IBM Application Security on Cloud

Transcript

1 Περιγραφή Υπηρεσιών IBM Application Security on Cloud Στην παρούσα Περιγραφή Υπηρεσιών περιγράφεται η Υπηρεσία Cloud που παρέχεται από την IBM στον Πελάτη. Με τον όρο "Πελάτης" νοούνται το συμβαλλόμενο μέρος, οι εξουσιοδοτημένοι χρήστες του και οι αποδέκτες της Υπηρεσίας Cloud. Η αντίστοιχη Προσφορά Τιμής (Quotation) και η Απόδειξη Δικαιώματος (Proof of Entitlement - "PoE") παρέχονται ως χωριστά Έγγραφα Συναλλαγών. 1. Υπηρεσία Cloud Το IBM Application Security on Cloud παρέχει ένα ενιαίο περιβάλλον που βοηθά τον Πελάτη στον εντοπισμό τρωτών σημείων στην ασφάλεια (όπως π.χ. περιπτώσεις Ένθεσης SQL (SQL Injection), εκτέλεσης σεναρίων από άλλους ιστοτόπους (Cross-Site Scripting) και Διαρροής Δεδομένων (Data Leakage) για μια ευρεία γκάμα εφαρμογών. Η υπηρεσία περιλαμβάνει διάφορες τεχνικές σάρωσης ασφάλειας εφαρμογών, κάθε μία από τις οποίες εντοπίζει τυχόν προβλήματα ασφάλειας στην ελεγχόμενη εφαρμογή. Το IBM Application Security on Cloud παρέχει τις ακόλουθες δυνατότητες: Σάρωση εφαρμογών για φορητές συσκευές για τρωτά σημεία στην ασφάλεια. Η σάρωση πραγματοποιείται με τη χρήση διαδραστικών ("glassbox") τεχνικών ανάλυσης ασφάλειας. Σάρωση ιστοτόπων στο περιβάλλον παραγωγής ή στο περιβάλλον προπαραγωγής, σε δημόσιο ή ιδιωτικό δίκτυο, για τρωτά σημεία στην ασφάλεια. Η σάρωση πραγματοποιείται με τη χρήση δυναμικών ("blackbox") τεχνικών ανάλυσης ασφάλειας. Σάρωση των ροών δεδομένων σε διαδικτυακές εφαρμογές και εφαρμογές επιφάνειας εργασίας για τρωτά σημεία στην ασφάλεια. Η σάρωση πραγματοποιείται με τη χρήση στατικών ("whitebox") τεχνικών ανάλυσης ασφάλειας. Εντοπισμός τρωτών πακέτων Ανοιχτού Κώδικα που χρησιμοποιούνται σε μια εφαρμογή. Αναλυτικές αναφορές τρωτών σημείων ασφάλειας στις οποίες παρέχεται μια περίληψη των πορισμάτων και περιγράφονται τα διορθωτικά βήματα που μπορούν να εκτελεστούν από τους προγραμματιστές. Ενοποίηση με διάφορες πλατφόρμες DevOps. Γνωσιακές δυνατότητες για την κάλυψη απαιτήσεων εις βάθους σάρωσης και ταχεία/αποτελεσματική αντιμετώπιση υπαρκτών τρωτών σημείων. 1.1 IBM Application Security Analyzer Το IBM Application Security Analyzer μπορεί να παραγγελθεί ανά Περίπτωση Χρήσης Εφαρμογής, ανά Εργασία (σάρωση) ή ως Περίπτωση Χρήσης και επιτρέπει την εκτέλεση των ακόλουθων ειδών σάρωσης: Δυναμική Ανάλυση (Dynamic Analyzer) - Δοκιμή προ-παραγωγικών και παραγωγικών ιστοτόπων μέσω τεχνικών DAST Ανάλυση για Φορητές Συσκευές (Mobile Analyzer) Δοκιμή δυαδικού κώδικα ios ή Android μέσω τεχνικών IAST Στατική Ανάλυση (Static Analyzer) - Δοκιμή ροών δεδομένων bytecode ή πηγαίου κώδικα μέσω τεχνικών SAST Έξυπνη Ανάλυση Διαπιστώσεων για το IBM AppScan Source (Intelligent Finding Analytics for IBM AppScan Source) Χρήση γνωσιακών δυνατοτήτων για τον περιορισμό ψευδών θετικών αποτελεσμάτων και πλεοναζόντων δεδομένων και εντοπισμός των βέλτιστων θέσεων επιδιόρθωσης, για αξιολογήσεις AppScan Source. 