גילוי אחראי

→ חזרה לדף הראשי

הגישה שלנו

כאשר ODINT מגלה פגיעויות בתשתית דיגיטלית ממשלתית, אנו מאזנים בין האינטרס הציבורי בשקיפות לבין האחריות לצמצום נזקים. מדיניות הגילוי שלנו תוכננה לתת לגורמים המושפעים זמן סביר לטפל בבעיות, תוך הבטחה שממצאים חשובים יגיעו בסופו של דבר לציבור.

קטגוריות גילוי

לוח הזמנים המקובל לגילוי

שיטות הודעה

אנו מנסים ליצור קשר עם הגורמים המושפעים דרך:

• כתובות קשר אבטחה רשמיות (security@, abuse@)
• קבצי security.txt מפורסמים
• ארגוני CERT/CSIRT לאומיים
• פנייה ישירה למחלקות ממשלתיות רלוונטיות

גורמים המשפיעים על לוח הזמנים

אנו עשויים להאריך או לקצר את לוח הזמנים לגילוי על סמך:

• חומרת הנזק: בעיות חמורות יותר מקבלות חלונות טיפול ארוכים יותר
• ניצול פעיל: פגיעויות שכבר מנוצלות עשויות להיחשף מיידית
• היענות: ארגונים שעובדים באופן פעיל על תיקונים עשויים לקבל הארכות
• אינטרס ציבורי: בעיות המשפיעות על תהליכים דמוקרטיים עשויות לדרוש גילוי מהיר יותר
• תיאום: בעבודה עם שותפים, אנו מתאמים גילוי משותף

מה אנו מפרסמים

הגילויים שלנו כוללים בדרך כלל:

• תיאור הפגיעות והמערכות המושפעות
• השפעה פוטנציאלית והערכת סיכונים
• לוח הזמנים של ניסיונות הגילוי שלנו
• המצב הנוכחי (טופל או לא)
• המלצות לגורמים המושפעים

איננו מפרסמים קוד ניצול פעיל או מידע טכני מפורט שעיקר תועלתו לתוקפים.

חריגים

אנו עשויים לסטות ממדיניות זו כאשר:

• הפגיעות כבר מנוצלת באופן פעיל
• הגורם המושפע מסרב לשתף פעולה או מאיים בהליכים משפטיים
• בטיחות הציבור דורשת גילוי מיידי
• מתואם מועד גילוי משותף עם שותפים

דיווח על פגיעות במערכות ODINT

אם מצאתם בעיית אבטחה בתשתית של ODINT, אנא דווחו עליה דרך דף איש קשר אבטחה.

עדכון אחרון: 27 בינואר 2026