abhängen kann, darunter unter anderem die Komplexität der Sicherheitslücke sowie das damit verbundene Risiko;
• Halten Sie die Kommunikationskanäle offen, um eine effektive Zusammenarbeit zu ermöglichen;
• Bemühen Sie sich nach Kräften, Datenschutzverletzungen, eine Beeinträchtigung der Benutzererfahrung, Störungen der Produktionssysteme und die Zerstörung von Daten während der Sicherheitstests zu vermeiden

Was Sie von uns erwarten können:

• Wir werden gemeinsam mit Ihnen daran arbeiten, das Problem zu verstehen und zu beheben, um den Schutz unserer Kunden und Systeme zu verbessern;
• Sofern Sie die oben dargelegten Richtlinien befolgen, werden wir keine rechtlichen Schritte im Zusammenhang mit Ihrer Forschung einleiten oder unterstützen;
• Wir werden uns bemühen, Ihre Meldung innerhalb von drei Werktagen nach Eingang zu beantworten.

Im Geltungsbereich

• www.mimecast.com
• MTA-Server
• POP-Server
• Dienst zum Large File Send (LFS)
• Secure Messaging (SM)-Dienst
• unified Audit-Dienstprogramm
• Verwaltungskonsole
• Persönliches Portal
• Service-Monitor
• API
• Web-Sicherheit
• DMARC Analyzer
• Aware

Außerhalb des Geltungsbereichs

Alle von Drittanbietern bereitgestellten Dienste sind vom Geltungsbereich ausgeschlossen. Zu diesen Dienstleistungen gehören:

• Mimecast-Wissensdatenbank (kb.mimecast.com);
• Mimecast Academy (academy.mimecast.com);
• https://community.mimecast.com;
• sowie alles andere, was im obigen Abschnitt „Geltungsbereich“ nicht ausdrücklich genannt wurde.

Im Interesse der Sicherheit unserer Kunden, unserer Mitarbeiter, des Internets insgesamt sowie Ihrer Person als Sicherheitsforscher sind die folgenden Testarten vom Untersuchungsumfang ausgeschlossen:

• Jeder Versuch, Daten zu verändern oder zu vernichten;
• Erkenntnisse, die in erster Linie aus Social Engineering gewonnen wurden (z. B. Phishing);
• Befunde aus Anwendungen oder Systemen, die nicht im Abschnitt „Geltungsbereich“ aufgeführt sind;
• Sicherheitslücken auf Netzwerkebene, die zu einem Denial-of-Service (DoS/DDoS) führen können, oder sonstige Versuche, die von Mimecast angebotenen Dienste zu unterbrechen oder deren Qualität zu beeinträchtigen, einschließlich der Beeinträchtigung der Möglichkeit für Endnutzer, den Dienst zu nutzen;
• Jegliche Versuche, auf das Konto oder die Daten eines Nutzers zuzugreifen;
• Und alles, was nach geltendem Recht nicht zulässig ist...

Relevante Sicherheitslücken

Sicherheitslücken in Webanwendungen wie XSS, XXE, CSRF, SQLi, lokale oder entfernte Dateieinbindung, Authentifizierungsprobleme, Remote-Code-Ausführung, Autorisierungsprobleme, Rechteausweitung und Clickjacking. Die Sicherheitslücke muss in einem der Dienste liegen, die im obigen Abschnitt „Geltungsbereich“ aufgeführt sind. Sie müssen der erste Forscher sein, der die Sicherheitslücke verantwortungsbewusst offenlegt, und Sie müssen die in dieser Richtlinie festgelegten Leitlinien zur verantwortungsvollen Offenlegung befolgen, wozu auch gehört, dass Sie uns eine angemessene Frist einräumen, um die Sicherheitslücke zu beheben. Wir werden mit Ihnen nach der Offenlegung der Sicherheitslücke einen angemessenen Zeitrahmen vereinbaren.

Obwohl jede Meldung individuell geprüft wird, finden Sie hier eine Liste einiger Punkte, die nicht als Sicherheitslücken gelten:

• Probleme im Zusammenhang mit TLS/SSL;
• SPF-, DMARC und DKIM-Konfigurationen;
• Fehlende Sicherheits-Header oder Content-Security-Policies (CSP);
• CAPTCHAs fehlen als Sicherheitsmechanismus;
• Fehlende Kennzeichnungen auf Keksen;
• Aufzählung von Benutzernamen
• Sicherheitslücken in Produkten, deren Lebenszyklus beendet ist;
• Die Möglichkeit, eine Seite in einem iFrame einzubinden / Clickjacking;
• HTML-Injektion ohne Auswirkungen auf die Sicherheit;
• Funktionen zur Kontosperrung oder zur Begrenzung der Zugriffshäufigkeit;
• CSRF-Angriffe, die keine Auswirkungen haben oder keine Berechtigungsgrenze überschreiten;
• Datenschutzverletzungen bei Drittanbietern, die nicht im Einflussbereich von Mimecast liegen (z. B. Google, GitHub, Pastebin usw.);
• Sensible Links in E-Mails zu Mimecast-Produkten, die in Diensten von Drittanbietern indexiert werden, wenn sie von Kunden direkt oder indirekt offengelegt werden;
• Verwendung einer Bibliothek, bei der eine Sicherheitslücke bekannt ist, ohne dass ein Nachweis für die Ausnutzbarkeit vorliegt;
• Sicherheitslücken von Drittanbietern, für die noch kein Sicherheitshinweis veröffentlicht wurde oder die erst kürzlich (vor weniger als 30 Tagen) veröffentlicht wurden;
• Bereits gemeldete Sicherheitslücken bzw. solche, deren Behebung derzeit im Gange ist;
• Angriffe durch die Übernahme von Subdomains ohne Nachweis; ein häufiges Fehlalarmbeispiel ist smartlinggdn.mimecast.com;
• Host-Header-Injektionen, wenn der Angriffsvektor einen MITM-Angriff erfordert oder wenn der Header nicht zurückgespiegelt wird;
• Offenlegung von Informationen (z. B. JavaScript-Dateien, API-Schlüssel – Google Maps), es sei denn, es kann nachgewiesen werden, dass es sich um vertrauliche Daten handelt;