Política de Divulgação Responsável de Vulnerabilidades

1. Apresentação

A Musicalll Estúdios valoriza a segurança de sua Plataforma e reconhece a importância da colaboração da comunidade de segurança da informação para identificação responsável de vulnerabilidades.

Esta Política estabelece as diretrizes para que pesquisadores, especialistas e demais interessados possam comunicar vulnerabilidades de forma ética, responsável e coordenada.

2. Objetivo

Esta Política tem como objetivos:

• fortalecer a segurança da Plataforma;
• incentivar a divulgação responsável de vulnerabilidades;
• reduzir riscos aos usuários;
• estabelecer um canal formal de comunicação;
• promover a cooperação entre pesquisadores e a Musicalll.

3. Abrangência

Esta Política aplica-se aos sistemas mantidos pela Musicalll, incluindo, quando aplicável:

• website institucional;
• plataforma web;
• APIs oficiais;
• aplicativos móveis;
• painéis administrativos;
• infraestrutura relacionada aos serviços da Musicalll.

Serviços de terceiros utilizados pela Plataforma permanecem sujeitos às políticas de seus respectivos fornecedores.

4. Boa-fé

A Musicalll considera de boa-fé o pesquisador que:

• atua visando melhorar a segurança;
• evita causar danos aos usuários;
• evita interromper os serviços;
• respeita esta Política;
• comunica a vulnerabilidade de forma privada antes de qualquer divulgação pública.

5. Condutas esperadas

O pesquisador deverá:

• minimizar impactos durante os testes;
• interromper imediatamente qualquer atividade que possa comprometer dados ou disponibilidade dos serviços;
• evitar acesso desnecessário a informações;
• preservar a confidencialidade das informações obtidas;
• cooperar com a Musicalll durante a análise.

6. Condutas proibidas

Não são permitidas, entre outras:

• engenharia social contra usuários ou colaboradores;
• phishing;
• ransomware;
• negação de serviço (DoS ou DDoS);
• destruição de dados;
• modificação de informações;
• instalação de malware;
• exploração continuada após comprovação da vulnerabilidade;
• acesso deliberado a contas de terceiros;
• divulgação pública antes da correção ou sem autorização da Musicalll.

7. Testes permitidos

Desde que realizados de forma ética, proporcional e sem causar prejuízos, poderão ser conduzidos testes limitados para comprovação de vulnerabilidades.

A comprovação deve restringir-se ao mínimo necessário para demonstrar a existência da falha.

8. Testes não autorizados

Esta Política não autoriza:

• invasão de contas de usuários;
• exfiltração de dados pessoais;
• alteração de informações;
• indisponibilização de serviços;
• acesso persistente à infraestrutura;
• instalação de backdoors;
• movimentação lateral entre sistemas.

Qualquer atividade além do necessário para demonstrar a vulnerabilidade poderá ser considerada uso indevido.

9. Como reportar

O relatório deverá conter, sempre que possível:

• descrição da vulnerabilidade;
• impacto identificado;
• passos para reprodução;
• ambiente afetado;
• evidências técnicas;
• capturas de tela, quando pertinentes;
• sugestões de mitigação, se houver;
• informações para contato do pesquisador.

10. Processo de análise

Após o recebimento do relatório, a Musicalll poderá:

• confirmar o recebimento;
• solicitar informações adicionais;
• reproduzir a vulnerabilidade;
• classificar a severidade;
• definir prioridade de correção;
• implementar medidas de mitigação.

A ordem de tratamento considerará fatores como impacto, explorabilidade e risco aos usuários.

11. Classificação das vulnerabilidades

As vulnerabilidades poderão ser classificadas, entre outras categorias, como:

• crítica;
• alta;
• média;
• baixa;
• informativa.

A classificação poderá considerar metodologias reconhecidas, como o CVSS, sem obrigatoriedade de adoção exclusiva.

12. Prazo de correção

A Musicalll buscará tratar as vulnerabilidades em prazo compatível com sua criticidade, disponibilidade de recursos e complexidade técnica.

Não é garantido prazo específico para implementação de correções.

13. Divulgação pública

Recomenda-se que o pesquisador aguarde a correção da vulnerabilidade ou acordo entre as partes antes de realizar qualquer divulgação pública.

Quando apropriado, a Musicalll poderá coordenar a divulgação conjunta da vulnerabilidade.

14. Reconhecimento

A critério exclusivo da Musicalll, pesquisadores que contribuírem de maneira relevante poderão ser reconhecidos publicamente, desde que manifestem interesse e que isso não represente riscos à segurança.

O reconhecimento poderá incluir:

• agradecimento institucional;
• inclusão em página de reconhecimento;
• certificado de colaboração;
• outras formas não financeiras de reconhecimento.

15. Recompensas

A Musicalll poderá, futuramente, implementar programa de recompensas ("Bug Bounty").

Enquanto tal programa não for oficialmente instituído, o envio de relatórios de vulnerabilidades não gera direito a qualquer compensação financeira, salvo se houver previsão expressa em regulamento específico.

16. Limitação de responsabilidade

A adoção desta Política não constitui autorização irrestrita para realização de testes de segurança.

Cada pesquisador permanece responsável por suas ações e deverá observar a legislação vigente.

17. Dados pessoais

Caso o pesquisador tenha contato incidental com dados pessoais durante a identificação de uma vulnerabilidade, deverá:

• interromper imediatamente o acesso além do estritamente necessário;
• não copiar, divulgar, compartilhar ou utilizar os dados;
• informar a ocorrência à Musicalll;
• eliminar eventuais cópias produzidas para fins de comprovação, salvo quando exigido por autoridade competente.

18. Confidencialidade

As informações relacionadas às vulnerabilidades deverão permanecer confidenciais até que:

• a correção seja implementada;
• as partes acordem divulgação;
• haja obrigação legal em sentido diverso.

19. Alterações desta Política

A Musicalll poderá atualizar esta Política para refletir:

• evolução tecnológica;
• novos serviços;
• alterações legislativas;
• mudanças na infraestrutura;
• amadurecimento do programa de segurança.

20. Contato

Os relatos de vulnerabilidades deverão ser encaminhados por meio dos canais oficiais de segurança disponibilizados pela Musicalll.

Recomenda-se que a Plataforma mantenha um endereço específico, como security@musicalll.com.br, ou outro canal oficial definido futuramente.

21. Disposições finais

Esta Política integra o programa de Segurança da Informação da Musicalll Estúdios e deve ser interpretada em conjunto com:

• Política de Segurança da Informação;
• Política Antifraude e Compliance;
• Política de Privacidade;
• Termos de Uso;
• demais documentos aplicáveis.

Caso qualquer disposição desta Política seja considerada inválida, as demais permanecerão plenamente eficazes.

22. Vigência

Esta Política entra em vigor na data de sua publicação e permanecerá válida até sua substituição por versão posterior.