Divulgação de vulnerabilidadesReporte. Nós respondemos.

Se você encontrou uma vulnerabilidade em uma superfície da NOUSEC, esta página diz para onde enviá-la, o que consideramos dentro do escopo e o que nos comprometemos a fazer em troca. Vendemos gestão de risco humano; o mínimo é sermos claros sobre o nosso.

Reportar uma vulnerabilidadeVer o escopo
[email protected] · Primeira resposta em 2 dias úteis · Em inglês e em turco
Escopo é uma decisão — quatro dados que guardamos, quatro que nunca tocamosO QUE GUARDAMOSO QUE NUNCA TOCAMOSE-mail corporativoNome e departamentoResultado das simulaçõesConclusão dos treinamentosAgente no endpointInstalação no dispositivoHistórico de navegaçãoTeclas digitadasNada é instalado no dispositivo do funcionário.A coluna da direita é uma decisão, não uma lacuna.
Escopo é uma decisão — quatro dados que guardamos, quatro que nunca tocamosO QUE GUARDAMOSE-mail corporativoNome e departamentoResultado das simulaçõesConclusão dos treinamentosO QUE NUNCA TOCAMOSAgente no endpointInstalação no dispositivoHistórico de navegaçãoTeclas digitadasUma decisão, não uma lacuna.

Como reportar

Um único endereço, lido por uma pessoa. Sem formulários para preencher nem contas para criar.

Passo 1
Escreva para [email protected]
Inclua a URL ou o endpoint afetado, os passos para reproduzir e o que você observou. Uma captura de tela ou uma gravação curta ajudam. Lemos relatos em inglês e em turco.
Passo 2
Confirmamos em 2 dias úteis
Uma resposta escrita por uma pessoa dizendo se conseguimos reproduzir, não uma confirmação automática. Se precisar de mais investigação, avisamos em vez de ficar em silêncio.
Passo 3
Corrigimos e contamos para você
Você fica sabendo o que mudou e quando foi publicado. Se quiser o crédito, citamos você no aviso. Se preferir o anonimato, também é possível.

O mesmo contato está no nosso arquivo security.txt, conforme a RFC 9116.

Escopo

Dizemos isso com clareza, porque uma política de escopo vago obriga o pesquisador a adivinhar, e um palpite errado é o que transforma uma pesquisa de boa-fé em um incidente.

Dentro do escopo
nousec.com
O site e tudo o que é servido a partir dele, incluindo o endpoint de solicitação de demo.
Dentro do escopo, com limites
login.nousec.com
A superfície de login e de aplicação da plataforma, testada com uma conta que você controla. Sem varredura automatizada, sem testes de carga ou de estresse e sem tentativas de chegar a dados de outra organização ou de outra pessoa. Dentro desses limites, as descobertas são bem-vindas e estão cobertas pelo compromisso descrito abaixo.
Fora do escopo
Serviços de terceiros que não controlamos
Descobertas em serviços que a NOUSEC usa, mas não opera, devem ser enviadas ao respectivo fornecedor. Se você não souber de quem é uma superfície, pergunte e nós dizemos.
Fora do escopo
Infraestrutura de simulação
Os domínios que usamos para enviar simulações de phishing aos colaboradores dos nossos clientes são feitos de propósito para parecer infraestrutura de atacante. Reportá-los como maliciosos é o esperado e não é uma vulnerabilidade.

Compromisso com a pesquisa de boa-fé

O que você recebe de nós se agir de boa-fé.

Se você respeitar o escopo acima, agir de boa-fé, evitar violações de privacidade e interrupções do serviço e nos der uma oportunidade razoável de corrigir o problema antes de divulgá-lo publicamente, a NOUSEC não vai mover nem apoiar medidas legais contra você pela sua pesquisa.

Se um terceiro mover uma ação contra você por uma pesquisa que ficou dentro desta política, deixaremos claro que o seu trabalho era autorizado por ela. Se você quiser esse compromisso por escrito antes de começar, peça e nós enviamos.

O que pedimos

Quatro regras, todas para que um teste não vire um incidente.

