Segurança na Cal.com

Enquanto empresa que obteve certificações ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, compreendemos a importância crítica da segurança da informação no panorama digital atual. A frequência crescente e a sofisticação dos ciberataques destacam a necessidade de as empresas darem prioridade à segurança para protegerem os seus dados e garantirem a confiança dos seus clientes. Ao implementar medidas de segurança e boas práticas padrão do setor, demonstramos o nosso compromisso inabalável com a proteção de informações sensíveis e a preservação da integridade das nossas operações. Temos orgulho nos rigorosos protocolos de segurança que temos em vigor e estamos empenhados em manter os mais elevados padrões de excelência em segurança.

Como foi isto alcançado?

Enquanto organização, compreendemos a importância de manter a conformidade com práticas e normas de segurança. É por isso que utilizamos plataformas de automatização de segurança e conformidade para garantir que nos mantemos continuamente em conformidade e que seguimos os protocolos de segurança relevantes.

Temos uma plataforma centralizada que automatiza a avaliação e monitorização de vários controlos e procedimentos de segurança. Ao integrar-se com os nossos sistemas e ferramentas existentes, as nossas plataformas dão-nos uma visão completa da nossa postura de segurança, identificando potenciais problemas e garantindo que estamos sempre atualizados com os protocolos de segurança e as normas do setor mais recentes. Isto dá-nos a confiança de que seguimos as boas práticas do setor e de que oferecemos um ambiente seguro aos nossos clientes e stakeholders.

O que acontece se algo deixar de estar em conformidade?

Se algo deixasse de estar em conformidade, a nossa plataforma de automatização de conformidade detetaria o problema e alertar-nos-ia imediatamente. Isto permitir-nos-ia agir rapidamente para resolver o problema e voltar à conformidade depressa. Ao utilizar uma plataforma de automatização de conformidade como esta, conseguimos manter-nos a par das nossas obrigações de conformidade e tomar medidas proativas para garantir que continuamos em conformidade com as práticas e normas de segurança relevantes. Isto dá-nos a confiança de que oferecemos um ambiente seguro aos nossos clientes e stakeholders e ajuda-nos a manter a nossa reputação como organização fiável e de confiança.

Na Cal.com, consideramos a segurança dos nossos sistemas uma prioridade máxima. Mas, por mais esforço que coloquemos na segurança dos sistemas, ainda podem existir vulnerabilidades.

Se descobrires uma vulnerabilidade, gostaríamos de saber para podermos tomar medidas e resolvê-la o mais rapidamente possível. Pedimos-te que nos ajudes a proteger melhor os nossos clientes e os nossos sistemas.

Vulnerabilidades fora do âmbito:

• Clickjacking.
• Cross-Site Request Forgery (CSRF)
• Ataques que exigem MITM ou acesso físico ao dispositivo de um utilizador.
• Qualquer atividade que possa levar à interrupção do nosso serviço (DoS).
• Falsificação de conteúdo e problemas de injeção de texto sem mostrar um vetor de ataque/sem conseguir modificar HTML/CSS.
• SPF Email spoofing
• Cabeçalhos DNSSEC, CAA e CSP em falta
• Ausência da flag Secure ou HTTP only em cookies não sensíveis
• Links inativos
• Qualquer coisa relacionada com DNS ou segurança de email
• Limitação de taxa
• XSS (Cross-Site Scripting)

Nota: a Cal.com reserva-se o direito de designar qualquer vulnerabilidade comunicada como fora do âmbito.

O que fazer e o que não fazer

• Não executes scanners automatizados na nossa infraestrutura ou no nosso painel. Se quiseres fazê-lo, contacta-nos e criaremos uma sandbox para ti.
• Não tires partido da vulnerabilidade ou do problema que descobriste, por exemplo, descarregando mais dados do que o necessário para demonstrar a vulnerabilidade ou apagando ou modificando dados de outras pessoas,
• Não reveles o problema a outras pessoas até estar resolvido,
• Não utilizes ataques à segurança física, engenharia social, negação de serviço distribuída, spam ou aplicações de terceiros, e

Como comunicar uma vulnerabilidade

Podes comunicar vulnerabilidades aqui: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report

Dentro do âmbito: Cal.com Ambiente de QA
Apenas os alvos listados abaixo estão autorizados para testes de segurança: (editado) 

Podes criar e usar várias contas de teste no ambiente de QA quando necessário, desde que uses apenas contas e dados de teste que controlas.

Depois de recebermos a tua submissão, pode haver um atraso na resposta enquanto a nossa equipa faz a triagem do problema.

Fornece informação suficiente para reproduzir o problema, para que possamos resolvê-lo o mais rapidamente possível. Normalmente, o endereço IP ou o URL do sistema afetado e uma descrição da vulnerabilidade serão suficientes, mas vulnerabilidades complexas podem exigir uma explicação adicional.

• Se tiveres seguido as instruções acima, não tomaremos quaisquer medidas legais contra ti relativamente ao relatório
• Trataremos o teu relatório com estrita confidencialidade e não transmitiremos os teus dados pessoais a terceiros sem a tua autorização
• Vamos manter-te a par dos progressos na resolução do problema
• Na informação pública sobre o problema reportado, indicaremos o teu nome como a pessoa que descobriu o problema (a menos que prefiras o contrário)
• Esforçamo-nos por resolver todos os problemas o mais rapidamente possível e gostaríamos de ter um papel ativo na publicação final sobre o problema após a sua resolução.