Schwachstelle meldenMelden Sie es. Wir antworten.

Wenn Sie eine Schwachstelle in einer NOUSEC-Oberfläche gefunden haben, sagt Ihnen diese Seite, wohin Sie sie schicken, was wir als im Umfang betrachten und was wir im Gegenzug zusagen. Wir verkaufen Human Risk Management – das Mindeste ist, beim eigenen Risiko offen zu sein.

Schwachstelle meldenUmfang ansehen
[email protected] · Erste Antwort binnen 2 Werktagen · Englisch und Türkisch
Umfang ist eine Entscheidung – vier Dinge speichern wir, vier fassen wir nie anWAS WIR SPEICHERNWAS WIR NIE ANFASSENGeschäftliche E-Mail-AdresseName und AbteilungSimulationsergebnisTrainingsabschlussEndpoint-AgentInstallation auf GerätenBrowserverlaufTastatureingabenAuf Mitarbeitergeräten wird nichts installiert.Die rechte Spalte ist eine Entscheidung, keine Lücke.
Umfang ist eine Entscheidung – vier Dinge speichern wir, vier fassen wir nie anWAS WIR SPEICHERNGeschäftliche E-Mail-AdresseName und AbteilungSimulationsergebnisTrainingsabschlussWAS WIR NIE ANFASSENEndpoint-AgentInstallation auf GerätenBrowserverlaufTastatureingabenEine Entscheidung, keine Lücke.

So melden Sie

Eine Adresse, von einem Menschen gelesen. Kein Formular, kein Konto.

Schritt 1
Schreiben Sie an [email protected]
Nennen Sie die betroffene URL oder den Endpoint, die Schritte zum Nachstellen und Ihre Beobachtung. Screenshots oder eine kurze Aufzeichnung helfen. Gelesen wird auf Englisch und Türkisch.
Schritt 2
Bestätigung binnen 2 Werktagen
Eine menschliche Antwort, ob wir es nachstellen konnten – keine automatische Eingangsbestätigung. Dauert die Untersuchung länger, sagen wir das, statt zu schweigen.
Schritt 3
Wir beheben – und sagen es Ihnen
Sie erfahren, was sich geändert hat und wann es ausgeliefert wurde. Wenn Sie möchten, nennen wir Sie im Advisory; möchten Sie anonym bleiben, ist das ebenso in Ordnung.

Derselbe Kontakt steht gemäß RFC 9116 in unserer security.txt.

Umfang

Klar benannt, denn eine Richtlinie mit vagem Umfang zwingt Forschende zum Raten – und falsches Raten ist der Weg, auf dem gutgläubige Forschung zum Vorfall wird.

Im Umfang
nousec.com
Die Website und alles, was von ihr ausgeliefert wird, einschließlich des Endpoints für Demo-Anfragen.
Im Umfang, mit Grenzen
login.nousec.com
Die Anmelde- und Anwendungsoberfläche der Plattform, getestet mit einem eigenen Konto. Keine automatisierten Scans, keine Last- oder Stresstests und kein Versuch, Daten eines anderen Mandanten oder einer anderen Person zu erreichen. Innerhalb dieser Grenzen sind Funde willkommen und von der Zusage unten gedeckt.
Außerhalb des Umfangs
Dienste Dritter, die wir nicht kontrollieren
Funde in Diensten, die NOUSEC nutzt, aber nicht betreibt, gehören an den jeweiligen Anbieter. Wenn Sie nicht sicher sind, wem eine Oberfläche gehört, fragen Sie uns.
Außerhalb des Umfangs
Simulationsinfrastruktur
Die Domains, über die Phishing-Simulationen an Beschäftigte unserer Kunden gehen, sind bewusst wie Angreiferinfrastruktur gebaut. Sie als bösartig zu melden, ist erwartet und keine Schwachstelle.

Zusage für gutgläubige Forschung

Was Sie von uns bekommen, wenn Sie in gutem Glauben handeln.

Wenn Sie den obigen Umfang einhalten, in gutem Glauben handeln, Datenschutzverletzungen und Dienstunterbrechungen vermeiden und uns vor einer Veröffentlichung angemessen Gelegenheit zur Behebung geben, wird NOUSEC wegen Ihrer Forschung keine rechtlichen Schritte gegen Sie einleiten oder unterstützen.

Geht ein Dritter wegen Forschung gegen Sie vor, die innerhalb dieser Richtlinie blieb, erklären wir, dass Ihre Arbeit nach dieser Richtlinie autorisiert war. Wenn Sie diese Zusage vorab schriftlich möchten, fragen Sie – wir schicken sie Ihnen.

Worum wir Sie bitten

Vier Regeln, alle mit demselben Ziel: dass aus einem Test kein Vorfall wird.