Use a sua própria conta
Não acesse, altere nem extraia dados de outra pessoa ou organização. Se você esbarrar em dados de terceiros, pare e nos avise.
Não degrade o serviço
Nada de testes de carga, negação de serviço ou varredura automatizada contra o login da plataforma.
Não use engenharia social contra a nossa equipe
Colaboradores, prestadores e clientes ficam fora do escopo. Fazer phishing com os nossos colaboradores não é pesquisa aqui: é o produto que vendemos, e vamos tratar isso como ataque.
Dê-nos tempo antes de divulgar
Conte para nós primeiro e deixe que publiquemos a correção. Não vamos usar esse tempo para enrolar, e sim para corrigir.

O que não afirmamos

A NOUSEC não concluiu uma auditoria SOC 2 nem ISO/IEC 27001. Não temos certificação em nenhuma das duas normas, e nada neste site deve ser lido como afirmação de certificação. Também não contratamos um teste de intrusão independente. Quando isso mudar, esta página vai dizer, com data.

Em outras partes deste site você vai ler que a NOUSEC mapeia as evidências de cada organização para sete frameworks, entre eles ISO/IEC 27001, NIS2, SOC 2, GDPR e ISO/IEC 27701. Essa frase descreve o que o produto faz com os seus dados: reúne e organiza as evidências de treinamento e simulação que o seu auditor pede. Não é uma declaração sobre a nossa certificação. Um fornecedor que gera evidências de ISO 27001 para você não é, por isso, certificado em ISO 27001, e não vamos deixar a mesma frase fazer as duas coisas ao mesmo tempo.

No momento não temos um programa de recompensas pago. Os relatos continuam bem-vindos, são avaliados em dois dias úteis e, se você quiser, recebem crédito público.

Perguntas

O que os pesquisadores perguntam antes de enviar o primeiro e-mail.

Como reporto uma vulnerabilidade de segurança?

Escreva para [email protected] com detalhes suficientes para reproduzir o problema: a URL ou o endpoint afetado, os passos que você seguiu e o que observou. Lemos relatos em inglês e em turco. Por favor, não publique a descoberta antes de recebermos e respondermos ao seu relato. O nosso arquivo security.txt traz o mesmo contato.

Em quanto tempo recebo uma resposta?

Confirmamos o recebimento e fazemos uma primeira avaliação de cada relato em até dois dias úteis. Essa primeira resposta é escrita por uma pessoa e diz se conseguimos reproduzir o problema; não é uma confirmação automática. Se a investigação precisar de mais tempo, avisamos e mantemos você informado.

O login.nousec.com está no escopo?

Sim, com limites. Você pode testar com uma conta que você controla. Ficam fora do escopo a varredura automatizada, os testes de carga ou de estresse e qualquer tentativa de acessar ou tomar a conta de outra pessoa. A superfície de login é a parte mais sensível de uma empresa de segurança, então preferimos definir como testá-la a fingir que ninguém vai tentar.

Vocês pagam por relatos de vulnerabilidades?

No momento não temos um programa de recompensas pago. Se você quiser, citamos o seu nome no nosso aviso e contamos com franqueza o que corrigimos e quando.

A NOUSEC tem certificação SOC 2 ou ISO/IEC 27001?

Não. A NOUSEC não concluiu uma auditoria SOC 2 nem ISO/IEC 27001 e não tem certificação em nenhuma das duas normas. A plataforma gera evidências mapeadas para frameworks para a sua auditoria; é um recurso do produto, não uma declaração sobre a nossa própria certificação.

Vocês vão tomar medidas legais contra pesquisadores de boa-fé?

Não. Se você respeitar o escopo e as regras desta página, agir de boa-fé e nos der um prazo razoável para corrigir o problema antes de divulgá-lo, não vamos mover nem apoiar medidas legais contra você, e confirmamos isso por escrito se você pedir.

Encontrou algo? Conte para nós.

[email protected]: lido por uma pessoa, com resposta em dois dias úteis.

Agendar uma demoVer a plataforma

Publicado conforme a RFC 9116 · security.txt