https://www.tempest.com.br/_next/static/chunks/pages/sidechannel/politica-de-divulgacao-e5995e248f469ba3.js

1(self.webpackChunk_N_E=self.webpackChunk_N_E||[]).push([[1162],{236:(e,a,o)=>{"use strict";o.d(a,{A:()=>r});var s=o(37876),i=o(91722);function r(e){let{theme:a,children:o,className:r,id:d}=e;return(0,s.jsx)("section",{id:d,className:(0,i.cn)(["".concat("dark"===a?"bg-grayTheme-500 text-white":"bg-white text-black"),r]),children:o})}o(14232)},9471:(e,a,o)=>{(window.__NEXT_P=window.__NEXT_P||[]).push(["/sidechannel/politica-de-divulgacao",function(){return o(92286)}])},31842:(e,a,o)=>{"use strict";o.d(a,{A:()=>t});var s=o(37876),i=o(45836),r=o(77328),d=o.n(r);function n(e){if(null==e||"string"!=typeof e)return null;let a=e.trim();return a.length>0?a:null}function t(e){var a,o;let{seo:r,context:t,schema:c,imgPreload:l}=e;r&&""!==r.canonical&&void 0!==r.canonical&&"/"===r.canonical.charAt(0)&&(r.canonical="/"===r.canonical.charAt(0)?r.canonical.slice(1):r.canonical);let u=function(e){if(null==e)return null;if("string"==typeof e){let a=e.trim();return a.length>0?a:null}if("object"==typeof e&&!Array.isArray(e)){let a=[];"string"==typeof e.index&&e.index.trim()&&a.push(e.index.trim()),"string"==typeof e.follow&&e.follow.trim()&&a.push(e.follow.trim());let o=["max-snippet","max-image-preview","max-video-preview"];for(let s of o){let o=e[s];"string"==typeof o&&o.trim()&&a.push(o.trim())}for(let[s,i]of Object.entries(e))!("index"===s||"follow"===s||o.includes(s))&&"string"==typeof i&&i.trim()&&a.push(i.trim());return a.length>0?a.join(", "):null}return null}(null==r?void 0:r.robots),p=n(null==r?void 0:r.title),m=n(null==r?void 0:r.description),v=n(null==r?void 0:r.metakeywords),h=function(e){if(!e||"home"===e)return"https://www.tempest.com.br";let a=e.startsWith("/")?e.slice(1):e;return"https://www.tempest.com.br/".concat(a)}(null==r?void 0:r.canonical),x=null!=(a=n(null==r?void 0:r.ogImage))?a:"https://www.tempest.com.br/imagem-og.png";return(0,s.jsxs)(d(),{children:[p?(0,s.jsx)("title",{children:(0,i.D4)(p)}):null,m?(0,s.jsx)("meta",{name:"description",content:(0,i.D4)(m)}):null,v?(0,s.jsx)("meta",{name:"keywords",content:(0,i.D4)(v)}):null,(0,s.jsx)("meta",{httpEquiv:"Content-Type",content:"text/html;charset=UTF-8"}),(0,s.jsx)("meta",{name:"viewport",content:"width=device-width, initial-scale=1.0"}),(0,s.jsx)("meta",{httpEquiv:"X-UA-Compatible",content:"ie=edge"}),(0,s.jsx)("link",{rel:"canonical",href:h}),(0,s.jsx)("link",{rel:"alternate",hrefLang:"x-default",href:h}),(0,s.jsx)("link",{rel:"alternate",hrefLang:"pt",href:h}),(0,s.jsx)("link",{rel:"alternate",hrefLang:"en",href:"home"!==r.canonical?"https://www.tempest.com.br/en/".concat(r.canonical):"https://www.tempest.com.br/en"}),(0,s.jsx)("link",{rel:"alternate",hrefLang:"es",href:"home"!==r.canonical?"https://www.tempest.com.br/es/".concat(r.canonical):"https://www.tempest.com.br/es"}),p?(0,s.jsx)("meta",{property:"og:title",content:(0,i.D4)(p)}):null,m?(0,s.jsx)("meta",{property:"og:description",content:(0,i.D4)(m)}):null,(0,s.jsx)("meta",{property:"og:url",content:h}),(0,s.jsx)("meta",{property:"og:type",content:null!=(o=null==r?void 0:r.ogType)?o:"website"}),(0,s.jsx)("meta",{property:"og:locale",content:"pt_BR"}),(0,s.jsx)("meta",{property:"og:site_name",content:"Tempest"}),(0,s.jsx)("meta",{property:"og:image",content:x}),u?(0,s.jsx)("meta",{name:"robots",content:u}):null,c&&null!=c&&""!==c&&!r.schema&&(0,s.jsx)("script",{nonce:"schema",type:"application/ld+json",children:JSON.stringify(c)}),r.schema&&!c&&(0,s.jsx)("script",{nonce:"seo.schema",type:"application/ld+json",children:JSON.stringify(r.schema)}),l?(0,s.jsx)("link",{rel:"preload",href:l,as:"image",fetchPriority:"high"}):null]})}},92286:(e,a,o)=>{"use strict";o.r(a),o.d(a,{default:()=>n});var s=o(37876),i=o(31842),r=o(35064),d=o(236);function n(){return(0,s.jsxs)(s.Fragment,{children:[(0,s.jsx)(i.A,{seo:{title:"Pol\xedtica de divulga\xe7\xe3o | SideChannel – Tempest",description:"Politica de Divulgacao",canonical:"politica-de-divulgacao"}}),(0,s.jsxs)("main",{className:"relative h-auto overflow-hidden",children:[(0,s.jsx)("div",{className:"h-[53px]",children:(0,s.jsx)(r.A,{})}),(0,s.jsx)("div",{className:"w-full bg-[#EFEEED] dark:bg-sections-grayDark py-48",children:(0,s.jsxs)(d.A,{className:"bg-[#EFEEED] dark:bg-sections-grayDark text-black dark:text-white container max-w-7xl mx-auto px-4 flex flex-col  justify-center gap-2 [&>div>p]:py-2 [&>div>p]:leading [&>h4]:mb-1 [&>h5]:mb-1 [&>p]:mb-1 [&>ol]:mb-1 [&>li]:mb-1 relative",children:[(0,s.jsx)("h1",{className:"text-4xl font-bold mb-2",children:"Pol\xedtica de divulga\xe7\xe3o"}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"1. Objetivo"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica tem o objetivo de disciplinar o processo de divulga\xe7\xe3o de vulnerabilidades de seguran\xe7a."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"2. Escopo"})}),(0,s.jsx)("p",{children:"A pol\xedtica abrange as vulnerabilidades identificadas em qualquer tipo de tecnologia, incluindo tecnologias desenvolvidas pela Tempest."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"3. Princ\xedpios"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica visa atender a um conjunto de princ\xedpios os quais a Tempest considera como valores intr\xednsecos ao processo de descoberta e divulga\xe7\xe3o de vulnerabilidades. S\xe3o eles:"}),(0,s.jsx)("p",{children:"3.1. Na Tempest a busca por vulnerabilidades \xe9 orientada pelo desejo de trazer mais seguran\xe7a para os clientes e para a sociedade."}),(0,s.jsx)("p",{children:"3.2. As entidades devem buscar o di\xe1logo para divulgar vulnerabilidades de modo respons\xe1vel."}),(0,s.jsx)("p",{children:"3.3. Os recursos e esfor\xe7os para encontrar vulnerabilidades precisam ser proporcionais a provar que a vulnerabilidade existe."}),(0,s.jsx)("p",{children:"3.4. A defini\xe7\xe3o das regras para a divulga\xe7\xe3o coordenada de vulnerabilidades traz equil\xedbrio no relacionamento entre as entidades do processo e protege os pesquisadores."}),(0,s.jsx)("p",{children:"3.5. A divulga\xe7\xe3o de vulnerabilidades \xe0 revelia do fabricante (full disclosure) \xe9 orientada pelo benef\xedcio \xe0 sociedade em condi\xe7\xf5es nas quais h\xe1 perigo iminente de sua explora\xe7\xe3o. Este tipo de divulga\xe7\xe3o somente pode ocorrer em situa\xe7\xf5es nas quais todas as tentativas de comunica\xe7\xe3o ou consenso entre as partes tenham se esgotado at\xe9 o prazo limite determinado no item 7.1.7 abaixo."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"4. Defini\xe7\xf5es"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Vulnerabilidade"}),"– \xe9 um conjunto de condi\xe7\xf5es ou comportamentos que possibilitam a viola\xe7\xe3o de uma pol\xedtica de seguran\xe7a expl\xedcita ou impl\xedcita. Vulnerabilidades podem ser causadas por defeitos de softw

