Análises de segurança

Se desejar realizar scans dos nossos servidores ou dos websites a eles associados, tal é, em princípio, permitido.
Contudo, por motivos de boa coordenação e estabilidade operacional, apreciaríamos ser informados previamente sobre tais scans. Reservamo-nos simultaneamente o direito de bloquear atividades que possam afetar a disponibilidade ou o desempenho dos nossos sistemas.

¶Gestão de vulnerabilidades identificadas

Caso um scan revele potenciais vulnerabilidades nos nossos sistemas, recebemos naturalmente com agrado informação sobre o assunto. Deve, contudo, notar-se que nós próprios realizamos regularmente scans de segurança abrangentes e tratamos quaisquer descobertas de acordo com as práticas vigentes.

É importante ter em atenção que muitas ferramentas de scan automatizadas baseiam as suas avaliações em, por exemplo, números de versão ou portas abertas – sem necessariamente verificarem se a vulnerabilidade em questão está efetivamente presente. As ferramentas também frequentemente não têm em conta se o software relevante já foi corrigido (patched) contra vulnerabilidades conhecidas. Recomendamos, por isso, que quaisquer descobertas sejam validadas e analisadas criticamente antes de serem reportadas.

Note, por favor, que as vulnerabilidades identificadas em websites que estão apenas alojados nos nossos servidores não estão necessariamente relacionadas com a nossa infraestrutura ou software. A responsabilidade pela manutenção e segurança desses websites cabe, em princípio, ao respetivo proprietário ou programador. Os contactos relativos a tais descobertas devem, por isso, ser dirigidos diretamente à parte relevante.

¶Gestão de CVEs

Gerimos continuamente todos os CVEs (Common Vulnerabilities and Exposures) relevantes na nossa infraestrutura e no software cuja operação asseguramos. Caso uma vulnerabilidade tenha um impacto significativo sobre o qual desejamos alertar os nossos clientes, informamos sobre o mesmo na nossa visão geral de operações, que pode ser encontrada no nosso Painel de Controlo.
O simples facto de um CVE não ser mencionado não significa que não o tenhamos avaliado ou que não tenhamos tomado medidas sobre o mesmo; é a nossa tarefa gerir eventuais CVEs, e é isso que fazemos.