นโยบายการเปิดเผยช่องโหว่

ปรับปรุงล่าสุด: 25 ตุลาคม 2569 (ฉบับที่ 1.1)

1. วัตถุประสงค์

GlobeID Limited ("GlobeID") เป็นผู้ให้บริการแพลตฟอร์ม PassportScan ซึ่งประมวลผลข้อมูลอัตลักษณ์ของผู้เข้าพักโรงแรมในนามของผู้ให้บริการที่พัก เราให้ความสำคัญกับการทำงานของนักวิจัยด้านความมั่นคงปลอดภัย และต้องการรับทราบเกี่ยวกับช่องโหว่ใด ๆ ที่อาจทำให้ข้อมูลดังกล่าว ลูกค้าของเรา หรือผู้ใช้ของเราตกอยู่ในความเสี่ยง

นโยบายฉบับนี้อธิบายวิธีการรายงานช่องโหว่ด้านความมั่นคงปลอดภัยให้เราทราบ สิ่งที่ท่านสามารถคาดหวังจากเรา และกฎเกณฑ์ที่ใช้บังคับระหว่างการทดสอบ นโยบายนี้สนับสนุนระบบบริหารจัดการความมั่นคงปลอดภัยสารสนเทศของ GlobeID (มาตรการควบคุม ISO/IEC 27001:2022 ข้อ A.5.7 Threat intelligence และข้อ A.8.8 Management of technical vulnerabilities)

2. ขอบเขต

อยู่ในขอบเขต

• เว็บแอปพลิเคชันและ API ของ PassportScan Cloud ที่เผยแพร่ที่ app.passportscan.net, api.passportscan.net, workspace.passportscan.net, distributor.passportscan.net และ selfcheckin.passportscan.net
• แอปพลิเคชันมือถือ PassportScan ที่ GlobeID เผยแพร่บน Apple App Store และ Google Play
• ขั้นตอนการเช็กอินด้วยตนเองผ่านเว็บของ PassportScan ที่ผู้เข้าพักใช้งาน
• เว็บไซต์สาธารณะ https://www.passportscan.net

อยู่นอกขอบเขต

• ระบบที่ดำเนินการโดยบุคคลภายนอก (คอนโซลของผู้ให้บริการคลาวด์ ผู้ให้บริการชำระเงิน ผู้ให้บริการระบุตัวตน ระบบบริหารจัดการที่พักที่ลูกค้าเชื่อมต่อใช้งาน)
• โครงสร้างพื้นฐาน VPN (รวมถึง vpn.passportscan.net) และชื่อโฮสต์ภายในใด ๆ ภายใต้ passportscan.net ที่ไม่ได้ระบุไว้ว่าอยู่ในขอบเขต
• อุปกรณ์ เครือข่าย และการติดตั้งแบบ on-premise ที่ลูกค้าเป็นเจ้าของ
• การโจมตีด้วยวิศวกรรมสังคม ฟิชชิง หรือการโจมตีทางกายภาพต่อพนักงาน ผู้รับจ้าง หรือลูกค้าของ GlobeID
• การทดสอบการปฏิเสธการให้บริการ (denial-of-service) หรือการทำให้ทรัพยากรหมดสิ้น (resource-exhaustion) ทุกรูปแบบ
• การสแกนอัตโนมัติที่สร้างปริมาณการรับส่งข้อมูลจำนวนมาก (ระบบ edge ของเราจะจำกัดอัตราและปิดกั้นแหล่งที่มาที่มีพฤติกรรมไม่เหมาะสม)
• สิ่งที่ตรวจพบซึ่งกระทบเฉพาะเบราว์เซอร์รุ่นเก่าหรือต้องใช้อุปกรณ์ที่ถูกบุกรุกแล้วเท่านั้น
• รายงานเกี่ยวกับการขาด header ตามแนวปฏิบัติที่ดี การตั้งค่า SPF/DMARC หรือการเปิดเผยหมายเลขเวอร์ชัน โดยไม่มีการแสดงให้เห็นถึงผลกระทบ

3. วิธีการรายงาน

ส่งรายงานของท่านมาที่ security@passportscan.net โดยกรุณาระบุ:

• คำอธิบายช่องโหว่และส่วนประกอบที่ได้รับผลกระทบ (URL เวอร์ชันแอป endpoint)
• ขั้นตอนการทำซ้ำโดยละเอียด พร้อม request/response หรือภาพหน้าจอตามความเหมาะสม
• การประเมินผลกระทบของท่าน
• ช่องทางที่เราสามารถติดต่อท่านเพื่อติดตามผล (เรายอมรับรายงานแบบไม่ระบุตัวตน)

หากรายงานมีข้อมูลส่วนบุคคลของผู้เข้าพักหรือลูกค้า โปรดส่งเฉพาะข้อมูลขั้นต่ำที่จำเป็นต่อการแสดงให้เห็นถึงปัญหา และลบสำเนาใด ๆ ทันทีที่เรายืนยันการรับรายงาน

ตัวชี้ที่อ่านได้ด้วยเครื่อง (machine-readable) ซึ่งอ้างถึงนโยบายฉบับนี้เผยแพร่ไว้ที่ https://www.passportscan.net/.well-known/security.txt (RFC 9116)

