Báo cáo lỗ hổng bảo mật.

Cách báo cáo lỗ hổng

Vui lòng gửi báo cáo đến security@evmsi.com, kèm đủ thông tin để chúng tôi tái hiện vấn đề. Chúng tôi đặt mục tiêu xác nhận đã nhận báo cáo trong vòng ba ngày làm việc.

Cam kết bảo vệ người báo cáo thiện chí

Nếu quý vị thiện chí tuân thủ chính sách này trong quá trình nghiên cứu, chúng tôi sẽ xem hoạt động đó là được cho phép. Chúng tôi sẽ phối hợp với quý vị để làm rõ và khắc phục vấn đề nhanh chóng, đồng thời không đề nghị hoặc tiến hành hành động pháp lý.

Trong phạm vi

• 01Trang web này và các tên miền phụ của trang web.
• 02Điểm tiếp nhận dữ liệu liên hệ tại /api/contact.
• 03Các lỗ hổng cho phép thực thi mã, chèn nội dung hoặc vượt qua Chính sách bảo mật nội dung (Content Security Policy).

Ngoài phạm vi

• 01Tấn công từ chối dịch vụ, thử nghiệm bằng lưu lượng lớn hoặc bất kỳ hoạt động nào làm gián đoạn khả năng truy cập của người khác.
• 02Lừa đảo bằng cách thao túng tâm lý nhân viên, đối tác hoặc nhà cung cấp.
• 03Tấn công vào văn phòng hoặc nhân viên.
• 04Báo cáo chỉ dựa trên công cụ quét tự động mà không chứng minh được tác động thực tế.
• 05Thiếu tiêu đề HTTP tăng cường bảo mật nhưng không chứng minh được cách khai thác lỗ hổng.

Các biện pháp bảo mật

Trang web kiểm tra quyền truy cập trên máy chủ, hạn chế thu thập dữ liệu và áp dụng các chính sách bảo mật nghiêm ngặt cho trình duyệt. Phiên xem trước riêng tư và số liệu đếm hành vi lạm dụng chỉ được lưu tạm thời. Các biện pháp bảo mật giúp giảm rủi ro và cần được rà soát thường xuyên.

• 01Chính sách bảo mật nội dung (Content Security Policy) sử dụng mã nonce để cho phép các đoạn mã ứng dụng được chấp thuận và hạn chế thực thi các đoạn mã khác.
• 02Áp dụng cơ chế HTTP Strict Transport Security (HSTS) cho tên miền này với thời hạn hiệu lực một năm.
• 03Không cho phép nhúng trang web vào khung của trang khác, thông qua cả frame ancestors và X Frame Options.
• 04Áp dụng các chính sách cô lập giữa các nguồn: giới hạn cửa sổ mở trang, tài nguyên và nội dung nhúng theo cùng nguồn.
• 05Chính sách Permissions Policy vô hiệu hóa các tính năng thiết bị mà trang web không sử dụng, kể cả đối với chính trang web này.
• 06Điểm tiếp nhận liên hệ áp dụng kiểm tra dữ liệu trên máy chủ, giới hạn dung lượng yêu cầu, xác minh nguồn gửi và hạn mức chung cho số lần gửi.
• 07Trang web không sử dụng công cụ phân tích, trình quản lý thẻ, điểm ảnh quảng cáo hoặc công cụ ghi lại phiên truy cập của bên thứ ba.

Những việc không được thực hiện

Không truy cập, sửa đổi hoặc xóa dữ liệu không thuộc về quý vị; không làm gián đoạn dịch vụ của người khác; không công bố chi tiết về vấn đề chưa được giải quyết trước khi chúng tôi có thời gian hợp lý để khắc phục.

Liên hệ

EV MULTI SECTOR INVESTMENT COMPANY LIMITED
security@evmsi.com