Politica di divulgazione responsabile di Mimecast

Mimecast considera la protezione dei dati dei clienti una responsabilità fondamentale e le attribuisce la massima priorità, poiché desideriamo offrire ai nostri clienti un'esperienza eccezionale in ogni fase del loro percorso. Prendiamo quindi molto sul serio la sicurezza dei nostri sistemi e apprezziamo sinceramente il contributo dei ricercatori di sicurezza e di altri membri della comunità di sicurezza, che ci aiutano a garantire la sicurezza dei nostri sistemi. Insieme possiamo migliorare le cose e trovare soluzioni alle sfide. Mimecast accoglie le prospettive altrui al fine di rafforzare la resilienza informatica. La segnalazione responsabile delle vulnerabilità di sicurezza ci aiuta a garantire la sicurezza e la privacy di tutti i nostri utenti. Se individuate una vulnerabilità, vi saremmo grati se ce lo segnalaste in conformità con la presente Politica, in modo da poter risolvere il problema il prima possibile. Insieme possiamo raggiungere i nostri obiettivi attraverso la collaborazione, la comunicazione e la responsabilità.

Per ulteriori informazioni sulle nostre certificazioni, visita il nostro centro di fiducia.

Linee guida per la segnalazione responsabile

• Effettuare ricerche solo nell’ambito dell’“Ambito di applicazione” definito nella presente Politica;
• I clienti Mimecast devono aprire un ticket per qualsiasi segnalazione non relativa alla sicurezza;
• Per aiutarci a comprendere la natura e la portata della potenziale vulnerabilità, visita https://bugcrowd.com/3905fe58-e58e-491d-87dc-a8a9264eb662/external/report e compila il modulo fornendo quante più informazioni possibili. Una volta completato, fare clic su “Segnala vulnerabilità” per inviare la segnalazione a Mimecast;
• Mantenete riservate le informazioni relative a qualsiasi vulnerabilità che avete scoperto, limitandone la condivisione a voi stessi e a Mimecast, fino a quando non avremo avuto almeno 90 giorni per esaminare e risolvere il problema. È importante notare che i tempi necessari per esaminare e risolvere un problema possono variare in base a una serie di fattori, tra cui la complessità della vulnerabilità e il rischio che essa possa comportare;
• Mantenete aperti i canali di comunicazione per consentire una collaborazione efficace;
• Fai tutto il possibile per evitare violazioni della privacy, un peggioramento dell’esperienza utente, interruzioni dei sistemi di produzione e la distruzione dei dati durante i test di sicurezza

Cosa potete aspettarvi da noi:

• Lavoreremo con voi per comprendere e risolvere il problema, nell’ottica di aumentare la protezione dei nostri clienti e dei nostri sistemi;
• Se seguirete le linee guida sopra indicate, non intraprenderemo né sosterremo alcuna azione legale relativa alla vostra ricerca;
• Ci impegneremo a rispondere alla vostra segnalazione entro 3 giorni lavorativi dall’invio
  
  

Ambito di applicazione

Fuori dall'ambito

Sono esclusi dall'ambito di applicazione tutti i servizi ospitati da fornitori terzi. Tali servizi includono:

• Knowledge Base di Mimecast (kb.mimecast.com);
• Mimecast Academy (academy.mimecast.com);
• https://community.mimecast.com;
• e qualsiasi altro servizio non esplicitamente indicato nella sezione "Ambito di applicazione" sopra riportata.

Nell’interesse della sicurezza dei nostri clienti, del personale, di Internet in generale, nonché di voi in qualità di ricercatori di sicurezza, i seguenti tipi di test sono esclusi dall’ambito di applicazione:

• Qualsiasi tentativo di modificare o distruggere dati;
• Risultati derivanti principalmente dall’ingegneria sociale (ad es. phishing);
• Risultati provenienti da applicazioni o sistemi non elencati nella sezione “Ambito di applicazione”;
• Vulnerabilità di tipo Denial of Service (DoS/DDoS) a livello di rete o qualsiasi altro tentativo di interrompere o compromettere i servizi offerti da Mimecast, compresa la capacità degli utenti finali di utilizzare il servizio;
• Qualsiasi tentativo di accedere all’account o ai dati di un utente;
• E qualsiasi altra azione non consentita dalla legge applicabile...
   

Vulnerabilità ammissibili

Che cos’è una “vulnerabilità ammissibile”?

Vulnerabilità delle applicazioni web quali XSS, XXE, CSRF, SQLi, inclusione di file locale o remota, problemi di autenticazione, esecuzione di codice remoto e problemi di autorizzazione, escalation dei privilegi e clickjacking. La vulnerabilità deve riguardare uno dei servizi indicati nella sezione “Ambito di applicazione” sopra riportata. Devi essere il primo ricercatore a segnalare la vulnerabilità in modo responsabile e devi seguire le linee guida sulla segnalazione responsabile stabilite nella presente Politica, che prevedono di concederci un lasso di tempo ragionevole per risolvere la vulnerabilità. Confermeremo con te il lasso di tempo ragionevole a seguito della segnalazione della vulnerabilità.

Cosa non costituisce una “vulnerabilità ammissibile”?

Sebbene ogni segnalazione venga valutata caso per caso, di seguito è riportato un elenco di alcuni dei problemi che non sono considerati vulnerabilità di sicurezza:

• problemi relativi a TLS/SSL;
• Configurazioni SPF, DMARC, DKIM;
  Intestazioni di sicurezza mancanti o Content-Security Policies (CSP);
• Mancanza di CAPTCHA come meccanismo di protezione della sicurezza;
• Mancanza di flag sui cookie;
• Enumerazione dei nomi utente
• Vulnerabilità nei prodotti a fine ciclo di vita;
• Possibilità di incorporare una pagina tramite iFrame/clickjacking;
• Iniezione HTML senza alcun impatto sulla sicurezza;
• Funzionalità di blocco dell'account o di limitazione della frequenza;
• Attacchi CSRF senza alcun impatto o che non superano i limiti di autorizzazione;
• Fughe di informazioni o credenziali di terze parti che non rientrano nel controllo di Mimecast (ad es. Google, Github, Pastebin ecc.);
• Link sensibili contenuti nelle e-mail relative ai prodotti Mimecast indicizzati in servizi di terze parti quando divulgati dai clienti, direttamente o indirettamente;
• Utilizzo di una libreria nota per essere vulnerabile senza prova di sfruttabilità;
• Vulnerabilità di terze parti per le quali non è stato pubblicato alcun avviso o per cui l’avviso è stato pubblicato di recente (meno di 30 giorni fa);
• Vulnerabilità già segnalate o per le quali è in corso una correzione;
• Attacchi di takeover di sottodomini senza prova; un falso positivo comune è smartlinggdn.mimecast.com;
• Iniezioni nell’intestazione dell’host quando il vettore di attacco richiede un attacco MITM o quando l’intestazione non viene riflessa;
• Esposizione di informazioni (ad es. file Javascript, chiavi API - Google Maps), a meno che non sia possibile dimostrare che i dati siano privati;