From 6704a9a6e19030c435f8c3e73abcd786c22db1b6 Mon Sep 17 00:00:00 2001 From: Javaxman Date: Fri, 31 Jul 2026 18:17:59 +0200 Subject: [PATCH] Aggiunge la policy di responsible disclosure come allegato operativo. Co-authored-by: Cursor --- src/data/allegati-codice-etico.ts | 327 +++++++++++++++++++++++++++++- src/data/codice-etico.ts | 24 ++- src/pages/codice-etico.astro | 8 + 3 files changed, 349 insertions(+), 10 deletions(-) diff --git a/src/data/allegati-codice-etico.ts b/src/data/allegati-codice-etico.ts index d1de5b5..9f1e251 100644 --- a/src/data/allegati-codice-etico.ts +++ b/src/data/allegati-codice-etico.ts @@ -37,7 +37,7 @@ const allegatiByLocale: Record = { it: { page: { title: 'Allegati al Codice Etico — NexStudio', - description: 'Template operativi allegati al Codice Etico NexStudio: adesione, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, piano formazione.', + description: 'Template operativi allegati al Codice Etico NexStudio: adesione, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, piano formazione, responsible disclosure.', heading: 'Allegati e moduli operativi', lead: 'Documenti complementari al Codice Etico. Ciascun allegato è un template da personalizzare e adottare secondo le esigenze operative.', backLabel: '← Torna al Codice Etico', @@ -583,12 +583,119 @@ const allegatiByLocale: Record = { ], footer: 'Approvazione piano: HR _______ · CISO _______ · DPO _______ · Data _______', }, + { + id: 'security-disclosure', + heading: 'Policy di responsible disclosure e segnalazione vulnerabilità', + description: 'Come segnalare vulnerabilità di sicurezza a NexStudio: canale, tempi di risposta, ambito e regole di buon senso (bug bounty soft).', + intro: + 'Documento operativo collegato alla sezione 11 del Codice Etico (gestione vulnerabilità). Canale ufficiale: security@nexstudio.com. Un programma di bug bounty a premi monetari potrà essere aggiunto in seguito senza cambiare questo canale.', + sections: [ + { + title: '1. Scopo', + content: [ + 'Consentire a ricercatori e utenti di segnalare vulnerabilità in buona fede, con tempi di risposta definiti e senza rischio di azioni legali se rispettano questa policy.', + 'Proteggere i dati di clienti, pazienti e studi (LexAura / MediAura) e la disponibilità dei servizi SaaS.', + ], + }, + { + title: '2. Ambito (in scope)', + content: [ + 'Siti e app web pubblici NexStudio (dominio principale e sottopagine IT/EN/TH).', + 'API e endpoint autenticati dei prodotti LexAura e MediAura esposti in produzione o staging pubblico.', + 'Infrastruttura cloud direttamente attribuibile a NexStudio e raggiungibile da Internet.', + 'Errori di configurazione che espongono dati personali, segreti, backup o pannelli di amministrazione.', + ], + }, + { + title: '3. Fuori ambito (out of scope)', + content: [ + 'Attacchi DoS/DDoS, flood, stress test non concordati.', + 'Social engineering verso dipendenti, clienti o fornitori (phishing, pretexting).', + 'Spam, malware delivery, physical security.', + 'Vulnerabilità su prodotti di terze parti non gestiti da NexStudio, salvo misconfigurazione nostra.', + 'Report generati solo da scanner automatici senza PoC riproducibile.', + 'Finding