Política de Divulgação de Vulnerabilidades

Divulgação Coordenada de Vulnerabilidades

A Spoken Ink Limited (registada em Inglaterra e no País de Gales sob o número 06968714, certificada pela norma ISO 27001) dá máxima prioridade à segurança do seu software ferroviário, plataformas multimédia em circuito fechado e serviços digitais do setor público. Em alinhamento com as orientações do UK National Cyber Security Centre (NCSC) e com a norma RFC 9116, acolhemos comunicações de boa-fé por parte de investigadores de segurança, entidades públicas e operadores ferroviários.

1. Âmbito

• www.whooshmedia.co.uk e www.spokenink.co.uk
• Aplicações web expostas na Internet, mapas acessíveis de estações e interfaces de informação ao passageiro geridas diretamente pela Whoosh e pela Spoken Ink.

2. Como Comunicar uma Vulnerabilidade

Envie o relatório para a Security Team através de security@spokenink.co.uk. O nosso manifesto legível por máquina (RFC 9116) encontra-se publicado em /.well-known/security.txt.

Inclua o URL ou componente afetado, passos claros de reprodução, o impacto potencial e os seus dados de contacto caso pretenda acompanhamento.

3. Regras de Conduta (Investigação de Boa-Fé)

• Não aceda, copie, modifique nem elimine dados pertencentes a passageiros, operadores ferroviários, parceiros de aviação ou entidades públicas.
• Não realize testes de negação de serviço (DoS/DDoS), varrimentos automáticos intensivos, testes físicos nem engenharia social ou phishing.
• Mantenha a confidencialidade até à correção coordenada da vulnerabilidade.

4. O Nosso Compromisso e Salvaguarda Legal

• Confirmação de receção: no prazo de 3 dias úteis.
• Triagem e correção: avaliação inicial em 10 dias úteis ao abrigo do nosso sistema de gestão ISO 27001.
• Salvaguarda de boa-fé: A Spoken Ink Limited não intentará ações judiciais contra investigadores que atuem de boa-fé em estrita conformidade com esta política.