1are, decis\xf5es sobre configura\xe7\xe3o ou design, intera\xe7\xf5es inesperadas entre sistemas ou mudan\xe7as no ambiente. A explora\xe7\xe3o bem-sucedida de uma vulnerabilidade possui impactos t\xe9cnicos e de risco. Vulnerabilidades podem surgir em sistemas de processamento de informa\xe7\xf5es t\xe3o cedo quanto em fase de projeto e t\xe3o tarde quanto na implanta\xe7\xe3o do sistema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Risco"}),"– Uma medida da extens\xe3o em que uma entidade \xe9 amea\xe7ada por uma circunst\xe2ncia ou evento em potencial, \xe9 tipicamente uma fun\xe7\xe3o de: (i) os impactos adversos que surgiriam se a circunst\xe2ncia ou evento ocorresse; e (ii) a probabilidade de ocorr\xeancia."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Impacto Potencial"}),"– A perda de confidencialidade, integridade ou disponibilidade que se pode esperar causando um efeito adverso limitado, grave ou catastr\xf3fico sobre opera\xe7\xf5es e ativos organizacionais ou indiv\xedduos."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVSS"}),"– acr\xf4nimo para Common Vulnerability Scoring System – Sistema Comum de Pontua\xe7\xe3o de Vulnerabilidade, em uma tradu\xe7\xe3o livre. Trata-se de uma maneira de capturar as principais caracter\xedsticas de uma vulnerabilidade e lhe dar uma nota de acordo com sua severidade, o que pode ajudar as organiza\xe7\xf5es a priorizar atividades de corre\xe7\xe3o da falha de acordo com seu impacto potencial e risco."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVD"}),"– acr\xf4nimo para Coordinated Vulnerability Disclosure – Divulga\xe7\xe3o Coordenada de Vulnerabilidade. Consiste em um processo para a redu\xe7\xe3o da vantagem de advers\xe1rios enquanto uma vulnerabilidade de seguran\xe7a da informa\xe7\xe3o \xe9 mitigada. CVD \xe9 um processo, n\xe3o um evento. Liberar um patch ou publicar um documento s\xe3o eventos importantes dentro do processo, mas n\xe3o o definem."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"5. Pap\xe9is e Responsabilidades"})}),(0,s.jsx)("p",{children:"Por ser um processo coordenado, o CVD pode envolver m\xfaltiplas organiza\xe7\xf5es, tais como empresas, funda\xe7\xf5es, ag\xeancias governamentais e indiv\xedduos, os quais podem assumir diversos pap\xe9is e responsabilidades espec\xedficas no processo. A Tempest pode, por exemplo, assumir o papel de finder de relator e coordenador para as vulnerabilidades que encontra. Adicionalmente pode tamb\xe9m assumir o papel de fabricante e deployer para as vulnerabilidades encontradas em suas teconologias."}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Finder"}),"– indiv\xedduo ou organiza\xe7\xe3o que encontra a vulnerabilidade. Muitas vezes se trata de um pentester ou pesquisador de seguran\xe7a os quais est\xe3o motivados pelo desafio t\xe9cnico ou pelo reconhecimento que a divulga\xe7\xe3o da vulnerabilidade pode oferecer. Eventualmente essa fun\xe7\xe3o \xe9 desempenhada institucionalmente por empresas ou pelo pr\xf3prio fabricante."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Relator "}),"– indiv\xedduo ou organiza\xe7\xe3o que comunica a vulnerabilidade ao fabricante. Em muitos casos essa atividade \xe9 desempenhada pelo Finder. Entretanto, a atividade pode ser eventualmente desempenhada por uma empresa que intermedeia a comunica\xe7\xe3o entre o fabricante e o Finder, cobrando uma taxa sobre a recompensa atrelada \xe0 divulga\xe7\xe3o respons\xe1vel do problema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Fabricante"}),"– Empresa, organiza\xe7\xe3o sem fins lucrativos, ag\xeancia governamental, indiv\xedduo ou grupo de indiv\xedduos que cria, desenvolve e/ou mant\xe9m tecnologias. No CVD esta \xe9 a entidade respons\xe1vel por avaliar a documenta\xe7\xe3o enviada pelo Finder, planejar e desenvolver corre\xe7\xf5es, bem como disponibiliz\xe1-las para os Deployers."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployer"}),"– Indiv\xedduo ou organiza\xe7\xe3o com a fun\xe7\xe3o de planejar, testar e implementar corre\xe7\xf5es para vulnerabilidades."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Coordenador"}),"– Indiv\xedduo ou \xe1rea em uma organiza\xe7\xe3o com a fun\xe7\xe3o de gerir o ciclo de identifica\xe7\xe3o de corre\xe7\xe3o de vulnerabilidades no processo de CVD. Eventualmente o processo pode demandar a coordena\xe7\xe3o de atividades entre m\xfaltiplas empresas o que acarreta em um coordenador para todo o caso. Na Tempest, essa fun\xe7\xe3o \xe9 ocupada por funcion\xe1rios com o badge de Research Advisor."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"6. Fases do CVD"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Descoberta"}),"– momento em que a vulnerabilidade \xe9 identificada. Isto pode acontecer acidentalmente ou dentro do escopo de uma pesquisa."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Reporting"}),'– momento em que o Finder e/ou o Relator documentam a descoberta da vulnerabilidade em um "vulnerability advisory".']}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Valida\xe7\xe3o e Triagem"}),"– momento em que o fabricante valida a acur\xe1cia da documenta\xe7\xe3o e prioriza essa corre\xe7\xe3o em rela\xe7\xe3o a outras poss\xedveis atividades semelhantes."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Remedia\xe7\xe3o"}),"– atividade de desenvolver uma corre\xe7\xe3o para o problema e test\xe1-la."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployment"}),"– fase em que o Deployer planeja, testa e implementa a corre\xe7\xe3o em seu ambiente."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"7. Diretrizes"})}),(0,s.jsx)("p",{children:"Com as diretrizes abaixo, a Tempest busca aplicar um conjunto de regras gerais para o tratamento de vulnerabilidades, tanto as i