già noti e in remediation (verificare risposta automatica o stato pubblico se disponibile).', + ], + }, + { + title: '4. Regole di test in buona fede', + content: [ + 'Non accedere, modificare o cancellare dati di terzi oltre lo stretto necessario per dimostrare il problema.', + 'Fermarsi immediatamente se si incontrano dati personali o sanitari reali; segnalare senza exfiltrare.', + 'Non eseguire exploit che degradino il servizio o compromettano altri utenti.', + 'Non richiedere riscatto o divulgare pubblicamente prima della coordinazione (embargo ragionevole).', + 'Usare account di test propri o ambienti staging quando disponibili.', + ], + }, + { + title: '5. Come segnalare', + content: [ + { label: 'Canale', fields: ['Email: security@nexstudio.com (PGP opzionale, se pubblicato in seguito).'] }, + { + label: 'Contenuto minimo della segnalazione', + fields: [ + 'Titolo sintetico', + 'URL / endpoint / componente', + 'Descrizione e impatto', + 'Passi per riprodurre (PoC)', + 'Severità stimata (Low/Medium/High/Critical)', + 'Contatto per follow-up', + 'Se i dati sono stati visti: categorie e volume (senza allegare i dati stessi)', + ], + }, + ], + note: 'Oggetto consigliato: [SECURITY] breve titolo. Non allegare dump di dati reali.', + }, + { + title: '6. SLA di risposta e remediation', + content: [ + { label: 'Ack (ricezione)', fields: ['Entro 72 ore lavorative dalla segnalazione valida.'] }, + { label: 'Triage iniziale', fields: ['Entro 5 giorni lavorativi: conferma in/out of scope e severità preliminare.'] }, + { + label: 'Target di fix (indicativi)', + fields: [ + 'Critical: contenimento immediato; fix o mitigazione entro 7 giorni', + 'High: 14 giorni', + 'Medium: 30 giorni', + 'Low: 90 giorni o prossimo ciclo di release', + ], + }, + { label: 'Comunicazione', fields: ['Aggiornamenti al reporter fino a chiusura; eventuale advisory pubblico dopo fix, con credito se richiesto.'] }, + ], + }, + { + title: '7. Safe harbor', + content: [ + 'NexStudio non avvierà azioni legali contro chi segnala in buona fede rispettando questa policy e le leggi applicabili.', + 'La safe harbor non copre attività fuori ambito, furto di dati, estorsione o danni intenzionali.', + ], + }, + { + title: '8. Riconoscimenti e bug bounty', + content: [ + 'Fase attuale (soft bounty): ringraziamento scritto e, se il reporter acconsente, menzione in hall of fame / advisory.', + 'Premi monetari o swag: non garantiti; potranno essere introdotti con griglia pubblica senza cambiare il canale security@.', + 'Duplicati e out-of-scope: ack cortese senza reward.', + ], + }, + { + title: '9. Owner interni', + content: [ + { label: 'CISO / Security', fields: ['Triage, remediation, comunicazione al reporter.'] }, + { label: 'DPO', fields: ['Coinvolto se la vulnerabilità implica dati personali o breach.'] }, + { label: 'Legal', fields: ['Valutazione safe harbor e disclosure pubblica.'] }, + { label: 'CTO', fields: ['Priorità tecnica e risorse di fix.'] }, + ], + }, + ], + footer: 'Approvazione policy: CISO _______ · CTO _______ · Legal _______ · Data _______', + }, ], }, en: { page: { title: 'Code of Ethics Annexes — NexStudio', - description: 'Operational templates