Sicherheit & Compliance
Höchste Standards zum Schutz Ihrer Daten und zur Gewährleistung von Vertrauen.
Ein Sicherheitsproblem melden
Devolutions Inc. ist bestrebt, bei der Entwicklung und Bereitstellung von Lösungen außergewöhnliche Sorgfalt walten zu lassen, um Bedrohungen zu verhindern und abzuschwächen, die negative Auswirkungen auf die Daten unserer Kunden und auf unsere Fähigkeit haben könnten, sichere, zuverlässige und konforme Produkte und Dienste bereitzustellen. Um dieses kritische Ziel zu erreichen, setzen wir branchenführende Frameworks, Standards, Kontrollen, Prozesse und Best Practices ein, einschließlich unseres privaten Bug-Bounty-Programms.
Über das Programm
Transparenz ist ein grundlegender Kernwert bei Devolutions, da sie gesunde Beziehungen fördert, Vertrauen schafft und eine Kultur der Offenheit, Verbesserung und Innovation vorantreibt. Unser Bug-Bounty-Programm, das auf YesWeHack.com gehostet wird, ermutigt Forscher, unsere Produkte zu „angreifen und zu knacken“, damit wir Schwachstellen proaktiv stärken und Programmier-/Codierfehler beheben können.
Bitte beachten Sie, dass die Anmeldung zu unserem Bug-Bounty-Programm derzeit nur auf Einladung über YesWeHack.com möglich ist.
Um eine Einladung anzufordern, kontaktieren Sie uns bitte unter security@devolutions.net.
Verantwortungsvolle Offenlegung
Wir ermutigen Forscher und Kunden kontinuierlich, identifizierte Schwachstellen zu melden. Zum besseren Schutz unserer Kunden bleiben Berichte vertraulich, bis Schwachstellen von Devolutions bestätigt, behoben und in die Produktion überführt wurden. Wir bemühen uns nach besten Kräften, Schwachstellen innerhalb eines angemessenen und branchenweit akzeptablen Zeitrahmens zu beheben.
Ein Sicherheitsproblem melden
Obwohl wir die Sicherheit unserer Produkte ernst nehmen, kann die sich schnell verändernde Natur und Komplexität der Sicherheit unsere Software oder unterstützende Infrastruktur unbeabsichtigt Schwachstellen aussetzen. Wenn Sie eine solche Schwachstelle identifizieren, senden Sie uns bitte Ihren Bericht zeitnah über unser YesWeHack-Programm. Der Bericht sollte folgende Punkte enthalten:
- Proof-of-Concept-Code und relevante Screenshots, um uns bei der Bestätigung und Reproduktion der Ergebnisse zu helfen.
- Begründung, wie die Auswirkungen unsere Organisation und/oder Kunden bei Ausnutzung betreffen könnten.
- Vorgeschlagene Behebung, falls möglich und zutreffend.
Nach der Einreichung geben Sie uns bitte einen angemessenen Zeitrahmen, um Feedback zu geben. Unser Sicherheitsteam muss:
- Die Schwachstelle wie in Ihrem Bericht beschrieben reproduzieren und bestätigen.
- Einen Schweregrad gemäß CVSS 3.1 festlegen.
- Die Empfehlungen aus Ihrem Bericht berücksichtigen und einen Aktionsplan mit den relevanten Teams erstellen.
- Die Kommunikation mit dem Melder aufrechterhalten, bis der Fall gelöst ist.
Wir bitten Sie, den Bericht und seinen Inhalt vertraulich zu behandeln, bis die entsprechenden Korrekturmaßnahmen in die Produktion überführt wurden. Bitte beachten Sie auch, dass das missbräuchliche Ausnutzen einer gemeldeten Schwachstelle oder deren Nutzung für illegale, böswillige oder andere unangemessene Zwecke zu rechtlichen Verfolgungen gegen den Melder führen kann, die zu zivil- oder strafrechtlicher Haftung führen könnten. Eine Handlung gilt als missbräuchlich oder unangemessen, wenn ihr Zweck kundenbezogene oder interne vertrauliche Informationen in unangemessener oder unverhältnismäßiger Weise gefährdet, oder wenn eine solche Handlung ein anderes Ziel als den Nachweis einer Schwachstelle verfolgt.
Belohnungen
Forscher werden für gemeldete Schwachstellen* auf drei wichtige Arten belohnt:
Sobald eine Schwachstelle behoben und ein Patch in die Produktion überführt wurde, können Forscher ihre Entdeckung und ihren Beitrag auf ihrem Blog bzw. in sozialen Medien veröffentlichen. Dies erhöht ihr Profil und ihren Ruf in den IT- und IT-Sicherheits-Communities und kann Karriereziele unterstützen.
Wir bieten finanzielle Belohnungen** basierend auf dem Schweregrad jeder gemeldeten Schwachstelle gemäß dem CVSS 3.1-Standard. Für hochriskante Probleme (z. B. ausnutzbar hoch/kritisch) können Forscher bis zu 5.000,00 $ pro Problem (USD) verdienen.
Von Zeit zu Zeit stellen wir teilnehmenden Forschern auch Devolutions-Markenartikel zur Verfügung.
*Eine Schwachstelle ist ein Loch oder eine Schwäche in der Anwendung, die ein Designfehler oder ein Implementierungsfehler sein kann und es einem Angreifer ermöglicht, den Stakeholdern einer Anwendung Schaden zuzufügen. Stakeholder umfassen den Anwendungseigentümer, Anwendungsbenutzer und andere Einheiten, die auf die Anwendung angewiesen sind.
**Auszahlungsbeträge variieren je nach Anzahl der Schwachstellen oder betroffenen Komponenten sowie der Gesamtqualität des Berichts.
So melden Sie sich an
Derzeit ist die Anmeldung zu unserem Bug-Bounty-Programm nur auf Einladung möglich. Einladungscodes werden Sicherheitsforschern und Kunden bei verschiedenen Veranstaltungen im Laufe des Jahres bereitgestellt (z. B. Hackfest, NorthSec usw.). Wenn Sie Ihren Einladungscode erhalten haben, senden Sie uns eine E-Mail (mit Verweis auf Ihren Code) an security@devolutions.net für Anmeldungsanweisungen.
Durch die Registrierung für unser Bug-Bounty-Programm autorisieren Sie uns, per E-Mail mit Ihnen zu kommunizieren, um auf Ihre Einreichungen, Anfragen und Anfragen zu antworten, und für andere Zwecke im Zusammenhang mit der Verwaltung des Programms oder Ihrer Teilnahme am Programm im Allgemeinen.
Möchten Sie teilnehmen oder mehr über das Programm erfahren?
Kontaktieren Sie das Sicherheitsteam, um am geschlossenen Bug-Bounty-Programm von Devolutions teilzunehmen!