1dentificadas em suas solu\xe7\xf5es, quanto \xe0s que encontra nas mais variadas tecnologias."}),(0,s.jsx)("p",{children:'Essa iniciativa, se baseia em pr\xe1ticas reconhecidas internacionalmente e possui o objetivo de contribuir para a seguran\xe7a de todos, conforme detalhado na se\xe7\xe3o 3 "princ\xedpios" deste documento. Portanto, a Tempest cumpre com as diretrizes dessa pol\xedtica e espera que as outras organiza\xe7\xf5es tamb\xe9m estejam em conformidade com ela.'})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.1. Diretrizes do Coordenador"})}),(0,s.jsx)("p",{children:"7.1.1. O coordenador deve agir sob as princ\xedpios dessa pol\xedtica;"}),(0,s.jsx)("p",{children:"7.1.2. O coordenador opera como um gerente de projetos, resolvendo conflitos e desobstruindo o canal de comunica\xe7\xe3o entre todas as partes;"})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"1. Objetivo"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica tem o objetivo de disciplinar o processo de divulga\xe7\xe3o de vulnerabilidades de seguran\xe7a."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"2. Escopo"})}),(0,s.jsx)("p",{children:"A pol\xedtica abrange as vulnerabilidades identificadas em qualquer tipo de tecnologia, incluindo tecnologias desenvolvidas pela Tempest."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"3. Princ\xedpios"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica visa atender a um conjunto de princ\xedpios os quais a Tempest considera como valores intr\xednsecos ao processo de descoberta e divulga\xe7\xe3o de vulnerabilidades. S\xe3o eles:"}),(0,s.jsx)("p",{children:"3.1. Na Tempest a busca por vulnerabilidades \xe9 orientada pelo desejo de trazer mais seguran\xe7a para os clientes e para a sociedade."}),(0,s.jsx)("p",{children:"3.2. As entidades devem buscar o di\xe1logo para divulgar vulnerabilidades de modo respons\xe1vel."}),(0,s.jsx)("p",{children:"3.3. Os recursos e esfor\xe7os para encontrar vulnerabilidades precisam ser proporcionais a provar que a vulnerabilidade existe."}),(0,s.jsx)("p",{children:"3.4. A defini\xe7\xe3o das regras para a divulga\xe7\xe3o coordenada de vulnerabilidades traz equil\xedbrio no relacionamento entre as entidades do processo e protege os pesquisadores."}),(0,s.jsx)("p",{children:"3.5. A divulga\xe7\xe3o de vulnerabilidades \xe0 revelia do fabricante (full disclosure) \xe9 orientada pelo benef\xedcio \xe0 sociedade em condi\xe7\xf5es nas quais h\xe1 perigo iminente de sua explora\xe7\xe3o. Este tipo de divulga\xe7\xe3o somente pode ocorrer em situa\xe7\xf5es nas quais todas as tentativas de comunica\xe7\xe3o ou consenso entre as partes tenham se esgotado at\xe9 o prazo limite determinado no item 7.1.7 abaixo."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"4. Defini\xe7\xf5es"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Vulnerabilidade"}),"– \xe9 um conjunto de condi\xe7\xf5es ou comportamentos que possibilitam a viola\xe7\xe3o de uma pol\xedtica de seguran\xe7a expl\xedcita ou impl\xedcita. Vulnerabilidades podem ser causadas por defeitos de software, decis\xf5es sobre configura\xe7\xe3o ou design, intera\xe7\xf5es inesperadas entre sistemas ou mudan\xe7as no ambiente. A explora\xe7\xe3o bem-sucedida de uma vulnerabilidade possui impactos t\xe9cnicos e de risco. Vulnerabilidades podem surgir em sistemas de processamento de informa\xe7\xf5es t\xe3o cedo quanto em fase de projeto e t\xe3o tarde quanto na implanta\xe7\xe3o do sistema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Risco"}),"– Uma medida da extens\xe3o em que uma entidade \xe9 amea\xe7ada por uma circunst\xe2ncia ou evento em potencial, \xe9 tipicamente uma fun\xe7\xe3o de: (i) os impactos adversos que surgiriam se a circunst\xe2ncia ou evento ocorresse; e (ii) a probabilidade de ocorr\xeancia."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Impacto Potencial"}),"– A perda de confidencialidade, integridade ou disponibilidade que se pode esperar causando um efeito adverso limitado, grave ou catastr\xf3fico sobre opera\xe7\xf5es e ativos organizacionais ou indiv\xedduos."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVSS"}),"– acr\xf4nimo para Common Vulnerability Scoring System – Sistema Comum de Pontua\xe7\xe3o de Vulnerabilidade, em uma tradu\xe7\xe3o livre. Trata-se de uma maneira de capturar as principais caracter\xedsticas de uma vulnerabilidade e lhe dar uma nota de acordo com sua severidade, o que pode ajudar as organiza\xe7\xf5es a priorizar atividades de corre\xe7\xe3o da falha de acordo com seu impacto potencial e risco."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVD"}),"– acr\xf4nimo para Coordinated Vulnerability Disclosure – Divulga\xe7\xe3o Coordenada de Vulnerabilidade. Consiste em um processo para a redu\xe7\xe3o da vantagem de advers\xe1rios enquanto uma vulnerabilidade de seguran\xe7a da informa\xe7\xe3o \xe9 mitigada. CVD \xe9 um processo, n\xe3o um evento. Liberar um patch ou publicar um documento s\xe3o eventos importantes dentro do processo, mas n\xe3o o definem."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"5. Pap\xe9is e Responsabilidades"})}),(0,s.jsx)("p",{children:"Por ser um processo coordenado, o CVD pode envolver m\xfaltiplas organiza\xe7\xf5es, tais como empresas, funda\xe7\xf5es, ag\xeancias governamentais e indiv\xedduos, os quais podem assumir diversos pap\xe9is e responsabilidades espec\xedficas no processo. A Tempest pode, por exemplo, assumir o papel de finder de relator e coordenador para as vulnerabilidades que encontra. Adicionalmente pode tamb\xe9m assumir o papel de fabricante e deployer para as vulnerabilidades encontradas em suas teconologias."