Tietoturvatarkistukset
Tietoturvatarkistukset ovat pääsääntöisesti sallittuja, mutta meidän tulee saada tietää etukäteen, ja käsittelemme itse relevantit haavoittuvuudet ja CVE:t.
Jos haluat skannata palvelimiamme tai niihin liittyviä verkkosivustoja, on tämä lähtökohtaisesti sallittua.
Hyvän koordinoinnin ja toimintavakauden vuoksi toivomme kuitenkin, että meille ilmoitetaan etukäteen tällaisista skannauksista. Pidätämme samalla oikeuden estää toimet, jotka saattavat vaikuttaa järjestelmiemme saatavuuteen tai suorituskykyyn.
Tunnistettujen haavoittuvuuksien käsittely
Mikäli skannaus paljastaisi mahdollisia haavoittuvuuksia järjestelmissämme, otamme tietysti mielellämme vastaan tietoja niistä. On kuitenkin huomattava, että suoritamme itse jatkuvasti kattavia tietoturvaskannauksia ja käsittelemme mahdolliset löydökset vallitsevan käytännön mukaisesti.
On tärkeää huomata, että monet automatisoidut skannaustyökalut perustavat arviointinsa esimerkiksi versionumeroihin tai avoimiin portteihin – välttämättä varmistamatta, onko kyseinen haavoittuvuus todella olemassa. Työkalut eivät myöskään usein ota huomioon, onko kyseinen ohjelmisto jo paikattu tunnettuja haavoittuvuuksia vastaan. Kehotamme siksi, että mahdolliset löydökset validoidaan ja tarkastellaan kriittisesti ennen niiden raportointia meille.
Huomaa, että vain palvelimillamme isännöityjen verkkosivustojen tunnistetut haavoittuvuudet eivät välttämättä liity infrastruktuuriimme tai ohjelmistoihimme. Näiden verkkosivustojen ylläpidon ja tietoturvan vastuu on lähtökohtaisesti kyseisellä omistajalla tai kehittäjällä. Tällaisia löydöksiä koskevat yhteydenotot tulisi siksi kohdistaa suoraan asianomaiselle osapuolelle.
CVE:iden käsittely
Käsittelemme jatkuvasti kaikki relevantit CVE:t (Common Vulnerabilities and Exposures) infrastruktuurissamme ja ylläpitämässämme ohjelmistossa. Jos haavoittuvuudella on merkittävä vaikutus, josta haluamme asiakkaidemme tulevan tietoisiksi, tiedotamme siitä toimintayleiskatsauksessamme, joka löytyy hallintapaneelistamme.
Pelkkä se, että CVE:tä ei mainita, ei tarkoita, ettemme olisi arvioineet sitä tai ettemme olisi reagoinut siihen. Mahdollisten CVE:iden käsittely on tehtävämme, ja niin me myös teemme.
Ohje Ohjekirjastosta: Yleistä
