Die folgenden Richtlinien zur verantwortungsvollen Offenlegung von Schwachstellen beschreiben das freiwillige Programm, durch das NEXGAP mit Parteien zusammenarbeitet, die potenzielle Sicherheitsschwachstellen identifizieren. Diese Richtlinien bieten eine Anleitung zur Identifizierung sowie der Übermittlung von Informationen über potenzielle Risiken und gelten nur für den zuvor beschriebenen Zweck.

Kunden vertrauen darauf, dass wir ihnen dabei helfen, eines ihrer wichtigsten Güter, und zwar die Infrastruktur vor möglichen Kompromittierungen zu schützen, indem wir mit geprüften und zertifizierten Hackern zusammenarbeiten. Unsere Arbeit basiert hauptsächlich auf Vertrauen — dieses Vertrauen muss durch Transparenz, Sicherheit, Datenschutz sowie durch die Einhaltung von Richtlinien verdient werden.

Ein qualitativ hochwertiger Bericht ist wichtig, damit wir schnellstmöglich die betroffene Schwachstelle bestätigen und beheben können. Machen Sie sich bitte mit den Richtlinien bekannt, bevor Sie uns kontaktieren.

—Ein vollständiger Bericht enthält

Wir empfehlen dringend, einen funktionierenden Exploit anstelle eines PoC beizufügen. Wir akzeptieren Berichte ohne diese Information, jedoch wären Berichte mit mehr Details sinnvoll. Wenn Ihre Meldung nicht die erforderlichen Informationen enthält, die es uns ermöglichen, das Problem zu reproduzieren, können wir Ihrer Meldung möglicherweise nicht nachkommen.

Für Parteien, die im guten Glauben eine Schwachstelle gemeldet haben und mit Übereinstimmung mit diesen Richtlinien sind, wird NEXGAP keine Strafverfolgungs- oder Zivilprozesse im Zusammenhang mit diesen Aktivitäten einleiten oder empfehlen und im Falle einer Strafverfolgung oder eines Zivilprozesses, der von einer anderen Person als NEXGAP angestrengt wird, wird NEXGAP angemessene Schritte unternehmen, um bekannt zu machen, dass diese Aktivitäten gemäß und in Übereinstimmung mit diesen Richtlinien durchgeführt wurden.

NEXGAP autorisiert, erlaubt oder gestattet (ausdrücklich oder stillschweigend) niemandem, sich an illegalen Aktivitäten zu beteiligen. Wenn Sie sich an Aktivitäten beteiligen, die mit diesen Richtlinien oder mit geltendem Recht unvereinbar sind, können Sie u.a. haftbar gemacht werden.

NEXGAP hat sich verpflichtet, schnell zu antworten und Sie über unsere Fortschritte bei der Untersuchung bzw. Behebung Ihres gemeldeten Sicherheitsproblems laufend zu informieren. Innerhalb von 24 Stunden erhalten Sie eine nicht automatisierte Antwort auf Ihre erste Kontaktanfrage, in welcher der Empfang Ihrer gemeldeten Schwachstelle bestätigt wird. Mindestens alle fünf Geschäftstage erhalten Sie eine Statusaktualisierung.

Sofern zutreffend, koordiniert NEXGAP die öffentliche Bekanntgabe einer bestätigten Schwachstelle mit Ihnen. Wir ziehen es nach Möglichkeit vor, dass unsere jeweiligen öffentlichen Bekanntgaben gleichzeitig veröffentlicht werden.

Zum Schutz unserer Kunden bittet NEXGAP Sie, keine Informationen zu einer potenziellen Schwachstelle zu veröffentlichen, bis wir die gemeldete Schwachstelle untersucht, darauf reagiert, uns ihrer angenommen und Kunden bei Bedarf informiert haben. Außerdem bitten wir Sie höflich, keine Daten zu veröffentlichen oder mit anderen zu teilen, die unseren Kunden gehören. Das Beheben einer gültigen gemeldeten Schwachstelle dauert einige Zeit, und der Zeitplan hängt vom Schweregrad der Schwachstelle und von den betroffenen Systemen ab.

NEXGAP macht öffentliche Bekanntgaben in Form von Sicherheitsberichten, die im NEXGAP-Sicherheitszentrum veröffentlicht werden. Einzelpersonen, Unternehmen und Sicherheitsteams veröffentlichen ihre Ratschläge zumeist auf ihren eigenen Websites oder in anderen Foren. Sofern relevant, fügen wir in NEXGAP-Sicherheitsberichten Links zu den Ressourcen von Dritten hinzu.

Nach Eingang des Berichts macht sich NEXGAP an die Prüfung der gemeldeten Schwachstelle. Falls weitere Informationen bei der Bestätigung oder Reproduktion des Problems benötigt werden, wendet sich NEXGAP zwecks Unterstützung an Sie. Nach Abschluss der Untersuchung erhalten Sie die Ergebnisse, zu denen ein Plan zur Behebung gehört. Außerdem erfolgt eine Besprechung der öffentlichen Bekanntgabe.