}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Finder"}),"– indiv\xedduo ou organiza\xe7\xe3o que encontra a vulnerabilidade. Muitas vezes se trata de um pentester ou pesquisador de seguran\xe7a os quais est\xe3o motivados pelo desafio t\xe9cnico ou pelo reconhecimento que a divulga\xe7\xe3o da vulnerabilidade pode oferecer. Eventualmente essa fun\xe7\xe3o \xe9 desempenhada institucionalmente por empresas ou pelo pr\xf3prio fabricante."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Relator "}),"– indiv\xedduo ou organiza\xe7\xe3o que comunica a vulnerabilidade ao fabricante. Em muitos casos essa atividade \xe9 desempenhada pelo Finder. Entretanto, a atividade pode ser eventualmente desempenhada por uma empresa que intermedeia a comunica\xe7\xe3o entre o fabricante e o Finder, cobrando uma taxa sobre a recompensa atrelada \xe0 divulga\xe7\xe3o respons\xe1vel do problema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Fabricante"}),"– Empresa, organiza\xe7\xe3o sem fins lucrativos, ag\xeancia governamental, indiv\xedduo ou grupo de indiv\xedduos que cria, desenvolve e/ou mant\xe9m tecnologias. No CVD esta \xe9 a entidade respons\xe1vel por avaliar a documenta\xe7\xe3o enviada pelo Finder, planejar e desenvolver corre\xe7\xf5es, bem como disponibiliz\xe1-las para os Deployers."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployer"}),"– Indiv\xedduo ou organiza\xe7\xe3o com a fun\xe7\xe3o de planejar, testar e implementar corre\xe7\xf5es para vulnerabilidades."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Coordenador"}),"– Indiv\xedduo ou \xe1rea em uma organiza\xe7\xe3o com a fun\xe7\xe3o de gerir o ciclo de identifica\xe7\xe3o de corre\xe7\xe3o de vulnerabilidades no processo de CVD. Eventualmente o processo pode demandar a coordena\xe7\xe3o de atividades entre m\xfaltiplas empresas o que acarreta em um coordenador para todo o caso. Na Tempest, essa fun\xe7\xe3o \xe9 ocupada por funcion\xe1rios com o badge de Research Advisor."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"6. Fases do CVD"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Descoberta"}),"– momento em que a vulnerabilidade \xe9 identificada. Isto pode acontecer acidentalmente ou dentro do escopo de uma pesquisa."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Reporting"}),'– momento em que o Finder e/ou o Relator documentam a descoberta da vulnerabilidade em um "vulnerability advisory".']}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Valida\xe7\xe3o e Triagem"}),"– momento em que o fabricante valida a acur\xe1cia da documenta\xe7\xe3o e prioriza essa corre\xe7\xe3o em rela\xe7\xe3o a outras poss\xedveis atividades semelhantes."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Remedia\xe7\xe3o"}),"– atividade de desenvolver uma corre\xe7\xe3o para o problema e test\xe1-la."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployment"}),"– fase em que o Deployer planeja, testa e implementa a corre\xe7\xe3o em seu ambiente."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"7. Diretrizes"})}),(0,s.jsx)("p",{children:"Com as diretrizes abaixo, a Tempest busca aplicar um conjunto de regras gerais para o tratamento de vulnerabilidades, tanto as i

1dentificadas em suas solu\xe7\xf5es, quanto \xe0s que encontra nas mais variadas tecnologias."}),(0,s.jsx)("p",{children:'Essa iniciativa, se baseia em pr\xe1ticas reconhecidas internacionalmente e possui o objetivo de contribuir para a seguran\xe7a de todos, conforme detalhado na se\xe7\xe3o 3 "princ\xedpios" deste documento. Portanto, a Tempest cumpre com as diretrizes dessa pol\xedtica e espera que as outras organiza\xe7\xf5es tamb\xe9m estejam em conformidade com ela.'})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.1. Diretrizes do Coordenador"})}),(0,s.jsx)("p",{children:"7.1.1. O coordenador deve agir sob as princ\xedpios dessa pol\xedtica;"})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"1. Objetivo"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica tem o objetivo de disciplinar o processo de divulga\xe7\xe3o de vulnerabilidades de seguran\xe7a."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"2. Escopo"})}),(0,s.jsx)("p",{children:"A pol\xedtica abrange as vulnerabilidades identificadas em qualquer tipo de tecnologia, incluindo tecnologias desenvolvidas pela Tempest."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"3. Princ\xedpios"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica visa atender a um conjunto de princ\xedpios os quais a Tempest considera como valores intr\xednsecos ao processo de descoberta e divulga\xe7\xe3o de vulnerabilidades. S\xe3o eles:"}),(0,s.jsx)("p",{children:"3.1. Na Tempest a busca por vulnerabilidades \xe9 orientada pelo desejo de trazer mais seguran\xe7a para os clientes e para a sociedade."}),(0,s.jsx)("p",{children:"3.2. As entidades devem buscar o di\xe1logo para divulgar vulnerabilidades de modo respons\xe1vel."}),(0,s.jsx)("p",{children:"3.3. Os recursos e esfor\xe7os para encontrar vulnerabilidades precisam ser proporcionais a provar que a vulnerabilidade existe."}),(0,s.jsx)("p",{children:"3.4. A defini\xe7\xe3o das regras para a divulga\xe7\xe3o coordenada de vulnerabilidades traz equil\xedbrio no relacionamento entre as entidades do processo e protege os pesquisadores."}),(0,s.jsx)("p",{children:"3.5. A divulga\xe7\xe3o de vulnerabilidades \xe0 revelia do fabricante (full disclosure) \xe9 orientada pelo benef\xedcio \xe0 sociedade em condi\xe7\xf5es nas quais h\xe1 perigo iminente de sua explora\xe7\xe3o. Este tipo de divulga\xe7\xe3o somente pode ocorrer em situa\xe7\xf5es nas quais todas as tentativas de comunica\xe7\xe3o ou consenso entre as partes tenham se esgotado at\xe9 o prazo limite determinado no item 7.1.7 abaixo."