Nutzen Sie Ihr eigenes Konto
Greifen Sie nicht auf Daten anderer Personen oder Mandanten zu, verändern oder exfiltrieren Sie sie nicht. Stoßen Sie auf fremde Daten, hören Sie auf und sagen Sie es uns.
Beeinträchtigen Sie den Dienst nicht
Keine Lasttests, kein Denial of Service, keine automatisierten Scans der Plattform-Anmeldung.
Kein Social Engineering gegen unser Team
Beschäftigte, Auftragnehmer und Kunden sind ausgeschlossen. Unsere Mitarbeitenden zu phishen ist hier keine Forschung – es ist das Produkt, das wir verkaufen, und wir behandeln es als Angriff.
Geben Sie uns Zeit vor der Veröffentlichung
Sagen Sie es zuerst uns und lassen Sie uns einen Fix ausliefern. Wir nutzen diese Zeit nicht zum Hinhalten, sondern zum Beheben.

Was wir nicht behaupten

NOUSEC hat kein SOC-2- oder ISO/IEC-27001-Audit abgeschlossen. Wir halten keine Zertifizierung nach diesen Standards, und nichts auf dieser Website ist als Zertifizierungsaussage zu lesen. Einen unabhängigen Penetrationstest haben wir nicht beauftragt. Ändert sich das, sagt diese Seite es – mit Datum.

An anderer Stelle lesen Sie, dass NOUSEC Nachweise pro Mandant auf sieben Rahmenwerke abbildet, darunter ISO/IEC 27001, NIS2, SOC 2, DSGVO und ISO/IEC 27701. Dieser Satz beschreibt, was das Produkt mit Ihren Daten tut: Es sammelt und ordnet die Schulungs- und Simulationsnachweise, die Ihre Prüferin oder Ihr Prüfer verlangt. Er ist keine Aussage über unseren Zertifizierungsstatus. Ein Anbieter, der ISO-27001-Nachweise für Sie erzeugt, ist dadurch nicht selbst nach ISO 27001 zertifiziert – und wir lassen nicht zu, dass derselbe Satz stillschweigend beides behauptet.

Ein bezahltes Bug-Bounty-Programm betreiben wir derzeit nicht. Meldungen sind trotzdem willkommen, werden binnen zwei Werktagen gesichtet und auf Wunsch namentlich gewürdigt.

Fragen

Was Forschende fragen, bevor sie die erste E-Mail schicken.

Wie melde ich eine Sicherheitslücke?

Schreiben Sie an [email protected], mit genug Details, um das Problem nachzustellen: betroffene URL oder Endpoint, Ihre Schritte und was Sie beobachtet haben. Gelesen werden Meldungen auf Englisch und Türkisch. Bitte veröffentlichen Sie den Fund nicht, bevor wir geantwortet haben. Unsere security.txt nennt denselben Kontakt.

Wie schnell erhalte ich eine Antwort?

Wir bestätigen und sichten jede Meldung innerhalb von zwei Werktagen. Diese erste Antwort ist keine automatische Eingangsbestätigung, sondern eine menschliche Rückmeldung, ob wir das Problem nachstellen konnten. Braucht die Untersuchung länger, sagen wir das und halten Sie auf dem Laufenden.

Ist login.nousec.com im Umfang?

Ja, mit Grenzen. Sie dürfen mit einem eigenen Konto testen. Automatisierte Scans, Last- oder Stresstests und jeder Versuch, auf das Konto einer anderen Person zuzugreifen oder es zu übernehmen, sind ausgeschlossen. Die Anmeldeoberfläche ist der sensibelste Teil eines Sicherheitsunternehmens; wir legen lieber fest, wie sie getestet wird, als so zu tun, als würde sie nicht getestet.

Zahlen Sie für Schwachstellenmeldungen?

Derzeit betreiben wir kein bezahltes Bug-Bounty-Programm. Auf Wunsch nennen wir Sie in unserem Advisory namentlich und sagen Ihnen offen, was wir wann behoben haben.

Ist NOUSEC nach SOC 2 oder ISO/IEC 27001 zertifiziert?

Nein. NOUSEC hat kein SOC-2- oder ISO/IEC-27001-Audit abgeschlossen und hält keine Zertifizierung nach diesen Standards. Die Plattform erzeugt auf Rahmenwerke abgebildete Nachweise für Ihr Audit; das ist eine Produktfunktion und keine Aussage über unseren eigenen Zertifizierungsstatus.

Gehen Sie rechtlich gegen gutgläubige Forschende vor?

Nein. Wenn Sie den Umfang und die Regeln auf dieser Seite einhalten, in gutem Glauben handeln und uns vor einer Veröffentlichung angemessen Zeit zur Behebung geben, werden wir keine rechtlichen Schritte gegen Sie einleiten oder unterstützen – und das auf Wunsch auch schriftlich bestätigen.

Etwas gefunden? Sagen Sie es uns.

[email protected] – ein Mensch liest mit, und Sie erhalten binnen zwei Werktagen eine Antwort.

Demo anfragenPlattform ansehen

Veröffentlicht gemäß RFC 9116 · security.txt