취약점 공개 정책

1. 적용 범위

이 정책은 이 페이지에 연결된 Sytance Technologies Limited 운영 공개 웹사이트, 호스팅 애플리케이션 및 API에 적용되며 Sytance 서비스도 포함합니다.

고객 환경, 고객 관리 시스템, 제3자 서비스, 연동 기능, 당사가 유지관리하지 않는 오픈소스 프로젝트, 그리고 당사가 소유하거나 통제하지 않는 인프라는 적용 범위에서 제외됩니다. Sytance가 사용하는 제3자 구성요소는 신고 내용이 Sytance 운영 서비스에 미치는 영향과 관련된 범위에서만 적용 대상입니다.

소유권 또는 적용 범위가 불분명하면 security@sytance.com으로 연락하고 계속하기 전에 확인을 기다리십시오.

2. 선의의 보안 조사

이 정책에 따른 보안 조사는 선의로 수행하고, 적용 범위 안에서 다음 규칙을 준수하며, 의심되는 취약점을 확인하고 신고하는 데 합리적으로 필요한 수준으로 제한된 경우에만 허용됩니다.

• 본인이 소유하거나 사용 권한을 받은 계정과 데이터만 사용하십시오.
• 문제를 확인하는 데 필요한 최소한의 시험만 수행하고, 서비스나 다른 사용자에게 영향을 주지 않을 정도로 요청량을 낮게 유지하십시오.
• 다른 사람의 데이터, 인증정보 또는 기밀정보를 발견하면 즉시 중단하십시오.
• 데이터를 대량으로 보관, 변경, 삭제, 공개 또는 다운로드하지 마십시오.
• 지속성을 확보하거나 악성코드를 배포하지 말고, 검증 및 신고 이외의 목적으로 취약점을 이용하지 마십시오.
• 문제를 신속히 신고하고 세부 정보를 기밀로 유지하며, 당사가 조사하고 해결할 합리적인 기회를 제공하십시오.

3. 금지되는 시험

• 서비스 거부, 부하, 스트레스 또는 리소스 고갈 시험.
• 사회공학, 피싱, 인증정보 대입 공격 또는 비밀번호 스프레이.
• 제3자 시설 및 인프라에 대한 물리적 공격 또는 시험.
• 파괴 행위, 데이터 손상, 대량 계정 생성 또는 고빈도 자동 스캔.
• 법률 또는 타인의 권리를 침해하는 시험.
• 위협, 갈취 또는 대가 요구.

4. 신고에 포함할 내용

재현 절차를 포함한 간결한 신고는 당사가 문제를 안전하게 평가하고 더 신속히 대응하는 데 도움이 됩니다. 가능한 경우 다음 내용을 포함하십시오:

• 영향을 받는 도메인, URL, API 경로, 기능 또는 구성요소.
• 취약점과 잠재적 영향에 대한 명확한 설명.
• 시험 계정과 비식별 처리된 데이터를 사용하는 재현 절차.
• 최소한의 개념증명 자료, 요청 및 응답, 스크린샷 또는 로그 발췌.
• 전제 조건과 취한 안전 조치.
• 선호하는 연락처 정보.

5. 응답 목표

당사는 필요한 내용을 충분히 갖춘 신고를 영업일 기준 3일 이내에 접수 확인하고, 영업일 기준 10일 이내에 초기 평가 결과를 제공하는 것을 목표로 합니다. 확인된 문제가 적극적으로 조사 중인 동안 신고자가 유효한 연락처를 제공한 경우, 최소 영업일 기준 10일마다 실질적인 진행 상황을 알리는 것을 목표로 합니다.

영업일은 홍콩의 공휴일을 제외한 월요일부터 금요일까지를 의미합니다. 이는 소통 목표이며 해결 기한을 보장하는 것은 아닙니다. 신고 내용이 불충분하거나 접수량이 많거나 기술적 복잡성이 이례적으로 높거나 제3자에 의존하는 경우 일정이 연장될 수 있습니다. 가능한 경우 변경된 예상 일정을 안내합니다.

6. 신고 처리 절차

• 접수 및 추적 — 신고를 기록하고, 영향을 받는 자산이 적용 범위에 포함되는지 확인한 다음 신고자와 연락할 방법을 마련합니다.
• 분류 및 재현 — 제공된 정보를 평가하고 해당 동작을 재현하며, 중복 신고를 정리하고 필요한 경우 추가 설명을 요청합니다.
• 위험 평가 및 우선순위 지정 — 유효성이 확인되면 심각도, 악용 가능성, 영향을 받는 데이터와 사용자, 노출 범위, 보완 통제 및 실제 악용 증거를 평가합니다.
• 개선 및 검증 — 담당 팀이 완화 조치나 수정 사항을 마련하고 시험하며, 관련 배포 또는 제3자 종속성을 관리하고 결과를 검증합니다.
• 종결 및 공개 — 공유할 수 있는 결과를 신고자에게 알리고, 공개가 필요한 경우 이를 조율하며, 보안 권고나 감사 표명이 적절한지 검토합니다.

7. 선의의 조사에 대한 보호

이 정책을 따르기 위해 선의로 노력한 경우, 당사는 법적으로 승인할 수 있는 범위에서 해당 조사를 승인된 것으로 간주하며 적용 범위 안에서 우발적으로 선의로 한 행위만을 이유로 법적 조치를 시작하지 않습니다.

이 정책을 준수한 활동과 관련해 제3자가 법적 조치를 시작하면, 해당 활동이 당사의 취약점 공개 절차에 따라 수행되었다고 확인할 수 있습니다. 다른 조직을 대신해 활동을 승인할 수 없으며 제3자나 공공기관의 대응을 약속할 수도 없습니다.

이 보호는 불법적이거나 무모하거나 악의적이거나 갈취에 해당하는 행위를 허용하지 않고, 타인의 권리를 포기시키지 않으며, 중단 요청 이후에도 계속되는 행위를 보호하지 않습니다.

8. 공동 공개 및 감사 표명

당사가 조사하는 동안 의심되는 취약점, 개념증명 자료, 영향을 받는 고객 정보 및 개선 세부사항을 기밀로 유지하십시오. 필요한 내용을 충분히 갖춘 신고를 접수 확인한 후 통상 90일 이내의 공개를 목표로 공동 공개를 추진합니다. 공개 전에 당사에 연락하여 사용자가 스스로를 보호할 수 있는 기술적 범위와 날짜를 합의하십시오.

적절한 공개일은 심각도, 실제 악용 여부, 고객 위험, 배포 준비 상태 및 영향을 받는 제3자에 따라 앞당겨지거나 늦춰질 수 있습니다. 단지 검토를 피하기 위해 연장을 요청하지 않으며, 더 많은 시간이 필요한 경우 안전하게 공유할 수 있는 사유를 설명합니다.

공개가 사용자의 보호에 도움이 된다면 보안 권고를 게시할 수 있습니다. 신고자를 공개적으로 언급하기 전에 귀속 표기를 신고자와 협의합니다.

이 정책은 버그 바운티가 아니며 지급금, 보상, 고용 또는 기타 대가를 받을 권리를 만들지 않습니다.