Retningslinjer for ansvarlig rapportering av sikkerhetssårbarheter

Omfang

Retningslinjene gjelder for:

• Maskinvare produsert av Devinco
• Fastvare, programvare, mobilapper, skytjenester og nettapplikasjoner levert av Devinco
• Nettsteder og tjenester som Devinco drifter, inkludert devinco.com med tilhørende underdomener og produktportaler, som ViaTracks, SpeedyCraft, SiteMonitor, MobileWorker og TruckLoad

Hvis du er usikker på om et system tilhører Devinco, kan du likevel rapportere funnet til oss, så avklarer vi hvem som er ansvarlig.

Enkelte tjenester som det lenkes til fra devinco.com, leveres av andre selskaper:

• Indusenz AS håndterer selv rapporter om sikkerhetssårbarheter. Se indusenz.com/security.
• Contracting Works leveres av et annet selskap. Rapporter vi mottar om denne tjenesten, vil bli videresendt.

Hvis du er usikker på hvem som er ansvarlig, kan du sende rapporten til security@devinco.com, så hjelper vi deg med å finne riktig mottaker.

Følgende aktiviteter og funn faller utenfor retningslinjene:

• Testing som innebærer tjenestenektangrep (DoS/DDoS), overbelastning eller forstyrrelse av tjenester
• Sosial manipulering, phishing og fysiske angrep mot Devincos ansatte, kunder eller lokaler
• Tredjepartstjenester og nettsteder som vi ikke drifter
• Funn fra automatiserte sikkerhetsskanninger uten dokumentert sikkerhetsrisiko
• Manglende sikkerhetsheadere eller avvik fra anbefalt sikkerhetspraksis som ikke utgjør en konkret, utnyttbar sårbarhet

Vi vurderer innrapporterte funn individuelt og prioriterer videre oppfølging ut fra sikkerhetsrisiko og relevans. Rapporter som ikke avdekker en reell sikkerhetssårbarhet, kan avsluttes uten ytterligere tiltak.

Slik rapporterer du

Send rapporten på e-post til security@devinco.com.

Du trenger ikke å være sikker på at funnet faktisk er en sårbarhet. Er du i tvil, vil vi gjerne at du rapporterer det likevel.

Hva rapporten bør inneholde

For at vi skal kunne gjenskape og rette problemet så raskt som mulig, ber vi deg ta med:

• Hvilket produkt eller hvilken tjeneste det gjelder, inkludert relevant maskinvarerevisjon, fastvare- eller programvareversjon, eller nettadresse
• En beskrivelse av sårbarheten og hvilke konsekvenser den kan få
• En trinnvis beskrivelse av hvordan problemet kan gjenskapes, gjerne med eksempelkode, skjermbilder eller relevante logger
• Navnet ditt eller et eventuelt kallenavn, og om og hvordan du ønsker å bli kreditert

Rapporter kan skrives på norsk eller engelsk.

Hva du kan forvente av oss

Vi tar sikte på å bekrefte mottak av rapporter innen 3 virkedager og gi en foreløpig vurdering innen 10 virkedager. Svartiden kan variere avhengig av rapportens innhold og kompleksitet.

Hvis vi bekrefter en sårbarhet, vil vi vurdere alvorlighetsgraden og iverksette egnede tiltak. Avhengig av omstendighetene kan dette blant annet innebære:

• Å gi statusoppdateringer når det er hensiktsmessig
• Å gjøre sikkerhetsoppdateringer, risikoreduserende tiltak eller veiledning tilgjengelig i samsvar med gjeldende lovkrav
• Å gi offentlig kreditering, med ditt samtykke, når det er naturlig

Hvis en sårbarhet finnes i en tredjepartskomponent eller en komponent med åpen kildekode som vi benytter, vil vi også varsle den som vedlikeholder komponenten, når det er påkrevd eller hensiktsmessig.

Koordinert offentliggjøring

Vi ber om at du gir oss rimelig tid til å undersøke og håndtere sårbarheter før du offentliggjør informasjon om dem. Som hovedregel ber vi om en frist på inntil 90 dager fra vi bekrefter mottak av rapporten, men tidsrammen kan variere etter omstendighetene.

Vi kan publisere sikkerhetsvarsler når det er hensiktsmessig, og informerer om utbedrede sårbarheter i samsvar med gjeldende lovkrav.

Hvis vi fastslår at en sårbarhet utnyttes aktivt, kan det bli nødvendig å informere berørte brukere tidligere for å beskytte dem. Vi vil også varsle relevante myndigheter når loven krever det.

Trygge rammer for sikkerhetsforskning

Devinco støtter ansvarlig sikkerhetsforskning og vil ikke gå til rettslige skritt utelukkende på grunnlag av undersøkelser som er utført i god tro og innenfor rammene av disse retningslinjene.

Vi forventer at sikkerhetsforskere:

• Opptrer i god tro og følger disse retningslinjene
• Unngår brudd på personvernet, ødeleggelse av data og forstyrrelser av tjenester
• Begrenser testing av systemer som Devinco drifter, til det som med rimelighet er nødvendig for å avdekke og påvise en sårbarhet. Kundekontoer, kundedata, kundeenheter og tredjepartssystemer skal ikke undersøkes uten nødvendig tillatelse.
• Unngår å skaffe seg tilgang til, endre eller hente ut mer informasjon enn det som er nødvendig for å påvise en sårbarhet
• Avbryter testingen og varsler oss umiddelbart dersom de uventet får tilgang til personopplysninger om andre, og verken lagrer eller deler slike opplysninger
• Ikke utnytter sårbarheter utover det som er nødvendig for å påvise at de finnes
• Gir oss rimelig tid til å svare før offentliggjøring

Disse retningslinjene gir ikke tillatelse til å teste systemer som eies av kunder eller tredjeparter uten deres samtykke. De gir heller ikke unntak fra gjeldende lovverk eller tillatelse til å handle på vegne av tredjeparter.

Hvis du er usikker på om det er tillatt å teste et bestemt system, ber vi deg kontakte oss før du går videre.

Belønningsprogram (bug bounty)

Devinco har for tiden ikke et betalt belønningsprogram for rapportering av sikkerhetssårbarheter. Vi setter pris på ansvarlig rapportering og kan tilby offentlig kreditering når det er naturlig, og dersom den som har rapportert funnet ønsker det.

Kontakt

Versjon 1.0 – sist oppdatert 8. oktober 2026.