1.2 IBM Application Security Open Source Analyzer Το IBM Application Security Open Source Analyzer εντοπίζει και αναγνωρίζει πακέτα ανοιχτού κώδικα που χρησιμοποιούνται σε κώδικα εφαρμογών. Ελέγχει αυτά τα πακέτα για τυχόν τρωτά σημεία και παρέχει συμβουλές για τη λήψη διορθωτικών μέτρων. Το IBM Application Security Open Source Analyzer μπορεί να παραγγελθεί ανά Περίπτωση Χρήσης Εφαρμογής ή ως Περίπτωση Χρήσης. i (05/2018) Σελίδα 1 από 7

2 2. Προστασία Περιεχομένου και Δεδομένων Το φύλλο δεδομένων για την Επεξεργασία και Προστασία Δεδομένων ("Φύλλο Δεδομένων") παρέχει πληροφορίες για τη συγκεκριμένη Υπηρεσία Cloud αναφορικά με το είδος Περιεχομένου του οποίου μπορεί να γίνεται επεξεργασία, τις δραστηριότητες επεξεργασίας και τις λειτουργίες προστασίας δεδομένων, καθώς και στοιχεία για τη διατήρηση και επιστροφή Περιεχομένου. Οποιεσδήποτε λεπτομέρειες ή διευκρινίσεις και οι όροι, συμπεριλαμβανομένων των υποχρεώσεων του Πελάτη, που διέπουν τη χρήση της Υπηρεσίας Cloud, καθώς και οι λειτουργίες προστασίας δεδομένων, αν παρέχονται, αναφέρονται στο παρόν άρθρο. Μπορεί να υπάρχουν περισσότερα από ένα Φύλλα Δεδομένων αναφορικά τη χρήση της Υπηρεσίας Cloud από τον Πελάτη, ανάλογα με τις επιλογές που έχει ορίσει ο Πελάτης. Το Φύλλο Δεδομένων ενδέχεται να διατίθεται μόνο στην Αγγλική γλώσσα και να μην είναι διαθέσιμο στην τοπική γλώσσα του Πελάτη. Παρά τις όποιες πρακτικές απορρέουν από τοπικούς νόμους ή έθιμα, τα συμβαλλόμενα μέρη συμφωνούν ότι κατανοούν την Αγγλική γλώσσα και ότι είναι κατάλληλη γλώσσα σε ό,τι αφορά την απόκτηση και χρήση των Υπηρεσιών Cloud. To (τα) ακόλουθο(-α) Φύλλο(-α) Δεδομένων διέπει(-ουν) την Υπηρεσία Cloud και τις διαθέσιμες επιλογές της.ο Πελάτης αποδέχεται i) ότι η IBM μπορεί να προβαίνει σε τακτά χρονικά διαστήματα κατά την αποκλειστική της διακριτική ευχέρεια στην τροποποίηση Φύλλου(-ων) Δεδομένων και ii) ότι οι εν λόγω τροποποιημένες εκδοχές θα αντικαθιστούν τις προηγούμενες εκδοχές του Φύλλου Δεδομένων. Κάθε τροποποίηση Φύλλου(-ων) Δεδομένων θα γίνεται με σκοπό i) τη βελτίωση ή διευκρίνιση υφιστάμενων δεσμεύσεων, ii) τη διατήρηση της συμμόρφωσης με τα ισχύοντα υιοθετημένα πρότυπα και τους εφαρμοστέους νόμους, ή iii) την παροχή πρόσθετων δεσμεύσεων. Καμία