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"4. Defini\xe7\xf5es"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Vulnerabilidade"}),"– \xe9 um conjunto de condi\xe7\xf5es ou comportamentos que possibilitam a viola\xe7\xe3o de uma pol\xedtica de seguran\xe7a expl\xedcita ou impl\xedcita. Vulnerabilidades podem ser causadas por defeitos de software, decis\xf5es sobre configura\xe7\xe3o ou design, intera\xe7\xf5es inesperadas entre sistemas ou mudan\xe7as no ambiente. A explora\xe7\xe3o bem-sucedida de uma vulnerabilidade possui impactos t\xe9cnicos e de risco. Vulnerabilidades podem surgir em sistemas de processamento de informa\xe7\xf5es t\xe3o cedo quanto em fase de projeto e t\xe3o tarde quanto na implanta\xe7\xe3o do sistema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Risco"}),"– Uma medida da extens\xe3o em que uma entidade \xe9 amea\xe7ada por uma circunst\xe2ncia ou evento em potencial, \xe9 tipicamente uma fun\xe7\xe3o de: (i) os impactos adversos que surgiriam se a circunst\xe2ncia ou evento ocorresse; e (ii) a probabilidade de ocorr\xeancia."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Impacto Potencial"}),"– A perda de confidencialidade, integridade ou disponibilidade que se pode esperar causando um efeito adverso limitado, grave ou catastr\xf3fico sobre opera\xe7\xf5es e ativos organizacionais ou indiv\xedduos."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVSS"}),"– acr\xf4nimo para Common Vulnerability Scoring System – Sistema Comum de Pontua\xe7\xe3o de Vulnerabilidade, em uma tradu\xe7\xe3o livre. Trata-se de uma maneira de capturar as principais caracter\xedsticas de uma vulnerabilidade e lhe dar uma nota de acordo com sua severidade, o que pode ajudar as organiza\xe7\xf5es a priorizar atividades de corre\xe7\xe3o da falha de acordo com seu impacto potencial e risco."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVD"}),"– acr\xf4nimo para Coordinated Vulnerability Disclosure – Divulga\xe7\xe3o Coordenada de Vulnerabilidade. Consiste em um processo para a redu\xe7\xe3o da vantagem de advers\xe1rios enquanto uma vulnerabilidade de seguran\xe7a da informa\xe7\xe3o \xe9 mitigada. CVD \xe9 um processo, n\xe3o um evento. Liberar um patch ou publicar um documento s\xe3o eventos importantes dentro do processo, mas n\xe3o o definem."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"5. Pap\xe9is e Responsabilidades"})}),(0,s.jsx)("p",{children:"Por ser um processo coordenado, o CVD pode envolver m\xfaltiplas organiza\xe7\xf5es, tais como empresas, funda\xe7\xf5es, ag\xeancias governamentais e indiv\xedduos, os quais podem assumir diversos pap\xe9is e responsabilidades espec\xedficas no processo. A Tempest pode, por exemplo, assumir o papel de finder de relator e coordenador para as vulnerabilidades que encontra. Adicionalmente pode tamb\xe9m assumir o papel de fabricante e deployer para as vulnerabilidades encontradas em suas teconologias."}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Finder"}),"– indiv\xedduo ou organiza\xe7\xe3o que encontra a vulnerabilidade. Muitas vezes se trata de um pentester ou pesquisador de seguran\xe7a os quais est\xe3o motivados pelo desafio t\xe9cnico ou pelo reconhecimento que a divulga\xe7\xe3o da vulnerabilidade pode oferecer. Eventualmente essa fun\xe7\xe3o \xe9 desempenhada institucionalmente por empresas ou pelo pr\xf3prio fabricante."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Relator "}),"– indiv\xedduo ou organiza\xe7\xe3o que comunica a vulnerabilidade ao fabricante. Em muitos casos essa atividade \xe9 desempenhada pelo Finder. Entretanto, a atividade pode ser eventualmente desempenhada por uma empresa que intermedeia a comunica\xe7\xe3o entre o fabricante e o Finder, cobrando uma taxa sobre a recompensa atrelada \xe0 divulga\xe7\xe3o respons\xe1vel do problema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Fabricante"}),"– Empresa, organiza\xe7\xe3o sem fins lucrativos, ag\xeancia governamental, indiv\xedduo ou grupo de indiv\xedduos que cria, desenvolve e/ou mant\xe9m tecnologias. No CVD esta \xe9 a entidade respons\xe1vel por avaliar a documenta\xe7\xe3o enviada pelo Finder, planejar e desenvolver corre\xe7\xf5es, bem como disponibiliz\xe1-las para os Deployers."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployer"}),"– Indiv\xedduo ou organiza\xe7\xe3o com a fun\xe7\xe3o de planejar, testar e implementar corre\xe7\xf5es para vulnerabilidades."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Coordenador"}),"– Indiv\xedduo ou \xe1rea em uma organiza\xe7\xe3o com a fun\xe7\xe3o de gerir o ciclo de identifica\xe7\xe3o de corre\xe7\xe3o de vulnerabilidades no processo de CVD. Eventualmente o processo pode demandar a coordena\xe7\xe3o de atividades entre m\xfaltiplas empresas o que acarreta em um coordenador para todo o caso. Na Tempest, essa fun\xe7\xe3o \xe9 ocupada por funcion\xe1rios com o badge de Research Advisor."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"6. Fases do CVD"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Descoberta"}),"– momento em que a vulnerabilidade \xe9 identificada. Isto pode acontecer acidentalmente ou dentro do escopo de uma pesquisa."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Reporting"}),'– momento em que o Finder e/ou o Relator documentam a descoberta da vulnerabilidade em um "vulnerability advisory".']}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Valida\xe7\xe3o e Triagem"}),"– momento em que o fabricante valida a acur\xe1cia da documenta\xe7\xe3o e prioriza essa corre\xe7\xe3o em rela\xe7\xe3o a outras poss\xedveis atividades semelhantes."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Remedia\xe7\xe3o"}),"– atividade de desenvolver uma corre\xe7\xe3o para o problema e test\xe1-la."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployment"}),"– fase em que o Deployer planeja, testa e implementa a corre\xe7\xe3o em seu ambiente."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"7. Diretrizes"})}),(0,s.jsx)("p",{children:"Com as diretrizes abaixo, a Tempest busca aplicar um conjunto de regras gerais para o tratamento de vulnerabilidades, tanto as i

