Въведение В Европейската комисия сигурността на нашите комуникационни и информационни системи е основен приоритет в съответствие с Решение (ЕО) № 2017/46 на Комисията. Въпреки полаганите максимални усилия обаче уязвимостите никога не могат да бъде напълно избегнати. Когато уязвимости бъдат установени и използвани, това излага на риск поверителността, целостта или наличността на системите на Европейската комисия и обработваната в тях информация. Тази политика за оповестяване на уязвимости описва кои системи и видове тестове са разрешени и как се изпращат доклади за уязвимости. Насърчаваме ви да се свържете с нас, за да съобщите за потенциални проблеми със сигурността в нашите системи, като следвате тази политика. Разрешение Ако действате добросъвестно за идентифициране и докладване на уязвимости в системите на Европейската комисия, като същевременно спазвате тази политика, ще работим с вас, за да разберем и разрешим бързо проблемите. Европейската комисия няма да предприема правни действия, свързани с вашите дейности за установяване на уязвимости в нашите системи, при условие че следвате насоките в тази политика. Приложно поле Тази политика се прилага за всички свързани с интернет системи на Европейската комисия, включително присъствието на Европейската комисията в интернет *.ec.europa.eu/* *.commission.europa.eu/* публични IP адреси, рекламирани съгласно ASN 42848, и свързани с тях услуги всеки друг софтуер, публикуван от Европейската комисия Всички услуги, които не са изрично изброени по-горе, са изключени от приложното поле и не са разрешени за изпитване. Освен това уязвимостите, открити в системите от доставчици, също са изключени от приложното поле и следва да бъдат докладвани директно на доставчика в съответствие с тяхната политика за разкриване на информация (ако е приложимо). Насоки Когато извършвате дейността си, задължително е да не се възползвайте от уязвимостта или проблема, който сте открили, например като изтеглите повече данни, отколкото е необходимо, за да докажете уязвимостта, изтривате или променяте данните на други лица да използвате само безвредни средства, за да потвърдите наличието на уязвимост да не разкривате никакви данни, изтеглени по време на откриването, на обществеността или на други страни да не разкривате уязвимостта или проблема на обществеността или на други страни, докато не бъде разрешен да спрете тестовете, когато откриете чувствителна информация (информация за самоличността — PII, медицинска, финансова, лична информация или търговски тайни) и да ни уведомите незабавно, както и да не разкривайте никакви получени данни на други лица Не извършвайте следните действия поставяне на зловреден софтуер (вирус, червей, троянски кон и др.) в системите компрометиране на системите, използвайки средства, за да получите пълен или частичен контрол копиране, изменяне или изтриване на данни от системата внасяне на промени в системата многократно осъществяване на достъп в системата или споделяне на достъп с обществеността и други страни използване на получен достъп, за да се опитате да получите достъп до други системи промяна на правата за достъп на други потребители използване на автоматизирани инструменти за сканиране използване на така наречената „груба сила“ за достъп до системи използване на отказ от обслужване или социално инженерство (фишинг, вишинг, спам и др.) използване на атаки срещу физическата сигурност Докладване на уязвимост Как бихме искали да сътрудничим с вас Ако сте открили уязвимост, моля, изпратете констатациите си във възможно най-кратък срок на адрес EC-VULNERABILITY-DISCLOSUREec [dot] europa [dot] eu (EC-VULNERABILITY-DISCLOSURE[at]ec[dot]europa[dot]eu), като посочите дали сте съгласни вашето име или псевдоним да станат публично достъпни като име на откривателя на проблема. криптирайте вашите констатации с помощта на нашия PGP ключ, за да предотвратите попадането на тази важна информация в погрешни ръце предоставете ни достатъчно информация, за да възпроизведем проблема, така че да можем да го разрешим възможно най-бързо. Обикновено IP адресът или URL адресът на засегнатата система и описанието на уязвимостта ще бъдат достатъчни, но сложните уязвимости може да изискват допълнително обяснение с техническа информация или потенциален код за доказване на концепцията. представете доклада си на английски език или на друг официален език на Европейския съюз Какво можете да очаквате от нас В замяна обещаваме следното, когато ни съобщите за уязвимост, а именно: отговор на вашия доклад в рамките на три (3) работни дни с наша оценка на доклада вашият доклад ще бъде обработван при строга поверителност когато е възможно, ще ви информираме, когато уязвимостта е отстранена личните данни, които предоставяте (като например вашия електронен адрес и име), ще бъдат обработвани в съответствие с приложимото законодателство за защита на данните и няма да предадем личните ви данни на трети страни без ваше разрешение. името ви ще бъде публикувано като име на откривателя на проблема, ако сте се съгласили с това в първоначалното си електронно писмо, в момента когато и при условие, че оповестим проблема публично