τροποποίηση Φύλλου(-ων) Δεδομένων δεν θα συνεπάγεται την ουσιώδη υποβάθμιση της προστασίας των δεδομένων μιας Υπηρεσίας Cloud. Διασυνδέσεις προς τα διαθέσιμα Φύλλα Δεδομένων: Είναι ευθύνη του Πελάτη να προβαίνει στις απαραίτητες ενέργειες για την παραγγελία, ενεργοποίηση ή χρήση διαθέσιμων λειτουργιών προστασίας δεδομένων για μια Υπηρεσία Cloud και ο Πελάτης αποδέχεται ότι φέρει την ευθύνη για τη χρήση των Υπηρεσιών Cloud σε περίπτωση που ο Πελάτης δεν προβεί στις εν λόγω ενέργειες, συμπεριλαμβανομένης της ανταπόκρισης σε απαιτήσεις προστασίας δεδομένων ή άλλες προβλεπόμενες από το νόμο απαιτήσεις αναφορικά με το Περιεχόμενο. Η Πρόσθετη Πράξη της IBM για την Επεξεργασία Δεδομένων (Data Processing Addendum - DPA) που διατίθεται στη διεύθυνση και το (τα) αντίστοιχο(-α) Παράρτημα(τα) DPA (DPA Exhibit(s)) διέπουν τη Σύμβαση, η οποία περιλαμβάνει παραπομπή στην εν λόγω Πρόσθετη Πράξη DPA ως τμήμα της Σύμβασης, εάν και στο βαθμό που ο Ευρωπαϊκός Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) (ΕΕ/2016/679) διέπει τα δεδομένα προσωπικού χαρακτήρα που περιλαμβάνονται στο Περιεχόμενο. Το (τα) Φύλλο(-α) Δεδομένων για αυτή την Υπηρεσία Cloud θα αποτελεί(-ούν) το (τα) Παράρτημα(τα) DPA (DPA Exhibit(s)). Εάν ισχύει η Πρόσθετη Πράξη DPA, τότε θα ισχύουν η υποχρέωση της IBM να ενημερώνει τον Πελάτη για τυχόν αλλαγές στους Υπεργολάβους που εκτελούν Επεξεργασία και το δικαίωμα του Πελάτη να υποβάλει ένσταση για τέτοιες αλλαγές, όπως καθορίζεται στην Πρόσθετη Πράξη DPA. 2.1 Χρήση Δεδομένων Η IBM δεν θα χρησιμοποιεί και δεν θα αποκαλύπτει τα αποτελέσματα που προκύπτουν από τη χρήση της Υπηρεσίας Cloud από τον Πελάτη τα οποία θα είναι μοναδικά για το Περιεχόμενο του Πελάτη (Εμπεριστατωμένες Γνώσεις) ή από τα οποία μπορεί να προκύψει κατά άλλον τρόπο η ταυτότητα του Πελάτη. Όμως, η IBM μπορεί να κάνει χρήση Περιεχομένου και άλλων πληροφοριών (με την εξαίρεση των Εμπεριστατωμένων Γνώσεων) που προκύπτουν από Περιεχόμενο στο πλαίσιο της παροχής της Υπηρεσίας Cloud υπό την προϋπόθεση ότι έχει αφαιρέσει πληροφορίες πελατών και πληροφορίες από τις οποίες μπορεί να προκύψει η ταυτότητα συγκεκριμένων προσώπων, με τέτοιον τρόπο ώστε να μην είναι πλέον δυνατή η συσχέτιση δεδομένων προσωπικού χαρακτήρα με ένα συγκεκριμένο πρόσωπο χωρίς τη χρήση πρόσθετων πληροφοριών. Η IBM θα χρησιμοποιεί τέτοια δεδομένα μόνο για ερευνητικούς σκοπούς, για τη διενέργεια δοκιμών και για την ανάπτυξη προσφορών. 3. Σύμβαση Επιπέδου Παροχής Υπηρεσιών Η IBM παρέχει την ακόλουθη σύμβαση επιπέδου παροχής υπηρεσιών ("SLA") αναφορικά με τη διαθεσιμότητα της Υπηρεσίας Cloud, όπως καθορίζεται σε μια Απόδειξη Δικαιώματος. Η Σύμβαση SLA i (05/2018) Σελίδα 2 από 7

