Zasady bezpiecznego korzystania z publicznych narzędzi, konta, skanera portów, raportów i automatyzacji.
Cyberocena udostępnia narzędzia do zewnętrznej oceny domen, publicznych adresów IP i usług oraz panel do zapisywania zasobów, wyników, ustaleń, raportów, incydentów, dostawców i harmonogramów, a po zalogowaniu także do porównywania kolejnych skanów oraz konfigurowania inteligentnych alertów. Zakres funkcji może zależeć od rodzaju konta, uprawnień, potwierdzenia adresu e-mail i technicznej weryfikacji zasobu.
Użytkownik podaje prawdziwe dane potrzebne do utworzenia konta, chroni hasło i kody 2FA oraz nie udostępnia konta osobom nieuprawnionym. Należy niezwłocznie zgłosić podejrzenie przejęcia konta. Operator może zakończyć sesje, czasowo ograniczyć dostęp albo wymagać dodatkowej weryfikacji, gdy jest to potrzebne dla bezpieczeństwa.
Testy można uruchamiać wyłącznie dla zasobów własnych albo objętych jednoznacznym upoważnieniem. Przed skanem użytkownik potwierdza prawo do testowania. Oświadczenie, konto, czas, adres IP i podstawowe dane techniczne żądania mogą zostać zapisane w dzienniku audytowym. Operator może ograniczyć zakres, częstotliwość lub liczbę celów oraz zablokować adresy prywatne, lokalne, zastrzeżone i inne cele podwyższonego ryzyka.
Zabronione jest nieautoryzowane lub masowe skanowanie cudzej infrastruktury, obchodzenie limitów, próby logowania, eksploatacji podatności, łamania haseł, zakłócania dostępności, uzyskania nieuprawnionego dostępu lub wykorzystania wyników z naruszeniem prawa i praw osób trzecich. Do formularzy nie wolno wprowadzać haseł badanych systemów, kluczy prywatnych ani sekretów.
Wyniki są automatyczną oceną informacyjną opartą na danych publicznie dostępnych, odpowiedziach usług, pasywnie odczytanych banerach i nagłówkach oraz dopasowaniu produktu i wersji do katalogów podatności. Baner może być ukryty, zmieniony albo wskazywać numer starszy niż faktyczny poziom poprawek, w szczególności przy backportach dystrybucji. Rekord CVE oznacza potencjalne dopasowanie CPE i nie potwierdza, że konkretna konfiguracja jest podatna. Wyniki, wykryte zmiany i alerty mogą zawierać błędy, dane niepełne lub fałszywie dodatnie i wymagają weryfikacji człowieka. Brak alertu nie stanowi potwierdzenia braku zmiany albo podatności, a wyciszenie przez cooldown, ciche godziny lub mechanizm redukcji flappingu nie usuwa zdarzenia z historii panelu. Skan portów lub domeny może stanowić wstępny element oceny ekspozycji ICT, ale nie jest certyfikatem, testem penetracyjnym, opinią prawną ani pełnym audytem zgodności z rozporządzeniem DORA.
Serwis może czasowo ograniczać funkcje z przyczyn bezpieczeństwa, konserwacji, limitów hostingu, dostawców danych lub awarii. Użytkownik odpowiada za decyzje podjęte na podstawie wyniku i powinien wykonać kopię konfiguracji oraz niezależną weryfikację przed zmianą środowiska produkcyjnego. Postanowienia nie ograniczają odpowiedzialności, której nie można wyłączyć na mocy bezwzględnie obowiązujących przepisów.
Wyznaczeni, imienni superadministratorzy mogą wykonywać globalne operacje niezbędne do utrzymania, bezpieczeństwa, obsługi zgłoszeń, przeciwdziałania nadużyciom i realizacji obowiązków prawnych. Nadanie lub odebranie roli wymaga aktywnej sesji zabezpieczonej 2FA, dokładnego potwierdzenia konta, uzasadnienia i świadomego zatwierdzenia zakresu. Operacja jest limitowana, rejestrowana i kończy aktywne sesje konta, którego uprawnienia zmieniono.
Tryb wsparcia z perspektywy użytkownika jest oznaczony, domyślnie tylko do odczytu, wymaga powodu i rejestruje rozpoczęcie oraz zakończenie. Hasła, sekrety TOTP, tokeny SMTP i klucze API nie są prezentowane w panelu administracyjnym.
Użytkownik może zrezygnować z konta lub zażądać usunięcia danych z zastrzeżeniem okresów potrzebnych do bezpieczeństwa, wykonania obowiązków prawnych i obrony roszczeń. Operator może wstrzymać albo usunąć konto naruszające regulamin, prawo lub bezpieczeństwo serwisu. Usunięcie konta przez superadministratora wymaga dokładnego potwierdzenia adresu i uzasadnienia oraz jest audytowane.
Zgłoszenia dotyczące usługi kieruj na kontakt@cyberocena.com, a sprawy danych osobowych na privacy@cyberocena.com. Podaj opis, datę, używaną funkcję i bezpieczny identyfikator raportu. Nie przesyłaj haseł ani sekretów.
Aktualna wersja jest publikowana na tej stronie. O zmianach istotnych dla aktywnego konta lub zakresu usługi operator informuje w panelu albo e-mailem z odpowiednim wyprzedzeniem, chyba że natychmiastowa zmiana jest konieczna ze względów bezpieczeństwa lub prawa.