annexed to the NexStudio Code of Ethics: adhesion, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, training plan.', + description: 'Operational templates annexed to the NexStudio Code of Ethics: adhesion, NDA, checklist, DPIA, privacy, SBOM, retention, AI impact, training plan, responsible disclosure.', heading: 'Annexes and operational forms', lead: 'Complementary documents to the Code of Ethics. Each annex is a template to be customized and adopted according to operational needs.', backLabel: '← Back to Code of Ethics', @@ -1134,12 +1241,119 @@ const allegatiByLocale: Record = { ], footer: 'Plan approval: HR _______ · CISO _______ · DPO _______ · Date _______', }, + { + id: 'security-disclosure', + heading: 'Responsible disclosure and vulnerability reporting policy', + description: 'How to report security vulnerabilities to NexStudio: channel, response times, scope and good-faith rules (soft bug bounty).', + intro: + 'Operational document linked to section 11 of the Code of Ethics (vulnerability management). Official channel: security@nexstudio.com. A paid bug bounty program may be added later without changing this channel.', + sections: [ + { + title: '1. Purpose', + content: [ + 'Allow researchers and users to report vulnerabilities in good faith, with defined response times and without legal risk if they follow this policy.', + 'Protect customer, patient and firm data (LexAura / MediAura) and SaaS availability.', + ], + }, + { + title: '2. Scope (in scope)', + content: [ + 'Public NexStudio websites and web apps (main domain and IT/EN/TH subpages).', + 'Authenticated APIs and endpoints of LexAura and MediAura exposed in production or public staging.', + 'Cloud infrastructure directly attributable to NexStudio and reachable from the Internet.', + 'Misconfigurations exposing personal data, secrets, backups or admin panels.', + ], + }, + { + title: '3. Out of scope', + content: [ + 'DoS/DDoS, flooding, uncoordinated stress tests.', + 'Social engineering of employees, customers or vendors (phishing, pretexting).', + 'Spam, malware delivery, physical security.', + 'Vulnerabilities in third-party products not operated by NexStudio, unless caused by our misconfiguration.', + 'Scanner-only reports without a reproducible PoC.', + 'Findings already known and in remediation.', + ], + }, + { + title: '4. Good-faith testing rules', + content: [ + 'Do not access, modify or delete third-party data beyond what is strictly needed to demonstrate the issue.', + 'Stop immediately if real personal or health data is encountered; report without exfiltrating.', + 'Do not run exploits that degrade service or compromise other users.', + 'Do not demand ransom or disclose publicly before coordination (reasonable embargo).', + 'Use your own test accounts or staging environments when available.', + ], + }, + { + title: '5. How to report', + content: [ + { label: 'Channel', fields: ['Email: security@nexstudio.com (optional PGP later, if published).'] }, + { + label: 'Minimum report contents', + fields: [ + 'Short title', + 'URL / endpoint / component', + 'Description and impact', + 'Reproduction steps (PoC)', + 'Estimated severity (Low/Medium/High/Critical)', + 'Follow-up contact', + 'If data was seen: categories and volume (do not attach the data itself)', + ], + }, + ], + note: 'Suggested subject: [SECURITY] short title. Do not attach dumps of real data.', + }, + { + title: '6. Response and remediation SLAs', + content: [ + { label: 'Ack (receipt)', fields: ['Within 72 business hours of a valid report.'] }, + { label: 'Initial triage', fields: ['Within 5 business days: in/out of scope and preliminary severity.'] }, + { + label: 'Indicative fix targets', + fields: [ + 'Critical: immediate containment; fix or mitigation within 7 days', + 'High: 14 days', + 'Medium: 30 days', + 'Low: 90 days or next release cycle', + ], + }, + { label: 'Communication', fields: ['Updates to the reporter until closure; optional public advisory after fix, with credit if requested.'] }, + ], + }, + { + title: '7. Safe harbor', + content: [ + 'NexStudio will not pursue legal action against good-faith reporters who follow this policy and applicable law.', + 'Safe harbor does not cover out-of-scope activity, data theft, extortion or intentional harm.', + ], + }, + { + title: '8. Recognition and bug bounty', + content: [ + 'Current phase (soft bounty): written thanks and, if the reporter agrees, mention in a hall of fame / advisory.', + 'Cash or swag rewards: not guaranteed; may be introduced later with a public grid without changing the security@ channel.', + 'Duplicates and out-of-scope: polite ack without reward.', + ], + }, + { + title: '9. Internal owners', + content: [ + { label: 'CISO / Security', fields: ['Triage, remediation, reporter communication.'] }, + { label: 'DPO', fields: ['Involved if the issue implies personal data or a breach.'] }, + { label: 'Legal', fields: ['Safe harbor assessment and public disclosure.'] }, + { label: 'CTO', fields: ['Technical priority and fix resources.'] }, + ], + }, + ], + footer: 'Policy approval: CISO _______ · CTO _______ · Legal _______ · Date _______', + }, ], }, th: { page: { title: 'ภาคผนวกประมวลจริยธรรม — NexStudio', - description: 'เทมเพลตปฏิบัติการแนบท้ายประมวลจริยธรรม NexStudio: การยอมรับ, NDA, เช็กลิสต์, DPIA, ความเป็นส่วนตัว, SBOM, การเก็บรักษา, AI impact, แผนการฝึกอบรม', + description: 'เทมเพลตปฏิบัติการแนบท้ายประมวลจริยธรรม NexStudio: การยอมรับ, NDA, เช็กลิสต์, DPIA, ความเป็นส่วนตัว, SBOM, การเก็บรักษา, AI impact, แผนการฝึกอบรม, responsible disclosure', heading: 'ภาคผนวกและแบบฟอร์มปฏิบัติการ', lead: 'เอกสารเสริมประมวลจริยธรรม แต่ละภาคผนวกเป็นเทมเพลตที่ต้องปรับแต่งและนำไปใช้ตามความต้องการเชิงปฏิบัติการ', backLabel: '← กลับไปประมวลจริยธรรม', @@ -1683,6 +1897,113 @@ const allegatiByLocale: Record = { ], footer: 'การอนุมัติแผน: HR _______ · CISO _______ · DPO _______ · วันที่ _______', }, + { + id: 'security-disclosure', + heading: 'นโยบาย responsible disclosure และการรายงานช่องโหว่', + description: 'วิธีรายงานช่องโหว่ความปลอดภัยถึง NexStudio: ช่องทาง เวลาตอบสนอง ขอบเขต และกฎสุจริต (soft bug bounty)', + intro: + 'เอกสารปฏิบัติการเชื่อมกับหมวด 11 ของประมวลจริยธรรม (การจัดการช่องโหว่) ช่องทางอย่างเป็นทางการ: security@nexstudio.com โปรแกรม bug bounty ที่มีรางวัลเงินอาจเพิ่มภายหลังโดยไม่เปลี่ยนช่องทางนี้', + sections: [ + { + title: '1. วัตถุประสงค์', + content: [ + 'ให้ผู้วิจัยและผู้ใช้รายงานช่องโหว่โดยสุจริต พร้อมเวลาตอบสนองที่กำหนด และไม่เสี่ยงต่อการดำเนินคดีหากปฏิบัติตามนโยบายนี้', + 'ปกป้องข้อมูลลูกค้า ผู้ป่วย และสำนักงาน (LexAura / MediAura) และความพร้อมใช้ของบริการ SaaS', + ], + }, + { + title: '2. ขอบเขต (in scope)', + content: [ + 'เว็บไซต์และเว็บแอปสาธารณะของ NexStudio (โดเมนหลักและหน้า IT/EN/TH)', + 'API และ endpoint ที่ต้องยืนยันตัวตนของ LexAura และ MediAura ใน production หรือ staging สาธารณะ', + 'โครงสร้างคลาวด์ที่เป็นของ NexStudio โดยตรงและเข้าถึงได้จากอินเทอร์เน็ต', + 'การตั้งค่าผิดพลาดที่เปิดเผยข้อมูลส่วนบุคคล ความลับ สำรอง หรือแผงผู้ดูแล', + ], + }, + { + title: '3. นอกขอบเขต (out of scope)', + content: [ + 'DoS/DDoS การ flood การทดสอบความเครียดโดยไม่ประสาน', + 'Social engineering ต่อพนักงาน ลูกค้า หรือผู้ให้บริการ (phishing pretexting)', + 'สแปม การส่งมัลแวร์ ความปลอดภัยทางกายภาพ', + 'ช่องโหว่ของผลิตภัณฑ์บุคคลที่สามที่ NexStudio ไม่ได้ดำเนินการ เว้นแต่เกิดจากการตั้งค่าผิดของเรา', + 'รายงานจากสแกนเนอร์อย่างเดียวโดยไม่มี PoC ที่ทำซ้ำได้', + 'ประเด็นที่ทราบแล้วและอยู่ระหว่าง remediation', + ], + }, + { + title: '4. กฎการทดสอบโดยสุจริต', + content: [ + 'อย่าเข้าถึง แก้ไข หรือลบข้อมูลของบุคคลที่สามเกินกว่าที่จำเป็นเพื่อพิสูจน์ปัญหา', + 'หยุดทันทีหากพบข้อมูลส่วนบุคคลหรือสุขภาพจริง; รายงานโดยไม่นำข้อมูลออก', + 'อย่ารัน exploit ที่ทำให้บริการแย่ลงหรือกระทบผู้ใช้อื่น', + 'อย่าเรียกค่าไถ่หรือเปิดเผยสาธารณะก่อนประสาน (embargo ที่สมเหตุสมผล)', + 'ใช้บัญชีทดสอบของตนเองหรือ staging เมื่อมี', + ], + }, + { + title: '5. วิธีรายงาน', + content: [ + { label: 'ช่องทาง', fields: ['อีเมล: security@nexstudio.com (PGP เป็นทางเลือกในภายหลังหากเผยแพร่)'] }, + { + label: 'เนื้อหาขั้นต่ำของรายงาน', + fields: [ + 'ชื่อเรื่องสั้น', + 'URL / endpoint / ส่วนประกอบ', + 'คำอธิบายและผลกระทบ', + 'ขั้นตอนทำซ้ำ (PoC)', + 'ความรุนแรงโดยประมาณ (Low/Medium/High/Critical)', + 'ช่องทางติดต่อติดตาม', + 'หากเห็นข้อมูล: หมวดหมู่และปริมาณ (อย่าแนบข้อมูลจริง)', + ], + }, + ], + note: 'หัวข้อแนะนำ: [SECURITY] ชื่อสั้น อย่าแนบ dump ของข้อมูลจริง', + }, + { + title: '6. SLA การตอบสนองและการแก้ไข', + content: [ + { label: 'Ack (รับเรื่อง)', fields: ['ภายใน 72 ชั่วโมงทำการนับจากรายงานที่ถูกต้อง'] }, + { label: 'Triage เบื้องต้น', fields: ['ภายใน 5 วันทำการ: ยืนยัน in/out of scope และความรุนแรงเบื้องต้น'] }, + { + label: 'เป้าหมายการแก้ไข (โดยประมาณ)', + fields: [ + 'Critical: กักกันทันที; แก้หรือบรรเทาภายใน 7 วัน', + 'High: 14 วัน', + 'Medium: 30 วัน', + 'Low: 90 วัน หรือรอบปล่อยถัดไป', + ], + }, + { label: 'การสื่อสาร', fields: ['อัปเดตผู้รายงานจนปิดเรื่อง; advisory สาธารณะหลังแก้ หากขอเครดิต'] }, + ], + }, + { + title: '7. Safe harbor', + content: [ + 'NexStudio จะไม่ดำเนินคดีกับผู้ที่รายงานโดยสุจริตและปฏิบัติตามนโยบายนี้กับกฎหมายที่ใช้บังคับ', + 'Safe harbor ไม่ครอบคลุมกิจกรรมนอกขอบเขต การขโมยข้อมูล การขู่กรรโชก หรือความเสียหายโดยเจตนา', + ], + }, + { + title: '8. การยอมรับและ bug bounty', + content: [ + 'ระยะปัจจุบัน (soft bounty): คำขอบคุณเป็นลายลักษณ์อักษร และหากผู้รายงานยินยอม ระบุชื่อใน hall of fame / advisory', + 'รางวัลเงินหรือของที่ระลึก: ไม่รับประกัน; อาจมีภายหลังพร้อมตารางสาธารณะโดยไม่เปลี่ยนช่องทาง security@', + 'รายการซ้ำและนอกขอบเขต: ack สุภาพโดยไม่มีรางวัล', + ], + }, + { + title: '9. ผู้รับผิดชอบภายใน', + content: [ + { label: 'CISO / Security', fields: ['Triage การแก้ไข การสื่อสารกับผู้รายงาน'] }, + { label: 'DPO', fields: ['เกี่ยวข้องหากช่องโหว่เกี่ยวกับข้อมูลส่วนบุคคลหรือ breach'] }, + { label: 'Legal', fields: ['ประเมิน safe harbor และการเปิดเผยสาธารณะ'] }, + { label: 'CTO', fields: ['ลำดับความสำคัญทางเทคนิคและทรัพยากรแก้ไข'] }, + ], + }, + ], + footer: 'การอนุมัตินโยบาย: CISO _______ · CTO _______ · Legal _______ · วันที่ _______', + }, ], }, }; diff --git a/src/data/codice-etico.ts b/src/data/codice-etico.ts index 12db447..31cc35d 100644 --- a/src/data/codice-etico.ts +++ b/src/data/codice-etico.ts @@ -147,7 +147,11 @@ type CodiceEticoLocale = { }; ai: { title: string; items: readonly (string | LabeledItem)[] }; conflitti: { title: string; items: readonly string[] }; - lineeOperative: { title: string; items: readonly LabeledItem[] }; + lineeOperative: { + title: string; + items: readonly LabeledItem[]; + disclosureLinkLabel: string; + }; governance: { title: string; items: readonly LabeledItem[] }; onboarding: { title: string; @@ -506,7 +510,7 @@ const codiceEticoByLocale: Record = { }, { label: 'Gestione vulnerabilità', - text: 'canale pubblico o privato per segnalazioni (bug bounty o indirizzo dedicato security@), conferma di ricezione entro 72 ore, piano di remediation con tempi stimati.', + text: 'canale ufficiale security@nexstudio.com secondo la policy di responsible disclosure (allegato); ack entro 72 ore, remediation per severità.', }, { label: 'Patch management', @@ -517,6 +521,7 @@ const codiceEticoByLocale: Record = { text: 'changelog, impatti noti e raccomandazioni operative.', }, ], + disclosureLinkLabel: 'Apri la policy di responsible disclosure →', }, governance: { title: '12. Governance, ruoli e responsabilità', @@ -618,6 +623,7 @@ const codiceEticoByLocale: Record = { 'Policy di retention dei dati (tempi e giustificazioni).', 'Template per valutazione d’impatto AI/ML.', 'Piano di formazione — onboarding 90 giorni e formazione annuale.', + 'Policy di responsible disclosure e segnalazione vulnerabilità.', ], }, approvazione: { @@ -658,7 +664,7 @@ const codiceEticoByLocale: Record = { title: 'Note pratiche e prossimi passi consigliati', items: [ 'Personalizzare il documento con il nome ufficiale della società (se diverso dal marchio operativo), firme e riferimenti legali locali a Bangkok.', - 'Allegare i template elencati come documenti separati e implementare i canali tecnici per segnalazioni e bug bounty.', + 'Implementare i canali tecnici per segnalazioni etiche (piattaforma anonima); la policy di responsible disclosure (security@) è già in allegato.', 'Applicare il Piano di formazione (allegato operativo): onboarding 90 giorni e refresh annuale; HR tiene il registro di completamento.', ], }, @@ -999,7 +1005,7 @@ const codiceEticoByLocale: Record = { }, { label: 'Vulnerability management', - text: 'public or private reporting channel (bug bounty or dedicated security@ address), acknowledgement within 72 hours, remediation plan with estimated timelines.', + text: 'official channel security@nexstudio.com per the responsible disclosure policy (annex); ack within 72 