1dentificadas em suas solu\xe7\xf5es, quanto \xe0s que encontra nas mais variadas tecnologias."}),(0,s.jsx)("p",{children:'Essa iniciativa, se baseia em pr\xe1ticas reconhecidas internacionalmente e possui o objetivo de contribuir para a seguran\xe7a de todos, conforme detalhado na se\xe7\xe3o 3 "princ\xedpios" deste documento. Portanto, a Tempest cumpre com as diretrizes dessa pol\xedtica e espera que as outras organiza\xe7\xf5es tamb\xe9m estejam em conformidade com ela.'})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.1. Diretrizes do Coordenador"})}),(0,s.jsx)("p",{children:"7.1.1. O coordenador deve agir sob as princ\xedpios dessa pol\xedtica;"}),(0,s.jsx)("p",{children:"7.1.2. O coordenador opera como um gerente de projetos, resolvendo conflitos e desobstruindo o canal de comunica\xe7\xe3o entre todas as partes;"})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"1. Objetivo"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica tem o objetivo de disciplinar o processo de divulga\xe7\xe3o de vulnerabilidades de seguran\xe7a."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"2. Escopo"})}),(0,s.jsx)("p",{children:"A pol\xedtica abrange as vulnerabilidades identificadas em qualquer tipo de tecnologia, incluindo tecnologias desenvolvidas pela Tempest."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"3. Princ\xedpios"})}),(0,s.jsx)("p",{children:"Esta pol\xedtica visa atender a um conjunto de princ\xedpios os quais a Tempest considera como valores intr\xednsecos ao processo de descoberta e divulga\xe7\xe3o de vulnerabilidades. S\xe3o eles:"}),(0,s.jsx)("p",{children:"3.1. Na Tempest a busca por vulnerabilidades \xe9 orientada pelo desejo de trazer mais seguran\xe7a para os clientes e para a sociedade."}),(0,s.jsx)("p",{children:"3.2. As entidades devem buscar o di\xe1logo para divulgar vulnerabilidades de modo respons\xe1vel."}),(0,s.jsx)("p",{children:"3.3. Os recursos e esfor\xe7os para encontrar vulnerabilidades precisam ser proporcionais a provar que a vulnerabilidade existe."}),(0,s.jsx)("p",{children:"3.4. A defini\xe7\xe3o das regras para a divulga\xe7\xe3o coordenada de vulnerabilidades traz equil\xedbrio no relacionamento entre as entidades do processo e protege os pesquisadores."}),(0,s.jsx)("p",{children:"3.5. A divulga\xe7\xe3o de vulnerabilidades \xe0 revelia do fabricante (full disclosure) \xe9 orientada pelo benef\xedcio \xe0 sociedade em condi\xe7\xf5es nas quais h\xe1 perigo iminente de sua explora\xe7\xe3o. Este tipo de divulga\xe7\xe3o somente pode ocorrer em situa\xe7\xf5es nas quais todas as tentativas de comunica\xe7\xe3o ou consenso entre as partes tenham se esgotado at\xe9 o prazo limite determinado no item 7.1.7 abaixo."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"4. Defini\xe7\xf5es"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Vulnerabilidade"}),"– \xe9 um conjunto de condi\xe7\xf5es ou comportamentos que possibilitam a viola\xe7\xe3o de uma pol\xedtica de seguran\xe7a expl\xedcita ou impl\xedcita. Vulnerabilidades podem ser causadas por defeitos de software, decis\xf5es sobre configura\xe7\xe3o ou design, intera\xe7\xf5es inesperadas entre sistemas ou mudan\xe7as no ambiente. A explora\xe7\xe3o bem-sucedida de uma vulnerabilidade possui impactos t\xe9cnicos e de risco. Vulnerabilidades podem surgir em sistemas de processamento de informa\xe7\xf5es t\xe3o cedo quanto em fase de projeto e t\xe3o tarde quanto na implanta\xe7\xe3o do sistema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Risco"}),"– Uma medida da extens\xe3o em que uma entidade \xe9 amea\xe7ada por uma circunst\xe2ncia ou evento em potencial, \xe9 tipicamente uma fun\xe7\xe3o de: (i) os impactos adversos que surgiriam se a circunst\xe2ncia ou evento ocorresse; e (ii) a probabilidade de ocorr\xeancia."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Impacto Potencial"}),"– A perda de confidencialidade, integridade ou disponibilidade que se pode esperar causando um efeito adverso limitado, grave ou catastr\xf3fico sobre opera\xe7\xf5es e ativos organizacionais ou indiv\xedduos."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVSS"}),"– acr\xf4nimo para Common Vulnerability Scoring System – Sistema Comum de Pontua\xe7\xe3o de Vulnerabilidade, em uma tradu\xe7\xe3o livre. Trata-se de uma maneira de capturar as principais caracter\xedsticas de uma vulnerabilidade e lhe dar uma nota de acordo com sua severidade, o que pode ajudar as organiza\xe7\xf5es a priorizar atividades de corre\xe7\xe3o da falha de acordo com seu impacto potencial e risco."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"CVD"}),"– acr\xf4nimo para Coordinated Vulnerability Disclosure – Divulga\xe7\xe3o Coordenada de Vulnerabilidade. Consiste em um processo para a redu\xe7\xe3o da vantagem de advers\xe1rios enquanto uma vulnerabilidade de seguran\xe7a da informa\xe7\xe3o \xe9 mitigada. CVD \xe9 um processo, n\xe3o um evento. Liberar um patch ou publicar um documento s\xe3o eventos importantes dentro do processo, mas n\xe3o o definem."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"5. Pap\xe9is e Responsabilidades"})}),(0,s.jsx)("p",{children:"Por ser um processo coordenado, o CVD pode envolver m\xfaltiplas organiza\xe7\xf5es, tais como empresas, funda\xe7\xf5es, ag\xeancias governamentais e indiv\xedduos, os quais podem assumir diversos pap\xe9is e responsabilidades espec\xedficas no processo. A Tempest pode, por exemplo, assumir o papel de finder de relator e coordenador para as vulnerabilidades que encontra. Adicionalmente pode tamb\xe9m assumir o papel de fabricante e deployer para as vulnerabilidades encontradas em suas teconologias."}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Finder"}),"– indiv\xedduo ou organiza\xe7\xe3o que encontra a vulnerabilidade. Muitas vezes se trata de um pentester ou pesquisador de seguran\xe7a os quais est\xe3o motivados pelo desafio t\xe9cnico ou pelo reconhecimento que a divulga\xe7\xe3o da vulnerabilidade pode oferecer. Eventualmente essa fun\xe7\xe3o \xe9 desempenhada institucionalmente por empresas ou pelo pr\xf3prio fabricante."