Политика информирования об уязвимостях

Мы серьёзно относимся к безопасности наших систем, приложений и данных клиентов. Для постоянного повышения уровня защиты мы приветствуем сообщения об уязвимостях от исследователей, действующих добросовестно. Данный документ определяет область действия, правила взаимодействия и ожидания при ответственном раскрытии.

Область действия

Входит в область:

• Домен *.bankffin.kz (все поддомены, если не указано иное)
• Домен *.freedombank.kz
• Мобильное приложение Freedom SuperApp on the App Store (iOS)
• Мобильное приложение Freedom Business on the App Store (iOS)
• Мобильное приложение Приложения в Google Play – Freedom SuperApp (Android)
• Мобильное приложение Приложения в Google Play – Freedom Business (Android)

Не входит в область:

• Сторонние сервисы и подрядчики, не принадлежащие АО "Фридом Банк Казахстан";
• Социальная инженерия, фишинг, тестирование физической безопасности;
• DoS/DDoS-атаки, спам и флуд;
• Уязвимости, требующие украденных или скомпрометированных учётных данных.

Если вы обнаружили проблему вне заявленной области, но относящуюся к АО "Фридом Банк Казахстан", пожалуйста, сообщите — мы рассмотрим её отдельно.

Правила взаимодействия

• Проводите тестирование так, чтобы не нарушать работу сервисов и не влиять на клиентов.
• Используйте только не аутентифицированное тестирование.
• Автоматизированное сканирование должно быть ограничено по частоте, чтобы не перегружать системы.
• Не выполняйте пост-эксплуатацию (например, доступ к данным клиентов, изменение информации).
• Если вы случайно получили доступ к чувствительным данным (ПДн, финансовая информация и т.п.), прекратите тестирование и немедленно сообщите об этом.
• Запрещено использовать найденные уязвимости для личной выгоды, мошенничества или вымогательства.

Правила сообщения

Отчёт об уязвимости необходимо направить на почту: [email protected]
Для повышения конфиденциальности просим зашифровать сообщение с помощью PGP-ключа: PGP ключ Фридом Банк Казахстан

Чтобы ускорить проверку и исправление, в отчёте укажите:

• Систему, приложение или эндпоинт, где обнаружена уязвимость;
• Тип и описание уязвимости;
• Шаги для воспроизведения (PoC);
• Потенциальное воздействие;
• Возможные рекомендации по исправлению (если есть).

Оценка уязвимостей

Мы используем CVSS для классификации серьёзности:

• Критическая (CVSS 9.0–10.0);
• Высокая (CVSS 7.0–8.9);
• Средняя (CVSS 4.0–6.9);
• Низкая (CVSS 0.1–3.9);
• Информационная.

В отдельных случаях приоритет может корректироваться с учётом бизнес-контекста или вероятности эксплуатации.

Гарантии исследователям (Safe Harbor)

Если исследование проводится в рамках данной политики:

• Если Вы соблюдаете условия настоящей политики, сообщая нам о потенциальной проблеме безопасности, мы считаем его разрешенным и не будем подавать жалобу в правоохранительные органы и не будем возбуждать гражданский иск при добросовестном тестировании.
• Действия, проводимые в соответствии с настоящей политикой, а также если не противоречат требованиям законодательства Республики Казахстан, Закону Республики Казахстан «Об авторском праве и смежных правах» и уголовного законодательства Республики Казахстан являются разрешенным поведением.

Исследователь обязан соблюдать действующее законодательство Республики Казахстан и действовать добросовестно.

Конфиденциальность и раскрытие

• Все отчёты рассматриваются как конфиденциальные.
• Публикация информации об уязвимости возможна только после её исправления и письменного разрешения АО "Фридом Банк Казахстан".
• Мы обязуемся быстро подтвердить получение отчёта и своевременно работать над устранением проблемы.