4. สิ่งที่ท่านสามารถคาดหวังจากเรา

ในกรณีที่ช่องโหว่ก่อให้เกิดหรือมีแนวโน้มที่จะก่อให้เกิดการละเมิดข้อมูลส่วนบุคคล GlobeID จะปฏิบัติตามกระบวนการรับมือเหตุการณ์และการละเมิดข้อมูล (Incident Response & Data Breach Procedure) ของตน รวมถึงการแจ้งลูกค้าที่ได้รับผลกระทบ (ผู้ควบคุมข้อมูล) โดยไม่ชักช้าเกินสมควร และการแจ้งหน่วยงานกำกับดูแลภายใน 72 ชั่วโมงในกรณีที่ GDPR มาตรา 33 กำหนด

5. กฎเกณฑ์การดำเนินการ (ข้อยกเว้นความรับผิด)

เราจะไม่ดำเนินคดีทางกฎหมาย และจะไม่รายงานท่านต่อหน่วยงานบังคับใช้กฎหมาย สำหรับการวิจัยด้านความมั่นคงปลอดภัยที่เป็นไปตามนโยบายฉบับนี้ ทั้งนี้ เราขอให้ท่าน:

• กระทำการโดยสุจริต และหลีกเลี่ยงการละเมิดความเป็นส่วนตัว การทำลายข้อมูล และการขัดขวางการให้บริการ
• หยุดการทดสอบและรายงานทันทีเมื่อท่านพบข้อมูลส่วนบุคคล (เอกสารแสดงอัตลักษณ์ บันทึกข้อมูลผู้เข้าพัก) — ห้ามดาวน์โหลด จัดเก็บ หรือแบ่งปันข้อมูลดังกล่าว
• ใช้เฉพาะบัญชีที่ท่านเป็นเจ้าของหรือได้รับอนุญาตอย่างชัดแจ้งให้ใช้งานเท่านั้น และห้ามพยายามเข้าถึงข้อมูลของลูกค้ารายอื่น
• ไม่ใช้ประโยชน์จากช่องโหว่เกินกว่าที่จำเป็นต่อการแสดงให้เห็นถึงช่องโหว่นั้น (ห้าม pivoting, persistence หรือ lateral movement)
• ไม่ทำการทดสอบการปฏิเสธการให้บริการ (denial-of-service) การสุ่มรหัสผ่าน (brute-force) หรือการส่งสแปม
• รักษารายละเอียดของช่องโหว่ไว้เป็นความลับจนกว่าเราจะแก้ไขแล้วเสร็จและตกลงร่วมกันเรื่องการเปิดเผย

สภาพแวดล้อมการใช้งานจริง (production) ของ GlobeID มีการเฝ้าระวังอยู่ตลอด (web application firewall การบันทึก request และการแจ้งเตือน) การทดสอบที่ฝ่าฝืนกฎเกณฑ์เหล่านี้อาจถูกปิดกั้นโดยอัตโนมัติและถือเป็นการโจมตี

6. การเปิดเผยแบบประสานงาน

เราขอระยะเวลา 90 วัน นับจากการตอบรับรายงานก่อนการเปิดเผยต่อสาธารณะใด ๆ โดยสามารถขยายได้ตามความตกลงร่วมกันในกรณีที่การแก้ไขจำเป็นต้องประสานงานกับบุคคลภายนอก (เช่น การเผยแพร่แอปใหม่บน app store ของมือถือ หรือการเชื่อมต่อระบบของลูกค้า) เรายินดีให้เครดิตแก่นักวิจัยในบันทึกการเผยแพร่ (release notes) ของเราเมื่อมีการร้องขอ

7. การยกย่องเชิดชู

ปัจจุบัน GlobeID ไม่ได้ดำเนินโครงการให้รางวัลสำหรับการค้นพบช่องโหว่ (bug bounty) แบบมีค่าตอบแทน เราจะประกาศยกย่องรายงานที่ถูกต้องต่อสาธารณะ (โดยได้รับความยินยอมจากท่าน) และอาจมอบของที่ระลึกเพื่อแสดงความขอบคุณสำหรับการค้นพบที่มีผลกระทบสูง ทั้งนี้ขึ้นอยู่กับดุลยพินิจของเรา

8. การจัดการช่องโหว่ภายในของเราเอง

GlobeID ดำเนินการดังต่อไปนี้ โดยไม่ขึ้นอยู่กับรายงานจากภายนอก:

• สแกนอิมเมจคอนเทนเนอร์ (container image) ทุกรายการเพื่อตรวจหาช่องโหว่ที่เป็นที่ทราบกันเมื่อมีการอัปโหลดไปยังรีจิสทรีของอิมเมจ และตรวจสอบดีเพนเดนซีจากบุคคลภายนอก (third-party dependencies) ซึ่งเป็นส่วนหนึ่งของกระบวนการออกเวอร์ชันใหม่
• ใช้นโยบายการติดตั้งแพตช์ตามระดับความเสี่ยง โดยมีเป้าหมายการแก้ไขตามที่กำหนดไว้ในข้อ 4
• ว่าจ้างให้มีการทดสอบเจาะระบบ (penetration testing) ของแพลตฟอร์มโดยหน่วยงานอิสระเป็นระยะ
• ติดตามผลการตรวจพบทั้งหมดในทะเบียนช่องโหว่ของบริษัท ซึ่งได้รับการทบทวนโดยเจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ (Information Security Officer)

9. ช่องทางการติดต่อ

รายงานด้านความมั่นคงปลอดภัย: security@passportscan.net เรื่องความเป็นส่วนตัว: privacy@passportscan.net นิติบุคคล: GlobeID Limited, The Black Church, St. Mary's Place, Dublin 7, D07 P4AX, Ireland (CRO 559612)