Haavoittuvuuspalkinto-ohjelman pääkohdat

Hackrfi Oy palkitsee Suomessa vakituisesti asuvia henkilöitä, jotka raportoivat Hackr.fi –sivustollaan olevista liiketoiminnan kannalta merkittävistä tietoturvahaavoittuvuuksista. Tämänkaltaiset ohjelmat tunnetaan kansainvälisesti nimellä ”Bug Bounty” tai "Vulnerability Reward Program".   Jotta haavoittuvuuspalkinto-ohjelman ehdot ja rajaukset olisivat mahdollisimman selkeitä, Hackrfi Oy on laatinut liitteenä olevan ohjeistuksen; suosittelemme, että luette ohjeet kokonaisuudessaan ennen kuin osallistutte ohjelmaan.

Ohjelman pääkohdat

Toteutamme vastuullisia haavoittuvuuspalkinto-ohjelmia. Tämän johdosta sääntöjä on noudatettava.:

• Tietoturvatutkijan on ilmoitettava raportointilomakkeella havitsemansa tietoturvahaavoittuvuuden Hackrfi Oy:lle eikä havaintoa saa julkaista julkisesti muualla.
• Raportoijan on huomioitava esimerkiksi mahdollinen korjaukseen menevä aika ennen kuin voimme julkaista tiedon haavoittuvuudesta tai antaa ilmoittajalle luvan julkaista tieto julkisesti.
• Tietoturvatutkijan on jaettava kaikki mahdollinen tieto ja yksityiskohdat, jotta haavoittuvuus voidaan todentaa. Jos havaintoa ei voida toistaa, ei myöskään palkkiota voida tarjota.
• Tietoturvatutkimusta on tehtävä hyvässä uskossa eikä se saisi vaikuttaa Hackr.fi –palvelun saatavuuteen.
• Tietoturvatutkimusta tehtäessä on noudatettava Suomen lakia.

Säännöissä on listattu tarkemmin asiat, joita ei ohjelmasääntöjen mukaan tehdä. Tässä on tärkeimmät, joita pyydämme ettette tekisi:

Älkää käyttäkö automaattiskannereita, kuten esimerkiksi Nessus.
Nk. social engineering ei kuulu ohjelman tietoturvatutkimuksen piiriin.
Palvelunestohyökkäykset eivät ole sallittuja.
Liiketoimintaa haittaavat toimet tulisi jättää suorittamatta.

Tietoturvallisuus ja siihen liittyvät uhkat kehittyvät ja muuttuvat lähes päivittäin ja meistä on mahtavaa saada toimia teidän kanssanne tietoturvallisuuden parantamiseksi. Kunnoitamme tähän käyttämäänne aikaa, mutta toivomme myös teidän kunnioittavan meidän palvelu-, vaste- ja korjausaikojamme.