벤틀리시스템즈는 모든 연구원에게 다음을 요구합니다.

• 보안 테스트 중 개인정보 침해, 사용자 경험 저하, 프로덕션 시스템 중단 및 데이터 파괴 방지
• 아래 명시된 범위 내에서만 연구 수행
• 아래 지정된 커뮤니케이션 채널을 사용하여 당사에 취약성 정보 보고
• 발견한 취약성이 수정될 때까지 귀하와 벤틀리시스템즈 간에 취약성 관련 정보를 기밀로 유지

• 귀하의 연구와 관련하여 소송하거나 소송을 지원하지 않음
• 귀하와 협력하여 문제를 신속하게 파악 및 해결함

이 정책에 따라 취약성 연구를 진행할 때 당사는 이 연구에 대해 다음과 같이 간주합니다.

• 이 연구는 컴퓨터 사기 및 남용에 관한 법률(CFAA)(또는 이와 유사한 주법)에 따라 승인되며, 당사는 이 정책을 선의에 의해 우발적으로 위반한 경우 귀하에 대해 소송을 제기하거나 이를 지원하지 않습니다.
• 이 연구는 디지털 밀레니엄 저작권법(DMCA)에서 면제되며, 당사는 기술 통제 우회로 귀하에게 청구하지 않습니다.
• 이 연구는 보안 연구 수행에 방해될 수 있는 당사 이용 약관의 제한에서 면제되며, 당사는 이 정책에 따라 진행된 작업에 대해 이 제한을 제한적으로 면제합니다.
• 이 연구는 합법적이고, 인터넷의 전반적인 보안에 도움이 되며, 신의성실의 원칙에 따라 진행됩니다.

귀하는 언제나처럼 모든 관련 법률을 준수해야 합니다. 귀하의 보안 연구가 이 정책과 일치하는지 여부에 대해 우려되거나 확신이 들지 않을 경우, 더 진행하기 전에 아래 지정된 커뮤니케이션 채널 중 하나를 통해 보고서를 제출하십시오.

당사 제품 또는 플랫폼 중 하나에서 보안 취약성을 발견했다고 생각되면 이 페이지의 양식을 작성해 주십시오.

양식에는 다음 정보가 포함되어 있어야 합니다.

• URL, 전체 HTTP 요청/응답, 취약성 유형과 같은 정보가 포함된 취약성에 대한 자세한 설명
• 문제를 재현하는 데 필요한 정보
• 취약성을 보여주는 스크린샷 및/또는 비디오(해당하는 경우)
• 연락처, 이름, 이메일, 전화번호, 위치. 이 정보가 없는 제출물은 고려하지 않습니다.
• 중요 정보. 최초 제출은 양식을 통해서만 할 수 있습니다. 양식에 언급되지 않은 질문이 있는 경우 [email protected]으로 이메일을 보내 주십시오.

• DoS는 엄격히 금지됩니다.
• 모든 형태의 자격 증명 무차별 대입은 엄격히 금지됩니다.
• 보고된 취약성을 수정하기 전에 공개하는 것은 금지됩니다.
• 귀하는 당사의 성과를 파괴 또는 저하시키거나 당사 사용자 및 해당 데이터의 개인정보 보호 또는 무결성을 침해할 수 없습니다.
• 취약성(일반 PoC 제외)을 악용하는 것은 엄격히 금지되며 관련 법률에 따라 기소됩니다.
• 취약성으로 인해 의도하지 않은 데이터 액세스가 제공되는 경우 다음과 같이 해야 합니다.
  • 개념 증명을 효과적으로 입증하는 데 필요한 최소 수준으로 액세스하는 데이터의 양 제한
  • 테스트 중단
  • 테스트 중에 개인 식별 정보(PII), 개인 의료 정보(PHI), 신용 카드 데이터 또는 독점 정보와 같은
    사용자 데이터를 발견하면 즉시 보고서를 제출하십시오.
• 벤틀리는 갈취 또는 기타 강압적인 범죄 행위(예: 발견된 취약성을 악용하지 않는 대가로 선지불 요구)에 대응하지 않습니다.

취약성이 해결되었다는 별도의 통보가 없는 한, 90일 동안 취약성에 대한 공개를 보류하십시오. 그렇게 하지 않으면 소송으로 이어질 수 있습니다.

문제 또는 유사한 문제를 보고한 첫 번째 연구자만 이 정책에 따라 고려합니다. 여기에는 서로 다른 환경(예: dev-, qa-, prod-)에서 발생한 동일한 문제에 대한 보고서가 포함됩니다.

제출이 접수되면

• 보고된 취약성을 분석합니다.
• 제출이 유효하고 이 정책의 요구 사항을 충족하는 것으로 확인되면 보상을 받을 수 있습니다.
• 문제가 해결되면 알려드립니다.