Responsável Política de Notificação Responsável de Vulnerabilidades

Nosso Compromisso

Na Monks, levamos a sério a segurança de nossos sistemas, produtos e serviços (“ativos”). Esta Política tem como único objetivo fornecer um mecanismo para a notificação de vulnerabilidades de segurança identificadas por meio de observação acidental ou passiva. Ela não autoriza, incentiva nem permite pesquisas de segurança, varreduras de vulnerabilidades, testes de penetração ou qualquer outra forma de teste ativo dos ativos da Monks. Esta Política oferece um canal para a notificação de possíveis vulnerabilidades e define as expectativas aplicáveis a tais notificações.

Escopo

Esta política tem como único objetivo facilitar a notificação responsável de vulnerabilidades de segurança.

Esta política não autoriza:

• Testes de penetração ativos nos ativos da Monks.
• Varreduras de vulnerabilidades direcionadas não autorizadas ou outros testes de segurança ativos especificamente voltados para os sistemas ou a infraestrutura da Monks.
• Testes de segurança que possam afetar a confidencialidade, a integridade ou a disponibilidade dos ativos da Monks.
• Testes em sistemas, ambientes ou ativos de propriedade do cliente, gerenciados pelo cliente ou hospedados pelo cliente, operados pela Monks ou em nome dela.
• Qualquer atividade que viole a legislação aplicável, obrigações contratuais ou direitos de terceiros.

É proibida a varredura direcionada não autorizada de vulnerabilidades, testes de penetração ou outros testes de segurança ativos direcionados especificamente aos sistemas ou à infraestrutura da Monks. 

Como relatar uma vulnerabilidade

Caso você acredite ter identificado uma vulnerabilidade de segurança que afete um ativo operado pela Monks, por favor, comunique-a para:

E-mail:security@monks.com

Assunto:Relatório externo de vulnerabilidade – [Breve descrição] 

Para nos ajudar a investigar com eficiência, inclua, sempre que possível:

• Uma descrição da vulnerabilidade.
• Os ativos afetados.
• Uma descrição de como o problema foi identificado ou observado, incluindo quaisquer etapas relevantes que não envolvam testes ativos ou validação proibidos por esta Política.

Informações de apoio, quando apropriado, devem se limitar a materiais não executáveis, como capturas de tela, logs, rastreamentos de rede, trechos de configuração ou trechos relevantes de código-fonte. Não envie arquivos executáveis, amostras de malware, código de prova de conceito com potencial de ataque, scripts destinados a explorar uma vulnerabilidade ou qualquer outro arquivo destinado a ser executado, a menos que expressamente solicitado pela Monks Security e enviado por meio de um canal seguro designado pela Monks.

Expectativas de Divulgação Responsável

Caso identifique uma possível vulnerabilidade de segurança durante o uso normal de nossos serviços ou por meio de observação acidental ou passiva, solicitamos que você:

• Aja de boa-fé 
• Não tente validar, explorar ou investigar mais a fundo a suspeita de vulnerabilidade por meio de testes ativos ou qualquer atividade intrusiva.
• Não acesse, modifique, copie, baixe ou retenha quaisquer dados que não lhe pertençam
• Caso encontre dados pessoais, informações confidenciais ou informações de clientes, interrompa imediatamente qualquer atividade e comunique o problema à Monks
• Caso perceba que a suspeita de vulnerabilidade possa ter modificado dados involuntariamente, inclua, sempre que possível, o tipo de dados afetados, o aplicativo ou endpoint afetado, os parâmetros de solicitação relevantes ou as ações realizadas, a hora aproximada do evento e quaisquer identificadores que possam ajudar a Monks a localizar e restaurar os dados afetados.
• Não realize varreduras direcionadas não autorizadas de vulnerabilidades, testes de penetração, ataques de negação de serviço, phishing, engenharia social, implantação de malware ou qualquer outra atividade especificamente direcionada aos sistemas da Monks ou de seus clientes que possa afetar a confidencialidade, integridade ou disponibilidade dos sistemas, serviços, funcionários, prestadores de serviços, parceiros, clientes ou terceiros da Monks ou de seus clientes. 
• Trate qualquer informação relacionada a uma vulnerabilidade relatada como estritamente confidencial. Você não deve divulgar, publicar ou comunicar de qualquer outra forma a existência ou os detalhes de qualquer vulnerabilidade a terceiros sem o consentimento prévio por escrito da Monks.

Resposta da Monks

Ao receber um relatório de vulnerabilidade, a Monks irá: i) Confirmar o recebimento do relatório dentro de um prazo razoável; ii) Analisar e avaliar o problema relatado; iii) Determinar a correção adequada com base na natureza e na gravidade da vulnerabilidade; e iv) Comunicar-se com o relator, quando apropriado, durante a investigação.

O envio de um relatório não garante a correção, o reconhecimento público ou qualquer comunicação adicional.

Programa de Recompensa por Vulnerabilidades

Atualmente, a Monks não opera um programa de recompensa por bugs ou vulnerabilidades. O envio de um relatório de vulnerabilidade não confere qualquer direito a remuneração ou outra recompensa.

Aviso Legal

Nada nesta política autoriza qualquer pessoa a acessar, testar, interferir ou interagir de qualquer outra forma com os sistemas da Monks além do que for expressamente permitido pela legislação aplicável. A Monks reserva-se todos os direitos legais com relação a atividades que estejam fora do escopo desta política ou que violem a legislação aplicável, obrigações contratuais ou esta política.

Caso tenha dúvidas se uma determinada atividade se enquadra no escopo desta política, entre em contato com security@monks.com antes de prosseguir.