Політика повідомлення про вразливості

Скоординоване розкриття вразливостей

Spoken Ink Limited (зареєстрована в Англії та Уельсі за номером 06968714, сертифікована за стандартом ISO 27001) приділяє першочергову увагу безпеці програмного забезпечення для пасажирського транспорту, закритих медіаплатформ та цифрової інфраструктури державного сектору. Відповідно до настанов UK National Cyber Security Centre (NCSC) і стандарту RFC 9116, ми вітаємо добросовісні повідомлення від дослідників безпеки, державних установ і залізничних операторів.

1. Сфера дії

• www.whooshmedia.co.uk та www.spokenink.co.uk
• Вебзастосунки, безбар’єрні карти станцій та сервіси інформування пасажирів, які безпосередньо експлуатуються підрозділами Whoosh і Spoken Ink.

2. Як повідомити про вразливість

Надсилайте звіти команді Security Team на адресу security@spokenink.co.uk. Машиночитний файл згідно з RFC 9116 опубліковано за адресою /.well-known/security.txt.

Будь ласка, зазначте уражений URL або компонент, чіткі кроки для відтворення, потенційний вплив і ваші контактні дані для зворотного зв’язку.

3. Правила добросовісного дослідження

• Не отримуйте доступ, не копіюйте, не змінюйте та не видаляйте дані пасажирів, залізничних операторів, авіаційних партнерів чи державних органів.
• Не проводьте атаки на відмову в обслуговуванні (DoS/DDoS), інтенсивне автоматизоване сканування, фізичне тестування або фішинг і соціальну інженерію.
• Зберігайте конфіденційність до повного усунення вразливості.

4. Наші зобов’язання та правова гарантія (Safe Harbour)

• Підтвердження отримання: протягом 3 робочих днів.
• Оцінка та усунення: первинна оцінка протягом 10 робочих днів у межах системи управління інформаційною безпекою ISO 27001.
• Гарантія добросовісності: Spoken Ink Limited не ініціюватиме судових дій проти дослідників, які діють добросовісно та суворо дотримуються цієї політики.