Política de divulgação responsável da KORE

Introdução

Se você descobriu uma vulnerabilidade em um sistema, rede ou aplicativo do Grupo KORE (que inclui a entidade controladora e todas as afiliadas e subsidiárias), gostaríamos de ser informados para que possamos tomar as medidas adequadas para corrigir o problema o mais rápido possível. Descreveremos as regras de engajamento abaixo, que tanto a KORE quanto você deve seguir.

Política

Na KORE, levamos a segurança da informação muito a sério. Entendemos que nenhum sistema pode ser totalmente seguro e, portanto, sempre temos em mente que podem existir vulnerabilidades em nossos sistemas. Como consideramos a confidencialidade e integridade das informações de nossos clientes uma prioridade, gostaríamos que você nos notificasse caso uma vulnerabilidade tenha sido identificada em nossos sistemas.

Nossa Política de Divulgação Responsável consiste em um conjunto de regras que tanto a KORE quanto a pessoa que relata a vulnerabilidade devem aderir. Observe que a KORE não tem o chamado “programa de recompensa por bug”, pelo qual pode fornecer (grandes quantias de) recompensas financeiras para o identificador de uma vulnerabilidade.

O que a KORE fará?

• Sempre investigaremos e responderemos a todas as notificações
• Responderemos a uma notificação dentro de 3 dias úteis e trataremos as informações pessoais do descobridor como confidenciais
• Se confirmarmos a existência de uma vulnerabilidade, manteremos o descobridor informado sobre o prazo razoável dentro do qual desejamos resolver o problema
• Se decidirmos tornar a vulnerabilidade pública, consultaremos a pessoa que encontrou a vulnerabilidade. Forneceremos reconhecimento público ao descobridor se ele permitir
• Se esta política for cumprida, o KORE se absterá de relatar (tentativas) de atividades de hacking à polícia

O que requeremos de você

• Você relatará a vulnerabilidade identificada exclusivamente a KORE e, portanto, não a terceiros
• Seu relatório deve conter o máximo de informações possível para permitir a identificação da vulnerabilidade. Essas informações incluem, entre outras: endereços IP, arquivos de log, URLs, informações de data / hora, capturas de tela, etc
• Você fará com que suas ações durante e após o processo de identificação de vulnerabilidades sejam todas feitas de boa fé, o que significa que você deverá:
• Não usar ou explorar a vulnerabilidade para qualquer outra finalidade que não seja verificar a existência da vulnerabilidade
• Não copiar, alterar, mover ou remover qualquer informação do sistema relevante
• Não fará nenhuma alteração no próprio sistema relevante
• Não irá, de nenhuma forma, fornecer ou ajudar a fornecer acesso ao sistema relevante
• O autor da descoberta pode relatar a vulnerabilidade identificada anonimamente. No entanto, para fins de comunicação de acompanhamento, precisaremos de um endereço de e-mail válido

Como reportar?

Para relatar uma vulnerabilidade identificada em qualquer um de nossos sistemas para nós, você deve entrar em contato com dpo.br@korewireless.com.Para salvaguardar a confidencialidade e integridade das informações, gostaríamos que você criptografasse as informações. Nossa chave pública está listada abaixo ou pode ser obtida de servidores de chaves PGP usuais. Nosso ID de chave é 1BAF317C, 4.096 bits RSA, criado em 03/05/2019, expira em 03/05/2024, com impressão digital da chave:

A maneira mais fácil de recuperar nossa chave::

Abaixo está nossa chave pública:

Quando essas regras não forem cumpridas

No caso de você hackear um de nossos sistemas e não seguir as regras descritas neste procedimento, a KORE sempre relatará o incidente à polícia.