Código de Conduta

Esta é uma tradução não oficial, feita para tornar o texto acessível. O texto em inglês é o que vale.

Todos os voluntários da CSIRT.global seguem nosso Código de Conduta:

1. A CSIRT.global é uma equipe global de resposta a incidentes de segurança computacional. Somos conduzidos por voluntários e trabalhamos com voluntários que querem tornar o mundo digital mais seguro.
2. A CSIRT.global busca divulgar vulnerabilidades e comunicar seus achados a quem pode corrigi-las.
3. A CSIRT.global executa as últimas etapas de um processo longo, conduzido por organizações parceiras, pesquisadores independentes e terceiros. Sabemos da importância dessas últimas etapas e levamos o processo de CSIRT muito a sério.
4. A CSIRT.global usa informações fornecidas por terceiros. Sabemos que essas informações vêm de atividades como:
   • Varrer a internet em busca de vulnerabilidades, sobretudo Common Vulnerabilities and Exposures (CVEs), e comunicar nossos achados e possíveis soluções aos responsáveis por esses sistemas.
   • Analisar sistemas on-line em busca de vulnerabilidades novas (dia zero), comunicar nossos achados a quem os desenvolve e tentar ajudar na correção.
   • Analisar bases de dados com credenciais vazadas e avisar as organizações ou pessoas comprometidas para que tomem as medidas adequadas.
5. Como trabalhamos com dados sensíveis, obtidos sem consentimento informado, criamos este Código de Conduta para dar uma base ética ao trabalho que fazemos.
6. Ao responder a incidentes, buscamos trabalhar com parceiros de confiança para ampliar nosso alcance e também avisar o maior número possível de organizações e pessoas.
7. Sabemos que trabalhamos com informações obtidas no limite do que a lei permite, por isso seguimos os três critérios usados com frequência em processos judiciais sobre divulgação de vulnerabilidades:
   • Necessidade social: fazemos divulgação de vulnerabilidades para evitar danos on-line ao maior número possível de pessoas usuárias da internet e não servimos a nenhum interesse financeiro, político ou individual em particular.
   • Princípio da proporcionalidade: atendemos a essa necessidade por meios adequados. Nossa pesquisa deve aumentar, e não reduzir, a integridade e a disponibilidade dos sistemas on-line.
   • Princípio da subsidiariedade: havendo vários meios disponíveis para atender à necessidade, escolhemos o de menor impacto.
8. Confiamos nos achados de terceiros quando é possível, mas os validamos quando é preciso. Queremos evitar comunicar falsos positivos e deixar passar falsos negativos, e às vezes precisamos verificar se a vulnerabilidade existe de fato. Usamos scripts próprios, baseados em provas de conceito públicas ou em código de exploração não ofensivo, e tomamos o cuidado de não danificar sistemas, não baixar dados pessoais em excesso e não criar portas dos fundos.
9. Nossos achados costumam ser listas com de alguns a milhões de endereços IP, o tipo de vulnerabilidade encontrada, dados de contato e metadados (por exemplo, marcações de tempo, scripts, pesquisadores que trabalharam nos dados). São dados sensíveis, por isso tomamos todas as precauções necessárias para proteger sua confidencialidade.
10. Divulgamos vulnerabilidades de dia zero primeiro a quem desenvolve o produto, depois solicitamos números de CVE e negociamos um prazo razoável para divulgá-las aos nossos Parceiros de Compartilhamento de Informações de Confiança e ao público em geral. O ideal é que a divulgação venha depois de uma correção. Se estiver claro que quem desenvolve demora a disponibilizar a correção e for provável que outras pessoas descubram e explorem a falha, podemos considerar divulgá-la para alertar possíveis vítimas e orientá-las sobre medidas de mitigação.
11. Comunicamos as CVEs que encontramos aos responsáveis pelos sistemas, na maioria das vezes gerando endereços de e-mail a partir do nome de domínio, como info@, security@ ou abuse@, e usando os endereços de abuse listados por quem detém os IPs. Quando não é possível encontrar os responsáveis por meios automatizados, podemos procurá-los em fontes abertas.
12. Também podemos enviar nossos achados por meio dos nossos Parceiros de Compartilhamento de Informações de Confiança, entre eles Computer Emergency Response Teams, Computer Security Incident Response Teams, provedores de acesso à internet, órgãos governamentais e outros institutos de pesquisa.
13. Ao fazer nosso trabalho, mantemos o foco na nossa missão de tornar a internet e o mundo conectado mais seguros. Não servimos aos interesses de governos, forças policiais, empresas, indivíduos nem de ninguém mais.
14. A devida diligência no nosso processo de CSIRT exige acompanhar o que divulgamos. Por isso precisamos armazenar dados e registrar nossas atividades. Também podemos precisar desses dados em caso de disputa. Reduzimos ao mínimo a quantidade de dados pessoais que coletamos e guardamos, e sabemos que um endereço IP também pode ser entendido como informação relativa a uma pessoa natural identificada ou identificável. Entendemos que o tratamento desses dados é proporcional ao nosso objetivo de tornar a internet e o mundo conectado mais seguros.
15. Dependendo do incidente, podemos informar a comunidade de segurança em geral e/ou a imprensa sobre nossos achados. Usamos apenas estatísticas agregadas e/ou informações de tendência. Não usamos informações de identificação pessoal (PII).
16. Tudo o que publicamos está disponível em nosso site https://csirt.global.
17. Nossos relatórios estão disponíveis sob licença Creative Commons.
18. Comunicamos sistemas vulneráveis. Ainda que possamos repassar informações de correção de terceiros na medida do possível, a correção é responsabilidade exclusiva de quem é responsável pelo sistema.
19. Cabe à CSIRT.global dar a conhecer estas regras aos seus membros. Cabe a cada membro cumpri-las. Se não cumprirem, a diretoria tomará as medidas cabíveis, por exemplo revogando sua conta.
20. Reconhecemos que existem diferenças geográficas de cultura, lei e costumes. Oferecemos caminhos de escalonamento para os conflitos que surjam dessas diferenças entre as várias regiões em que atuamos. Incentivamos os membros a usá-los.
21. No plano das relações entre pessoas, somos uma organização aberta, acolhedora, que aprende e ensina. Acreditamos na diversidade.
22. Incentivamos os membros a questionar o comportamento de outros membros quando o considerarem inadequado, e ao mesmo tempo oferecemos caminhos de escalonamento a quem preferir não tratar do assunto diretamente. Entendemos que pode haver razões muito boas para não tratar de um assunto diretamente.
23. Sugestões e comentários são bem-vindos. Fale com nosso secretário, Vincent Thiele.