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Relator "}),"– indiv\xedduo ou organiza\xe7\xe3o que comunica a vulnerabilidade ao fabricante. Em muitos casos essa atividade \xe9 desempenhada pelo Finder. Entretanto, a atividade pode ser eventualmente desempenhada por uma empresa que intermedeia a comunica\xe7\xe3o entre o fabricante e o Finder, cobrando uma taxa sobre a recompensa atrelada \xe0 divulga\xe7\xe3o respons\xe1vel do problema."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Fabricante"}),"– Empresa, organiza\xe7\xe3o sem fins lucrativos, ag\xeancia governamental, indiv\xedduo ou grupo de indiv\xedduos que cria, desenvolve e/ou mant\xe9m tecnologias. No CVD esta \xe9 a entidade respons\xe1vel por avaliar a documenta\xe7\xe3o enviada pelo Finder, planejar e desenvolver corre\xe7\xf5es, bem como disponibiliz\xe1-las para os Deployers."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployer"}),"– Indiv\xedduo ou organiza\xe7\xe3o com a fun\xe7\xe3o de planejar, testar e implementar corre\xe7\xf5es para vulnerabilidades."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Coordenador"}),"– Indiv\xedduo ou \xe1rea em uma organiza\xe7\xe3o com a fun\xe7\xe3o de gerir o ciclo de identifica\xe7\xe3o de corre\xe7\xe3o de vulnerabilidades no processo de CVD. Eventualmente o processo pode demandar a coordena\xe7\xe3o de atividades entre m\xfaltiplas empresas o que acarreta em um coordenador para todo o caso. Na Tempest, essa fun\xe7\xe3o \xe9 ocupada por funcion\xe1rios com o badge de Research Advisor."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"6. Fases do CVD"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Descoberta"}),"– momento em que a vulnerabilidade \xe9 identificada. Isto pode acontecer acidentalmente ou dentro do escopo de uma pesquisa."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Reporting"}),"– momento em que o Finder e/ou o Relator documentam a descoberta da vulnerabilidade em um “vulnerability advisory”."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Valida\xe7\xe3o e Triagem"}),"– momento em que o fabricante valida a acur\xe1cia da documenta\xe7\xe3o e prioriza essa corre\xe7\xe3o em rela\xe7\xe3o a outras poss\xedveis atividades semelhantes."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Remedia\xe7\xe3o"}),"– atividade de desenvolver uma corre\xe7\xe3o para o problema e test\xe1-la."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("strong",{children:"Deployment"}),"– fase em que o Deployer planeja, testa e implementa a corre\xe7\xe3o em seu ambiente."]})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"7. Diretrizes"})}),(0,s.jsx)("p",{children:"Com as diretrizes abaixo, a Tempest busca aplicar um conjunto de regras gerais para o tratamento de vulnerabilidades, tanto as i

1dentificadas em suas solu\xe7\xf5es, quanto \xe0s que encontra nas mais variadas tecnologias."}),(0,s.jsx)("p",{children:"Essa iniciativa, se baseia em pr\xe1ticas reconhecidas internacionalmente e possui o objetivo de contribuir para a seguran\xe7a de todos, conforme detalhado na se\xe7\xe3o 3 “princ\xedpios” deste documento. Portanto, a Tempest cumpre com as diretrizes dessa pol\xedtica e espera que as outras organiza\xe7\xf5es tamb\xe9m estejam em conformidade com ela."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.1. Diretrizes do Coordenador"})}),(0,s.jsx)("p",{children:"7.1.1. O coordenador deve agir sob as princ\xedpios dessa pol\xedtica;"}),(0,s.jsx)("p",{children:"7.1.2. O coordenador opera como um gerente de projetos, resolvendo conflitos e desobstruindo o canal de comunica\xe7\xe3o entre todas as partes;"}),(0,s.jsx)("p",{children:"7.1.3. Toda comunica\xe7\xe3o do Coordenador com as partes deve acontecer por canais criptografados;"}),(0,s.jsx)("p",{children:"7.1.4. Quando na situa\xe7\xe3o em que a vulnerabilidade envolva m\xfaltiplos fabricantes \xe9 conveniente os representantes de todas as organiza\xe7\xf5es envolvidas elegerem um coordenador exclusivo para o projeto;"}),(0,s.jsx)("p",{children:"7.1.5. Os detalhes da divulga\xe7\xe3o ser\xe3o negociados pelo coordenador com todas as partes. Se m\xfaltiplas organiza\xe7\xf5es estiverem envolvidas, a divulga\xe7\xe3o s\xf3 poder\xe1 acontecer quando todas concordarem."}),(0,s.jsx)("p",{children:"7.1.6. O coordenador dever\xe1 negociar com o fabricante uma data limite para a divulga\xe7\xe3o da vulnerabilidade a qual, a princ\xedpio, n\xe3o deve ser superior a 90 dias a contar da primeira comunica\xe7\xe3o entre as partes."}),(0,s.jsx)("p",{children:"7.1.7. Casos em que n\xe3o h\xe1 coopera\xe7\xe3o do fabricante, ou em que este n\xe3o considere a situa\xe7\xe3o como uma vulnerabilidade, devem ser submetidos ao diretor do coordenador para que a publica\xe7\xe3o \xe0 revelia seja deliberada pela gest\xe3o."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.2. Diretrizes do Finder"})}),(0,s.jsx)("p",{children:"7.2.1. O Finder dever\xe1 reportar a vulnerabilidade inicialmente ao coordenador, se houver pessoa com essa fun\xe7\xe3o."}),(0,s.jsx)("p",{children:"7.2.2. O Finder \xe9 respons\xe1vel por seus atos e deve estar ciente de que reportar a vulnerabilidade n\xe3o o absolve de uma investiga\xe7\xe3o criminal, caso este tenha usado a vulnerabilidade para finalidades criminosas;"}),(0,s.jsx)("p",{children:"7.2.3. O Finder deve reportar a vulnerabilidade o mais r\xe1pido poss\xedvel para minimizar o risco de explora\xe7\xe3o maliciosa;"}),(0,s.jsx)("p",{children:"7.2.4. Toda comunica\xe7\xe3o do Finder com as partes precisa acontecer preferencialmente por canais criptografados;"}),(0,s.jsx)("p",{children:"7.2.5. Na aus\xeancia do Relator, o Finder deve reportar a vulnerabilidade seguindo os crit\xe9rios definidos na se\xe7\xe3o 7.3, abaixo;"}),(0,s.jsx)("p",{children:"7.2.6. Suas a\xe7\xf5es devem ser proporcionais a provar que a vulnerabilidade existe, evitando;"}),(0,s.jsx)("ol",{className:"flex flex-col gap-1",children:(0,s.jsx)("li",{style:{listStyleType:"none"},children:(0,s.jsxs)("ol",{type:"a",children:[(0,s.jsx)("li",{children:"Usar engenharia social para obter acesso ao sistema;"}),(0,s.jsx)("li",{children:"Criar seu pr\xf3prio backdoor no sistema com a inten\xe7\xe3o de demonstrar a vulnerabilidade, pois assim poderia criar dano adicional ou gerar riscos desnecess\xe1rios;"}),(0,s.jsx)("li",{children:"Utilizar a vulnerabilidade mais tempo que o necess\xe1rio para estabelecer a sua exist\xeancia;"}),(0,s.jsx)("li",{children:"Copiar, modificar ou deletar dados no sistema;"}),(0,s.jsx)("li",{children:"Enumerar ou fazer lista dos diret\xf3rios do sistema;"}),(0,s.jsx)("li",{children:"Modificar o sistema;"}),(0,s.jsx)("li",{children:"Obter acesso repetidamente ao sistema;"}),(0,s.jsx)("li",{children:"Compartilhar seu acesso ao seu sistema com outras pessoas;"}),(0,s.jsx)("li",{children:"Usar t\xe9cnicas de brute force para obter acesso ao sistema."