Como Relatar uma Vulnerabilidade ou Problema de Segurança para a Elo

O Que Incluir em Seu Relatório

Para nos ajudar a investigar e responder rapidamente, por favor, forneça o seguinte:

• Seu nome completo e informações de contato
  (Email preferido, mas qualquer meio que possamos usar para acompanhamento é aceitável.)

• Descrição detalhada do problema, incluindo:

  • O nome do serviço, produto ou sistema da Elo afetado

  • O nome do software, descrição e número da versão (se aplicável)

  • Instruções passo a passo para reproduzir o problema

  • Uma descrição técnica da vulnerabilidade (inclua prova de conceito, se possível)

  • O impacto ou risco potencial representado pelo problema

  • Qualquer outra informação relevante que possa nos ajudar a validar e resolver a vulnerabilidade

Política de Divulgação de Vulnerabilidades

Diretrizes de Relato Responsável

A Elo valoriza e incentiva contribuições de clientes e da comunidade em geral para ajudar a melhorar a segurança de nossos produtos e serviços. Se você identificar uma vulnerabilidade potencial, pedimos que aja de forma responsável e siga estas diretrizes:

• Não acesse, modifique, ou teste os sistemas, serviços, produtos ou software da Elo sem a devida autorização.

• Não divulgue, altere, destrua ou misuse qualquer dado encontrado durante sua investigação.

• Mantenha todas as informações relacionadas ao problema relatado estritamente confidenciais, incluindo comunicações com a Elo.

• Evite ataques de negação de serviço (DoS) ou qualquer teste que possa impactar a disponibilidade, integridade ou confidencialidade dos sistemas da Elo.

• Não se envolva em engenharia social, phishing ou atividades semelhantes direcionadas a clientes ou funcionários da Elo.

• Por favor, note: a Elo não oferece compensação pelo tempo gasto ou por vulnerabilidades descobertas durante testes ou pesquisas não solicitados.

Processo de Resposta a Vulnerabilidades

A Elo segue um processo estruturado para avaliar e tratar vulnerabilidades de segurança relatadas.

Após a confirmação inicial, a Elo fará esforços razoáveis para responder dentro de 30 dias para confirmar se a vulnerabilidade relatada foi:

• Validada e aceita, ou
• Rejeitada
  • Se a vulnerabilidade for aceita, a Elo poderá fornecer um cronograma proposto de mitigação não vinculativo.
  • Se a vulnerabilidade for rejeitada, a Elo fornecerá a justificativa para a rejeição e permanece aberta a revisar qualquer informação adicional fornecida.

Uma vez que uma vulnerabilidade é confirmada e aceita, os engenheiros da Elo trabalharão para desenvolver as mitig ações apropriadas de hardware e/ou software.

A Elo se esforça para completar a análise e implementar as mitig ações de software dentro de 90 dias a partir da confirmação inicial. No entanto, o lançamento real das mitig ações pode se estender além desse prazo devido a fatores como:

• Fornecedores upstream com diferentes prazos de resolução de problemas
• Mudanças substanciais de hardware ou arquitetônicas necessárias
• Limitações de ciclo de vida de produtos ou recursos
• Integração através de múltiplos canais de distribuição ou ecossistemas

A seu critério, a Elo pode periodicamente publicar boletins de segurança para informar o público sobre as mitig ações concluídas para produtos afetados.

Últimas Atualizações de Segurança