Prijava bezbednosnog incidenta ili ranjivosti

Za prijavu poslati mail na security@b4b.rs.
Podnosilac najpre treba da zatraži bezbedan kanal za dokaze
Kontakt forma je u izradi

1.1. Kada koristiti ovaj kanal

Ovaj kanal je namenjen prijavi sumnje na incident informacione bezbednosti ili privatnosti koji se odnosi na B4B veb-sajt, javno dostupne sisteme, komunikaciju ili usluge pod kontrolom B4B, kao i odgovornom prijavljivanju tehničke ranjivosti. Za incident u SAP ili drugom sistemu klijenta koristite ugovoreni servisni kanal i SLA; ne šaljite produkcione podatke kroz javnu formu.

1.2. Šta navesti

• ime i kontakt podnosioca, ili napomenu da želi anonimnu komunikaciju ako je kanal podržava;
• vrstu događaja, pogođeni URL/sistem i datum/vreme opažanja;
• jasan opis i korake za bezbednu reprodukciju;
• procenu uticaja i razlog zbog kog smatrate da postoji rizik;
• minimalne dokaze potrebne za proveru, bez nepotrebnih podataka o ličnosti i bez poslovnih tajni trećih lica;
• da li je ranjivost već saopštena drugome ili javno objavljena.

1.3. Pravila odgovornog prijavljivanja

Molimo da delujete u dobroj veri i da:

• ne pristupate podacima više nego što je nužno da se potvrdi postojanje problema;
• ne preuzimate, menjate, brišete, šifrujete ili objavljujete podatke;
• ne narušavate dostupnost, ne koristite uskraćivanje usluge, socijalni inženjering, phishing, fizički pristup, spam ili automatizovane napade velikog obima;
• ne testirate sisteme klijenata, dobavljača ili SAP-a bez njihovog izričitog odobrenja;
• ranjivost držite poverljivom dok B4B ne potvrdi otklanjanje ili ne dogovori razuman rok za objavu;
• poštujete zakon i instrukcije B4B tokom koordinacije.

1.4. Postupanje B4B

B4B će potvrditi prijem u razumnom roku 2 radna dana, izvršiti početnu procenu i, kada je moguće, saopštiti status i okvir daljeg postupanja. Prioritet i rok zavise od ozbiljnosti, uticaja, složenosti, zavisnosti od trećih strana i ugovornih obaveza. B4B ne obećava nagradu niti javno priznanje, osim ako to prethodno pisano dogovori.

Prijave se evidentiraju, klasifikuju, istražuju i zatvaraju u skladu sa procedurama upravljanja incidentima, ranjivostima, privatnošću, IT uslugama i kontinuitetom poslovanja B4B.

1.5. Zaštita prijavioca i ograničenja

B4B neće pokretati zahtev prema istraživaču koji postupa u dobroj veri, u granicama ovih pravila i bez štetnih posledica, ali ova izjava nije dozvola za pristup tuđim sistemima, podacima ili kršenje zakona i ne može obavezati treća lica. Ako niste sigurni da je određena radnja dozvoljena, prvo pošaljite opis planiranog testa bez sprovođenja.

1.6. Hitni incidenti

Ako incident predstavlja neposrednu opasnost po život, fizičku bezbednost ili kritičnu infrastrukturu, obratite se nadležnim hitnim službama i paralelno obavestite B4B. Za ugovorne klijente primenjuju se ugovoreni kontakti za eskalaciju.