安全漏洞披露政策

协调式安全漏洞披露

Spoken Ink Limited（于英格兰和威尔士注册成立，注册编号 06968714，通过 ISO 27001 信息安全管理体系认证）高度重视旅客交通软件、闭环媒体平台及公共部门数字基础设施的安全性。依据**英国国家网络安全中心（UK NCSC）**漏洞披露指南与 RFC 9116 标准，我们欢迎安全研究人员、公共机构审计团队、铁路运营商及合作机构本着善意原则提交安全报告。

1. 适用范围

• www.whooshmedia.co.uk 与 www.spokenink.co.uk
• 由 Whoosh 与 Spoken Ink 直接运营的互联网公开 Web 应用、无障碍车站地图界面及旅客信息服务端点。

2. 如何报告安全漏洞

请将漏洞报告发送至 Security Team 邮箱：security@spokenink.co.uk。符合 RFC 9116 标准的机器可读安全声明发布于 /.well-known/security.txt。

请在报告中说明受影响的域名或接口路径、清晰的复现步骤或最小化验证说明、潜在安全影响，以及便于接收修复进展的联系方式。

3. 善意研究准则

• 请秉持善意原则开展测试，避免侵犯隐私、中断正常服务或损坏数据。
• 严禁访问、复制、篡改或删除属于旅客、铁路运营商、航空合作伙伴、医疗网络及政府机构的数据。
• 严禁开展拒绝服务（DoS/DDoS）测试、影响可用性的高频自动化扫描、物理安全测试，或针对员工的社会工程学与钓鱼测试。
• 在漏洞完成修复前请保持保密，遵循协调式披露流程。

4. 响应承诺与安全港保障

• **接收确认：**安全团队将在 3 个工作日内确认收到报告。
• **评估与修复：**在 10 个工作日内提供初步评估，并依据 ISO 27001 体系按风险等级优先完成修复。
• **善意安全港（Safe Harbour）：**凡严格遵守本政策并出于善意开展的安全研究，Spoken Ink Limited 均视为获得授权的合规安全测试，不会对报告人采取法律行动。