Segurança na Cal.com

Enquanto empresa que obteve certificações ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, compreendemos a importância crítica da segurança da informação no panorama digital atual. A frequência e sofisticação crescentes dos ciberataques realçam a necessidade de as empresas darem prioridade à segurança para protegerem os seus dados e garantirem a confiança dos seus clientes. Ao implementar medidas de segurança e boas práticas padrão da indústria, demonstramos o nosso compromisso firme com a proteção de informação sensível e a preservação da integridade das nossas operações. Temos orgulho nos rigorosos protocolos de segurança que temos em vigor e dedicamo-nos a manter os mais elevados padrões de excelência em segurança.

Como foi isto conseguido?

Enquanto organização, compreendemos a importância de manter a conformidade com práticas e normas de segurança. É por isso que usamos plataformas de automatização de segurança e conformidade para garantir que permanecemos continuamente em conformidade e seguimos os protocolos de segurança relevantes.

Temos uma plataforma centralizada que automatiza a avaliação e monitorização de vários controlos e procedimentos de segurança. Ao integrarem-se com os nossos sistemas e ferramentas existentes, as nossas plataformas dão-nos uma visão abrangente da nossa postura de segurança, identificam potenciais problemas e garantem que estamos sempre atualizados com os protocolos de segurança e normas da indústria mais recentes. Isto dá-nos a confiança de que seguimos as melhores práticas da indústria e de que oferecemos um ambiente seguro aos nossos clientes e partes interessadas.

O que acontece se algo deixar de estar em conformidade?

Se algo deixasse de estar em conformidade, a nossa plataforma de automatização de conformidade detetaria o problema e alertar-nos-ia imediatamente. Isto permitir-nos-ia agir rapidamente para resolver o problema e voltar à conformidade depressa. Ao usar uma plataforma de automatização de conformidade como esta, conseguimos acompanhar as nossas obrigações de conformidade e tomar medidas proativas para garantir que continuamos em conformidade com as práticas e normas de segurança relevantes. Isto dá-nos a confiança de que oferecemos um ambiente seguro aos nossos clientes e partes interessadas, e ajuda-nos a manter a nossa reputação como uma organização fiável e de confiança.

Na Cal.com, consideramos a segurança dos nossos sistemas uma prioridade máxima. Mas, por mais esforço que coloquemos na segurança dos sistemas, ainda podem existir vulnerabilidades.

Se descobrires uma vulnerabilidade, gostaríamos de saber para podermos tomar medidas para a resolver o mais rapidamente possível. Pedimos-te que nos ajudes a proteger melhor os nossos clientes e os nossos sistemas.

Vulnerabilidades fora do âmbito:

• Clickjacking.
• Cross-Site Request Forgery (CSRF)
• Ataques que exigem MITM ou acesso físico ao dispositivo de um utilizador.
• Qualquer atividade que possa levar à interrupção do nosso serviço (DoS).
• Problemas de falsificação de conteúdo e injeção de texto sem mostrar um vetor de ataque/sem conseguir modificar HTML/CSS.
• Falsificação de e-mail SPF
• Cabeçalhos DNSSEC, CAA ou CSP em falta
• Ausência da flag Secure ou HTTP only em cookies não sensíveis
• Links mortos
• Qualquer coisa relacionada com DNS ou segurança de e-mail
• Limitação de taxa
• XSS (Cross-Site Scripting)

Nota: a Cal.com reserva-se o direito de classificar qualquer vulnerabilidade reportada como fora do âmbito.

O que fazer e o que não fazer

• Não executes scanners automatizados na nossa infraestrutura ou no nosso painel. Se quiseres fazê-lo, contacta-nos e vamos configurar uma sandbox para ti.
• Não tires partido da vulnerabilidade ou do problema que descobriste, por exemplo descarregando mais dados do que o necessário para demonstrar a vulnerabilidade ou apagando ou modificando dados de outras pessoas,
• Não reveles o problema a outras pessoas até estar resolvido,
• Não uses ataques à segurança física, engenharia social, negação de serviço distribuída, spam ou aplicações de terceiros, e

Como reportar uma vulnerabilidade

Podes reportar vulnerabilidades aqui: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report

Dentro do âmbito: Cal.com Ambiente de QA
Apenas os alvos listados abaixo estão autorizados para testes de segurança: (editado) 

Podes criar e usar várias contas de teste no ambiente de QA quando necessário, desde que uses apenas contas e dados de teste que controlas.

Depois de recebermos a tua submissão, poderá haver um atraso na resposta enquanto a nossa equipa faz a triagem do problema.

Fornece informação suficiente para reproduzir o problema, para que o possamos resolver o mais rapidamente possível. Normalmente, o endereço IP ou o URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, mas vulnerabilidades complexas podem exigir uma explicação adicional.

• Se tiveres seguido as instruções acima, não tomaremos qualquer ação legal contra ti relativamente à tua comunicação
• Trataremos a tua comunicação com estrita confidencialidade e não transmitiremos os teus dados pessoais a terceiros sem a tua autorização
• Vamos manter-te a par do progresso na resolução do problema
• Na informação pública sobre o problema comunicado, indicaremos o teu nome como a pessoa que descobriu o problema (a menos que prefiras o contrário)
• Esforçamo-nos por resolver todos os problemas o mais rapidamente possível e gostaríamos de ter um papel ativo na divulgação final do problema após a sua resolução.