3 δεν συνιστά εγγύηση. Η Σύμβαση SLA είναι διαθέσιμη μόνο στον Πελάτη και ισχύει μόνο για τη χρήση σε περιβάλλοντα παραγωγής. 3.1 Πιστώσεις Διαθεσιμότητας Ο Πελάτης πρέπει να υποβάλει ένα δελτίο υποστήριξης για Ζήτημα Κρισιμότητας 1 στο Help Desk τεχνικής υποστήριξης της IBM, εντός 24 ωρών από τη στιγμή που ο Πελάτης παρατηρεί για πρώτη φορά ότι προέκυψε ένα συμβάν που έχει κρίσιμες επιπτώσεις στη λειτουργία της επιχείρησης και ότι η Υπηρεσία Cloud δεν είναι διαθέσιμη. Ο Πελάτης πρέπει εύλογα να βοηθά την IBM στη διάγνωση και επίλυση προβλημάτων. Μια αξίωση βάσει δελτίου υποστήριξης για τη μη ανταπόκριση στις απαιτήσεις μιας Σύμβασης SLA πρέπει να υποβάλλεται εντός 3 εργάσιμων ημερών από το τέλος του συμβατικού μήνα. Η αποζημίωση για μια έγκυρη αξίωση μη ανταπόκρισης στις απαιτήσεις μιας Σύμβασης SLA θα συνίσταται σε μια πίστωση έναντι ενός μελλοντικού τιμολογίου για την Υπηρεσία Cloud η οποία θα βασίζεται στη διάρκεια του χρονικού διαστήματος κατά το οποίο δεν ήταν διαθέσιμη η δυνατότητα επεξεργασίας στο σύστημα παραγωγής της Υπηρεσίας Cloud ("Χρόνος Διακοπής Λειτουργίας"). Ο Χρόνος Διακοπής Λειτουργίας μετράται από τη χρονική στιγμή που ο Πελάτης αναφέρει το συμβάν έως τη χρονική στιγμή που αποκαθίσταται η Υπηρεσία Cloud και δεν περιλαμβάνει το χρόνο που σχετίζεται με μια προγραμματισμένη ή ανακοινωθείσα διακοπή λειτουργίας για σκοπούς συντήρησης, αιτίες πέραν από τον έλεγχο της IBM, προβλήματα με το περιεχόμενο ή την τεχνολογία, το σχεδιασμό ή τις οδηγίες του Πελάτη ή τρίτων, μη υποστηριζόμενες διατάξεις συστημάτων και πλατφορμών ή άλλα σφάλματα του Πελάτη, ή προκληθέντα από τον Πελάτη περιστατικά ασφάλειας ή δοκιμές ασφάλειας του Πελάτη. Η IBM θα παρέχει την υψηλότερη ισχύουσα αποζημίωση με βάση τη σωρευτική διαθεσιμότητα της Υπηρεσίας Cloud κατά τη διάρκεια κάθε Συμβατικού Μήνα, όπως αναφέρεται στον παρακάτω πίνακα. Η συνολική αποζημίωση που παρέχεται για οποιονδήποτε συμβατικό μήνα δεν μπορεί να υπερβαίνει το 10 τοις εκατό (10%) του εν δωδέκατου (1/12) της ετήσιας χρέωσης για την Υπηρεσία Cloud. 3.2 Επίπεδα Παροχής Υπηρεσιών Διαθεσιμότητα της Υπηρεσίας Cloud κατά τη διάρκεια ενός συμβατικού μήνα Διαθεσιμότητα κατά τη διάρκεια ενός Συμβατικού Μήνα Αποζημίωση (% της μηνιαίας χρέωσης συνδρομής* για το συμβατικό μήνα που αποτελεί αντικείμενο αξίωσης) Χαμηλότερη από 99,9% 2% Χαμηλότερη από 99% 5% Χαμηλότερη από 95% 10% * Εάν η Υπηρεσία Cloud αποκτήθηκε από έναν Εμπορικό Συνεργάτη της IBM, η μηνιαία χρέωση