Архитектура безопасности, границы отчетности и ожидания ответственного раскрытия информации для веб-сайта Lucius.
Статическая доставка, отсутствие учетных записей и отсутствие общей серверной части снижают уровень риска, но не устраняют необходимости тщательной практики обеспечения безопасности.
Рабочая сборка содержит статические страницы и ресурсы, доставленные через Cloudflare. В текущей версии нет базы данных веб-сайта, системы аутентификации, оформления заказа, портала для пациентов или общей контактной формы.
В производственных ответах используется защита типа контента, ограничения кадров, элементы управления реферерами, политика безопасности контента и политика разрешений, которая отключает ненужные возможности устройства. Cloudflare обеспечивает доставку TLS, пограничное кэширование и контроль безопасности трафика.
На сайте отсутствуют учетные записи, информация о пациентах, онлайн-платежи, рекламные трекеры и базы данных форм. Языковые настройки хранятся локально. Сокращение хранимой личной информации снижает последствия компрометации на уровне приложений.
Проблемы безопасности могут быть инициированы через контактный маршрут до тех пор, пока не будет опубликован проверенный выделенный почтовый ящик безопасности. Укажите затронутый URL-адрес, наблюдаемое поведение, дату, браузер и шаги безопасного воспроизведения. Не осуществляйте доступ, не загружайте, не сохраняйте и не передавайте личные, конфиденциальные данные или данные пациентов.
Не выполняйте тестирование на отказ в обслуживании, автоматическое сканирование больших объемов, атаки на учетные данные, сохранение, развертывание вредоносных программ, социальную инженерию или тестирование сторонних служб. Прекратите тестирование, если обнаружена конфиденциальная информация, и сообщите о проблеме, не включая эту информацию.
Lucius может запросить разъяснения, воспроизвести проблему, определить приоритетность исправления и согласовать сроки раскрытия информации. Это заявление не создает программу вознаграждения за ошибки, обязательства по оплате или разрешение на тестирование систем за пределами общедоступного веб-сайта Lucius.