hours, remediation by severity.', }, { label: 'Patch management', @@ -1010,6 +1016,7 @@ const codiceEticoByLocale: Record = { text: 'changelog, known impacts and operational recommendations.', }, ], + disclosureLinkLabel: 'Open the responsible disclosure policy →', }, governance: { title: '12. Governance, roles and responsibilities', @@ -1111,6 +1118,7 @@ const codiceEticoByLocale: Record = { 'Data retention policy (timelines and justifications).', 'AI/ML impact assessment template.', 'Training plan — 90-day onboarding and annual refresh.', + 'Responsible disclosure and vulnerability reporting policy.', ], }, approvazione: { @@ -1151,7 +1159,7 @@ const codiceEticoByLocale: Record = { title: 'Practical notes and recommended next steps', items: [ 'Customize the document with the official company name (if different from the operating brand), signatures and local legal references in Bangkok.', - 'Attach the listed templates as separate documents and implement technical channels for reporting and bug bounty.', + 'Implement technical channels for ethics reporting (anonymous platform); the responsible disclosure policy (security@) is already in the annexes.', 'Apply the Training plan (operational annex): 90-day onboarding and annual refresh; HR keeps the completion register.', ], }, @@ -1492,7 +1500,7 @@ const codiceEticoByLocale: Record = { }, { label: 'การจัดการช่องโหว่', - text: 'ช่องทางสาธารณะหรือส่วนตัวสำหรับการรายงาน (bug bounty หรือที่อยู่ security@ เฉพาะ) ยืนยันการรับภายใน 72 ชั่วโมง แผน remediation พร้อมระยะเวลาโดยประมาณ', + text: 'ช่องทางอย่างเป็นทางการ security@nexstudio.com ตามนโยบาย responsible disclosure (ภาคผนวก); ack ภายใน 72 ชั่วโมง remediation ตามความรุนแรง', }, { label: 'Patch management', @@ -1503,6 +1511,7 @@ const codiceEticoByLocale: Record = { text: 'changelog ผลกระทบที่ทราบ และข้อแนะนำเชิงปฏิบัติการ', }, ], + disclosureLinkLabel: 'เปิดนโยบาย responsible disclosure →', }, governance: { title: '12. การกำกับดูแล บทบาท และความรับผิดชอบ', @@ -1604,6 +1613,7 @@ const codiceEticoByLocale: Record = { 'นโยบายการเก็บรักษาข้อมูล (ระยะเวลาและเหตุผล)', 'เทมเพลตการประเมินผลกระทบ AI/ML', 'แผนการฝึกอบรม — ปฐมนิเทศ 90 วัน และการทบทวนประจำปี', + 'นโยบาย responsible disclosure และการรายงานช่องโหว่', ], }, approvazione: { @@ -1644,7 +1654,7 @@ const codiceEticoByLocale: Record = { title: 'บันทึกเชิงปฏิบัติและขั้นตอนถัดไปที่แนะนำ', items: [ 'ปรับแต่งเอกสารด้วยชื่อบริษัทอย่างเป็นทางการ (หากต่างจากแบรนด์ปฏิบัติการ) ลายเซ็น และการอ้างอิงทางกฎหมายท้องถิ่นในกรุงเทพฯ', - 'แนบเทมเพลตที่ระบุเป็นเอกสารแยก และจัดทำช่องทางเทคนิคสำหรับการรายงานและ bug bounty', + 'จัดทำช่องทางเทคนิคสำหรับการรายงานจริยธรรม (แพลตฟอร์มนิรนาม); นโยบาย responsible disclosure (security@) อยู่ในภาคผนวกแล้ว', 'ใช้แผนการฝึกอบรม (ภาคผนวกปฏิบัติการ): ปฐมนิเทศ 90 วัน และการทบทวนประจำปี; HR รักษาทะเบียนการสำเร็จ', ], }, diff --git a/src/pages/codice-etico.astro b/src/pages/codice-etico.astro index 4ccff3b..7396387 100644 --- a/src/pages/codice-etico.astro +++ b/src/pages/codice-etico.astro @@ -203,6 +203,14 @@ const isLabeled = (item: string | { label: string; text: string }): item is { la )) } +

+ + {c.lineeOperative.disclosureLinkLabel} + +

{c.governance.title}

    -- 2.49.0