公開日: 2024 年 2 月 23 日。
ラトビア銀行は、情報技術セキュリティインシデント防止機関 CERT.LV が調整する取り組みに参加しており、その枠組みの中で、国家行政機関は情報技術セキュリティ（サイバーセキュリティ）の研究者に公的情報のギャップや脆弱性を特定する機会を提供しています。これらの機関のアクセス可能なウェブサイト。
ラトビア銀行は、脆弱性とセキュリティ ギャップを検出する優れた実践をサポートし、サイバー セキュリティ研究者がラトビア銀行の公式 Web サイト www.bank.lv でギャップや脆弱性を特定する機会を提供しています。
ラトビア銀行の脆弱性開示ポリシーは、Web サイト www.bank.lv の脆弱性とセキュリティ上の欠陥の開示、およびそれらに関するレポートの提出に関するガイドラインを確立しています。
脆弱性開示ポリシーは、ラトビア銀行の公式 Web サイト www.bank.lv にのみ適用されます。 この取り組みの枠組み内では、ラトビア銀行の他の Web サイト、リソース、システムのテストは許可されていません。
テストを開始する前に質問がある場合は、ラトビア銀行にお問い合わせください。電子メールアドレスに書き込むことで このメール アドレスはスパムボットから保護されています。 閲覧するにはブラウザの JavaScript が有効になっている必要があります。
次の種類のテストは許可されていません。
- ソーシャルエンジニアリング攻撃を実行する。
- 脆弱性を悪用して情報にアクセスすること（脆弱性の存在を実証できる最小限の範囲を除く）。
- 脆弱性を悪用して情報を削除、変更、または削除する。
- サービス拒否 (DoS、DDoS) 攻撃を通じてサービスの可用性に影響を与えようとする試み。
- ロボットによるパスワードの推測/照合。
テスト中に次の種類の情報のいずれかを見つけた場合は、テストを中止し、上記の方法で直ちにラトビア銀行に連絡してください。:
- 個人を特定できる情報。
- 銀行口座やクレジットカード番号などの財務情報。
- 企業秘密または専有情報。
ラトビア銀行は、善意のサイバーセキュリティ研究者および以下の人物に対して法的措置を講じないことを約束します。
- テスト中はこのポリシーに従ってください。
- ラトビア銀行とそのサービスおよび/またはその顧客の運営に害を及ぼすことなくテストに従事します。
- 相互に合意した期限が切れる前に、発見されたセキュリティ脆弱性の詳細を開示しないこと。
- ラトビアおよびその所在地の国の法律を遵守します。
ラトビア銀行に報告書を提出する
発見された脆弱性とセキュリティ ギャップに関するレポートは、次の電子メール アドレスに書面でラトビア銀行に送信できます。この電子メール アドレスはスパムボットから保護されています。 表示するにはブラウザの JavaScript サポートがオンになっている必要があります。 または、CERT 脆弱性報告プラットフォーム cvd.cert.lv を使用します。
ラトビア銀行が報告書を適切にレビューし、必要な改善を実施するには、報告書が透明で構造化されていなければなりません。 ラトビア語または英語で作成する必要があります。 レポートには、発見された各脆弱性の場所とその影響の表示、および脆弱性の潜在的な修復方法の説明を含める必要があります。
レポートには、脆弱性の再現を可能にする一連のアクションの詳細な説明を含める必要があります。 可能であれば、コンセプト スクリプト、スクリーンショット、またはその他のグラフィック要素を追加して詳細を確認します。
発見された脆弱性に関する情報は、脆弱性が修正されるまで公開してはなりません。 情報を公開する前に、関係者は情報をいつ、どこまで公開するかについて合意します。
ラトビア銀行は、提出された報告書に対して 4 営業日以内に回答することを約束します。 より複雑なケースで状況を解決するために、レポート提出者との対話を開始して脆弱性を防ぐことができます。
Latvijas Banka は、特定された脆弱性の防止に関する支援を受けるために、取得した情報を中立的な第三者 (CERT.LV など) と共有する権利を留保します。
ラトビア銀行は、ラトビア銀行の公式ウェブサイトのセキュリティ向上に役立つ時間とレポートを提供してくれたサイバーセキュリティ研究者に感謝しますが、金銭的な補償は提供しません。
追加情報
1708738156
#脆弱性開示ポリシー #ラトビア銀行
2024-02-23 12:45:00