Princípios de Segurança
A segurança do ecossistema Kripta não é uma funcionalidade — é uma propriedade arquitectural. O Túmulo existe para garantir que a protecção do ecossistema não depende de nenhum fornecedor externo. A DSEG (Diretoria de Segurança Corporativa) é responsável pela segurança de toda a infraestrutura da KriptaCorp.
Seguimos três princípios que não são negociáveis e que governam todas as decisões de segurança dentro do Sistema Kripta:
Divulgação Responsável
A KriptaCorp encoraja a divulgação responsável de vulnerabilidades. Se descobriste uma vulnerabilidade no ecossistema Kripta, queremos saber — antes que alguém com intenções diferentes descubra a mesma coisa.
Tratamos todos os investigadores de segurança que actuam de boa fé com respeito e reconhecimento. A segurança do ecossistema é um esforço colectivo.
O nosso programa de divulgação responsável é coordenado pela DSEG. Não temos actualmente um programa de recompensas (bug bounty) formalizado — mas cada vulnerabilidade válida recebe reconhecimento público no nosso Hall of Security (a publicar) e resposta directa do CISO.
Escopo do Programa
O programa de divulgação responsável cobre os seguintes componentes do ecossistema Kripta. Vulnerabilidades fora de escopo não são elegíveis para reconhecimento mas podem ser reportadas para análise.
Processo de Reporte
O processo de divulgação responsável segue quatro etapas declaradas. Todos os prazos são contados em dias úteis a partir da recepção do reporte.
Pedimos que não divulgues publicamente a vulnerabilidade antes de recebermos a confirmação de resolução ou antes de acordarmos um prazo de divulgação coordenada. O prazo máximo de divulgação coordenada é 90 dias a partir da confirmação.
Os nossos Compromissos
A KriptaCorp compromete-se com os seguintes compromissos em relação a todos os investigadores de segurança que actuam de boa fé:
Contacto de Segurança
Para reportes de vulnerabilidades, questões de segurança ou qualquer assunto relacionado com a protecção do ecossistema Kripta:
Para questões gerais não relacionadas com segurança, utiliza os canais institucionais disponíveis na página A Corporação.