})]})})})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.3. Diretrizes do Relator"})}),(0,s.jsx)("p",{children:"7.3.1. O Relator dever\xe1 construir o Vulnerability Advisory contemplando as seguintes informa\xe7\xf5es sobre vulnerabilidade:"}),(0,s.jsx)("ol",{className:"flex flex-col gap-1",children:(0,s.jsx)("li",{style:{listStyleType:"none"},children:(0,s.jsxs)("ol",{type:"a",children:[(0,s.jsx)("li",{children:"Vers\xe3o do documento;"}),(0,s.jsx)("li",{children:"Data da primeira vers\xe3o do advisory e da vers\xe3o atual;"}),(0,s.jsx)("li",{children:"CVSS da vulnerabilidade e sua descri\xe7\xe3o;"}),(0,s.jsx)("li",{children:"Qual a tecnologia vulner\xe1vel;"}),(0,s.jsx)("li",{children:"Qual a vers\xe3o – ou vers\xf5es – vulner\xe1veis;"}),(0,s.jsx)("li",{children:"Qual \xe9 o tipo de vulnerabilidade;"}),(0,s.jsx)("li",{children:"Qual \xe9 o impacto potencial da explora\xe7\xe3o bem-sucedida da vulnerabilidade;"}),(0,s.jsx)("li",{children:"Quais s\xe3o as situa\xe7\xf5es adversas da explora\xe7\xe3o malsucedida da vulnerabilidade. Exemplo: casos em que a execu\xe7\xe3o do exploit resulta em erro, por\xe9m causa nega\xe7\xe3o de servi\xe7o no alvo;"}),(0,s.jsx)("li",{children:"Descri\xe7\xe3o dos recursos necess\xe1rios e condi\xe7\xf5es pr\xe9-existentes para o ataque ocorrer."}),(0,s.jsx)("li",{children:"Poss\xedveis solu\xe7\xf5es de contorno que evitam a explora\xe7\xe3o da vulnerabilidade."}),(0,s.jsx)("li",{children:"Evid\xeancias t\xe9cnicas que comprovem que a vulnerabilidade \xe9 pass\xedvel de explora\xe7\xe3o."})]})})}),(0,s.jsx)("p",{children:"7.3.2. Toda comunica\xe7\xe3o do Relator com as partes precisa acontecer por canais criptografados."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h5",{children:(0,s.jsx)("strong",{children:"7.4. Diretrizes do fabricante"})}),(0,s.jsx)("p",{children:"7.4.1. O fabricante se compromete a manter canais para que Finders e relatores possam comunicar a empresa sobre vulnerabilidades em seus produtos;"}),(0,s.jsx)("p",{children:"7.4.2. O fabricante se compromete a n\xe3o estabelecer limites para a comunica\xe7\xe3o sobre vulnerabilidades;"}),(0,s.jsx)("p",{children:"7.4.3 O fabricante deve contar com pessoas qualificadas para responder a qualquer comunica\xe7\xe3o sobre vulnerabilidades em seus produtos;"}),(0,s.jsx)("p",{children:"7.4.4. A empresa deve garantir que, ao receber um vulnerability advisory, este ser\xe1 enviado o mais r\xe1pido poss\xedvel para o grupo com mais condi\xe7\xf5es de respond\xea-lo;"}),(0,s.jsx)("p",{children:"7.4.5. O grupo incumbido de tratar o vulnerability advisory dever\xe1 enviar uma confirma\xe7\xe3o de recebimento ao Finder e/ou relator, assim que receber o documento, preferencialmente assinada digitalmente;"}),(0,s.jsx)("p",{children:"7.4.6. Conv\xe9m que o fabricante apresente uma corre\xe7\xe3o para a vulnerabilidade em at\xe9 90 dias;"}),(0,s.jsx)("p",{children:"7.4.7. O tempo para a apresenta\xe7\xe3o de uma corre\xe7\xe3o pode ser reduzido ou aumentado de acordo com a criticidade e/ou complexidade do problema;"}),(0,s.jsx)("p",{children:"7.4.8. O fabricante dever\xe1 comunicar o Finder, o relator e/ou o coordenador sobre o status de cada atividade de corre\xe7\xe3o;"}),(0,s.jsx)("p",{children:"7.4.9. O fabricante pode optar por bonificar o Finder pela descoberta da vulnerabilidade;"}),(0,s.jsx)("p",{children:"7.4.10. O fabricante pode optar por divulgar a vulnerabilidade antecipadamente a seus parceiros ou grupos de interesse;"}),(0,s.jsx)("p",{children:"7.4.11. A iniciativa de oferecer uma recompensa pelo reporte de vulnerabilidades \xe9 exclusiva da organiza\xe7\xe3o, a qual pode determinar as condi\xe7\xf5es para isso em uma pol\xedtica p\xfablica."}),(0,s.jsx)("p",{children:"7.4.12. Por aceitar os termos da pol\xedtica de divulga\xe7\xe3o coordenada de vulnerabilidades, o fabricante declina de tomar a\xe7\xf5es legais contra os pesquisadores que descobriram a vulnerabilidade. A n\xe3o ser que uma investiga\xe7\xe3o criminal comprove que estes usaram a vulnerabilidade para finalidades criminosas."})]}),(0,s.jsxs)("div",{children:[(0,s.jsx)("h4",{children:(0,s.jsx)("strong",{children:"8. Refer\xeancias"})}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"Software Vulnerability Disclosure in Europe:Technology, Policies and Legal Challenges."}),"CEPS Task Force. Junho de 2018."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"The CERT\xae Guide to Coordinated Vulnerability Disclosure"}),". CERT Division. Carnegie Mellon University. August 2017."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"NIST Special Publication 800-30: Guide for Conducting Risk Assessments."}),"National Institute of Standards and Technology. September 2012."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"NIST Special Publication 800-53: Security and Privacy Controls for Federal Information Systems and Organizations"}),". National Institute of Standards and Technology. April 2013."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"FIPS PUB 200: Minimum Security Requirements for Federal Information and Information Systems."}),"National Institute of Standards and Technology. 9 March 2006."]}),(0,s.jsxs)("p",{children:[(0,s.jsx)("em",{children:"Economics of vulnerability disclosure"}),". ENISA. December 2018."]})]})]})})]})]})}o(14232)}},e=>{e.O(0,[5836,636,6593,8792],()=>e(e.s=9471)),_N_E=e.O()}]);