Säkerhetspolicy

01 Policy för ansvarsfull rapportering

InfoPeak värdesätter säkerhetsforskare och välkomnar ansvarsfull rapportering av sårbarheter. Om du upptäcker ett säkerhetsproblem i någon InfoPeak-tjänst uppmuntrar vi dig att rapportera det till oss.

02 Omfattning

Följande tjänster och tillgångar omfattas av ansvarsfull rapportering:

• infopeak.io - huvudapplikation och webbplats
• auth.infopeak.io - autentiseringstjänst
• InfoPeak Pass - webbläsartillägg
• InfoPeak VPN - mobil- och skrivbordsappar

03 Riktlinjer för rapportering

Vi ber säkerhetsforskare att följa dessa riktlinjer:

• Ge tillräcklig information för att återskapa sårbarheten.
• Få inte åtkomst till, ändra eller radera andra användares data.
• Utför inte överbelastningsattacker eller social ingenjörskonst.
• Ge oss rimlig tid (90 dagar) att åtgärda problemet innan offentlig rapportering.

04 Svarstidslinje

Tidsramen gäller rapporter inom omfattningen i avsnitt 02 som uppfyller kraven i avsnitt 09.

05 Safe Harbor

InfoPeak kommer inte att vidta rättsliga åtgärder mot säkerhetsforskare som upptäcker och rapporterar sårbarheter i god tro enligt denna policy. Vi betraktar säkerhetsforskning som utförs under denna policy som auktoriserad och inleder inte rättsliga anspråk för att kringgå tekniska skyddsåtgärder när forskningen sker i enlighet med denna policy.

06 Incidenthantering & anmälan vid intrång

Vid en säkerhetsincident eller dataläcka följer InfoPeak dessa rutiner i enlighet med NIS2-direktivet (EU) 2022/2555 och GDPR artiklarna 33 och 34:

• Inom 24 timmar: Tidig varning till relevant nationellt CSIRT (Computer Security Incident Response Team).
• Inom 72 timmar: Fullständig incidentanmälan till tillsynsmyndigheten (GDPR) och CSIRT (NIS2), inklusive omfattningsbedömning och åtgärder.
• Utan onödigt dröjsmål: Berörda användare informeras via e-post med tydlig information om intrångets art, berörda data, vidtagna åtgärder och rekommenderade åtgärder.
• Inom 1 månad: En slutrapport lämnas till berörda myndigheter med rotorsaksanalys och förebyggande åtgärder.

07 Säkerhetsarkitektur

InfoPeak använder följande säkerhetsåtgärder som en del av vårt åtagande enligt Cyber Resilience Act (CRA):

• Kryptering i vila: Ditt innehåll krypteras med AES-256-GCM. Nycklarna härleds i din webbläsare med PBKDF2-SHA256 (210 000 iterationer) och når aldrig våra servrar.
• Kryptering under överföring: TLS 1.3 för alla anslutningar.
• Zero-knowledge-arkitektur: Personliga krypteringsnycklar härleds på klientsidan. InfoPeak kan inte komma åt ditt krypterade innehåll.
• Endast EU-hosting: All infrastruktur finns inom Europeiska unionen.
• Regelbundna säkerhetsuppdateringar: Beroenden och infrastruktur övervakas och uppdateras kontinuerligt.

08 Utanför omfattningen

Följande registreras men behandlas inte som sårbarheter. Rapporter som enbart täcker dessa punkter får inget individuellt svar:

• Saknade säkerhetsheaders utan påvisad exploatering - exempelvis CSP, HSTS eller X-Frame-Options på sidor utan känsligt innehåll.
• SPF-, DKIM- och DMARC-konfiguration samt andra DNS-rekommendationer utan dokumenterad spoofing.
• Self-XSS och attacker som kräver att offret själv klistrar in kod i sin egen webbläsarkonsol.
• Clickjacking på sidor utan tillståndsändrande åtgärder.
• Saknad rate limiting på slutpunkter som varken autentiserar eller skickar e-post.
• Versions- och teknikavslöjande samt rapporter om föråldrade bibliotek utan påvisad angreppsväg.
• Utdata från automatiska skannrar utan en verifierad, reproducerbar exploatering.
• Denial of service, volymattacker, social engineering och fysisk åtkomst.

09 Krav på en rapport

En rapport ska kunna läsas och reproduceras utan att vi behöver fråga efter mer. Skicka den som text i själva e-postmeddelandet:

• Berörd URL eller slutpunkt samt vilket konto eller vilken roll du testade med.
• Reproduktionssteg i skriftlig form. En video räcker inte - vi behandlar inte rapporter där stegen bara finns i en videofil.
• Den konkreta konsekvensen. Vilka data eller åtgärder blir tillgängliga, och för vem.
• Ett fynd per rapport. Samlingsrapporter med flera orelaterade fynd triageras inte.
• Inga länkar till externa filtjänster. Bifoga underlag direkt i e-postmeddelandet.

Rapporter som inte uppfyller dessa krav stängs utan svar. Det är ingen bedömning av fyndet - vi har inte kapacitet att rekonstruera en rapport för avsändaren.