Zásady hlášení zranitelností

Koordinované hlášení bezpečnostních zranitelností

Spoken Ink Limited (zapsaná v Anglii a Walesu pod registračním číslem 06968714, certifikovaná dle ISO 27001) klade maximální důraz na bezpečnost dopravního softwaru, uzavřených mediálních platforem a digitálních služeb pro veřejný sektor. V souladu s metodikou UK National Cyber Security Centre (NCSC) a standardem RFC 9116 vítáme hlášení podaná v dobré víře od bezpečnostních výzkumníků, orgánů veřejné správy a železničních dopravců.

1. Rozsah platnosti

• www.whooshmedia.co.uk a www.spokenink.co.uk
• Internetové webové aplikace, bezbariérové mapy stanic a informační rozhraní pro cestující provozované přímo divizemi Whoosh a Spoken Ink.

2. Jak nahlásit zranitelnost

Hlášení zasílejte týmu Security Team na adresu security@spokenink.co.uk. Náš strojově čitelný soubor dle RFC 9116 je dostupný na /.well-known/security.txt.

Uveďte prosím dotčenou URL adresu nebo komponentu, přesný postup reprodukce, možný dopad a kontakt pro zpětnou vazbu.

3. Pravidla zodpovědného výzkumu

• Nepřistupujte k datům cestujících, železničních dopravců, leteckých partnerů ani veřejných institucí, tato data nekopírujte, neupravujte ani nemažte.
• Neprovádějte útoky typu odepření služby (DoS/DDoS), agresivní automatizované skenování, fyzické testy ani sociální inženýrství či phishing.
• Zachovávejte mlčenlivost až do řádného odstranění zjištěné chyby.

4. Náš závazek a právní jistota (Safe Harbour)

• Potvrzení přijetí: do 3 pracovních dnů.
• Posouzení a náprava: úvodní vyhodnocení do 10 pracovních dnů v rámci systému řízení bezpečnosti informací ISO 27001.
• Právní ochrana (Safe Harbour): Při výzkumu vedeném v dobré víře a v mezích těchto zásad považuje Spoken Ink Limited testování za autorizované a nepodnikne proti oznamovateli právní kroky.