Báo cáo lỗ hổng bảo mật

Vietnam Office khuyến khích nhà nghiên cứu bảo mật, khách hàng và người dùng báo cáo có trách nhiệm các lỗ hổng hoặc vấn đề bảo mật có thể ảnh hưởng đến sản phẩm, website, Portal, Backend hoặc hệ thống liên quan.

Kênh báo cáo chính thức — Báo cáo phải được gửi qua kênh Security Contact/Vulnerability Reporting do Vietnam Office công bố chính thức.
Thông tin nên cung cấp — Bao gồm Product/System bị ảnh hưởng, Version/Release, Platform, mô tả lỗ hổng, bước tái hiện, tác động dự kiến, bằng chứng kỹ thuật và thông tin liên hệ của người báo cáo nếu phù hợp.
Không gửi dữ liệu không cần thiết — Người báo cáo không nên gửi Password, OTP, Private Key, dữ liệu Card, dữ liệu cá nhân của người khác hoặc dữ liệu mật không cần thiết để chứng minh lỗ hổng.
Responsible Disclosure — Người báo cáo nên cho Vietnam Office thời gian hợp lý để xác minh và khắc phục trước khi công bố rộng rãi thông tin có thể làm tăng rủi ro cho người dùng.
Không gây gián đoạn — Việc nghiên cứu không được cố ý phá hoại dữ liệu, gây DoS, làm gián đoạn dịch vụ, truy cập dữ liệu không cần thiết hoặc mở rộng phạm vi thử nghiệm vượt quá mức cần thiết.
Không khai thác để trục lợi — Lỗ hổng không được sử dụng để truy cập trái phép, chiếm đoạt License, gian lận giao dịch hoặc thu lợi từ dữ liệu của người khác.
Tiếp nhận và phân loại — Vietnam Office đánh giá báo cáo theo tính xác thực, phạm vi ảnh hưởng, khả năng khai thác và mức độ rủi ro.
Xác minh và khắc phục — Lỗ hổng hợp lệ có thể được chuyển sang quy trình phân tích, sửa lỗi, kiểm thử và phát hành Security Update phù hợp.
Theo dõi báo cáo — Vietnam Office có thể cấp Case/Reference ID để phục vụ trao đổi và theo dõi tình trạng xử lý.
Ghi nhận đóng góp — Việc ghi nhận nhà nghiên cứu, nếu có, phụ thuộc vào chính sách công bố và sự đồng ý của các bên liên quan.

Nguyên tắc Vulnerability Reporting: báo cáo qua kênh chính thức → cung cấp thông tin kỹ thuật cần thiết → không gây hại → Vietnam Office xác minh → phân loại → khắc phục → Security Update/thông báo khi cần.