συνδρομής θα βασίζεται στην εκάστοτε ισχύουσα τιμή καταλόγου της Υπηρεσίας Cloud για το συμβατικό μήνα που αποτελεί αντικείμενο αξίωσης, με έκπτωση 50%. Η IBM θα προβαίνει σε μια άμεση επιστροφή χρημάτων στον Πελάτη. Η Διαθεσιμότητα, η οποία εκφράζεται ως ποσοστό, υπολογίζεται ως εξής: ο συνολικός αριθμός λεπτών σε ένα συμβατικό μήνα, μείον το συνολικό αριθμό λεπτών του Χρόνου Διακοπής Λειτουργίας κατά τη διάρκεια του συμβατικού μήνα, διαιρούμενος διά του συνολικού αριθμού λεπτών στο συμβατικό μήνα. 4. Τεχνική Υποστήριξη Παρέχεται τεχνική υποστήριξη για την Υπηρεσία Cloud μέσω , online φόρουμ και ενός συστήματος online αναφοράς προβλημάτων. Στον οδηγό υποστήριξης του IBM SaaS που διατίθεται στην ιστοσελίδα παρέχονται πληροφορίες επικοινωνίας και άλλες πληροφορίες και διαδικασίες τεχνικής υποστήριξης. Η τεχνική υποστήριξη παρέχεται μαζί με την Υπηρεσία Cloud και δεν διατίθεται ως χωριστή προσφορά. 4.1 Πρόσβαση σε Δεδομένα Πελατών Η IBM θα έχει τη δυνατότητα να αποκτά πρόσβαση σε Δεδομένα Πελατών για το σκοπό της διάγνωσης τυχόν προβλημάτων με την υπηρεσία, και για να καθιστά δυνατή την εκτέλεση διαδικασιών σάρωσης (scans) της εφαρμογής του Πελάτη μέσω της υπηρεσίας. Η IBM θα αποκτά πρόσβαση στα δεδομένα μόνο για τους σκοπούς της διόρθωσης ελαττωμάτων και της παροχής υποστήριξης για προϊόντα ή υπηρεσίες της IBM. i (05/2018) Σελίδα 3 από 7

4 5. Δικαιώματα και Τιμολόγηση 5.1 Μετρικά Συστήματα Χρέωσης Η Υπηρεσία Cloud καθίσταται διαθέσιμη βάσει των μετρικών συστημάτων χρέωσης που καθορίζονται στο Έγγραφο Συναλλαγής: α. Εργασία (Job) είναι μια μονάδα μέτρησης βάσει της οποίας μπορεί να αποκτηθεί η Υπηρεσία Cloud. Εργασία είναι ένα αντικείμενο στην Υπηρεσία Cloud το οποίο δεν μπορεί να διαιρεθεί περαιτέρω και αντιπροσωπεύει μια διεργασία πληροφορικής, συμπεριλαμβανομένων όλων των υπο-διεργασιών της. Πρέπει να αποκτηθούν επαρκή δικαιώματα για την κάλυψη του συνολικού αριθμού Εργασιών τις οποίες επεξεργάζεται η Υπηρεσία Cloud ή οι οποίες βρίσκονται υπό τη διαχείριση της Υπηρεσίας Cloud κατά τη διάρκεια της περιόδου μέτρησης που καθορίζεται στην Απόδειξη Δικαιώματος ή στο Έγγραφο Συναλλαγής του Πελάτη. β. Περίπτωση Χρήσης Εφαρμογής (Application Instance) είναι μια μονάδα μέτρησης βάσει της οποίας μπορεί να αποκτηθεί η Υπηρεσία Cloud. Απαιτείται ένα δικαίωμα Περίπτωσης Χρήσης Εφαρμογής για κάθε περίπτωση χρήσης μιας Εφαρμογής που συνδέεται στην Υπηρεσία Cloud. Αν μια Εφαρμογή αποτελείται από πολλαπλά λειτουργικά τμήματα καθένα από τα οποία εξυπηρετεί διαφορετικό σκοπό ή/και διαφορετική βάση χρηστών και μπορεί να συνδέεται στην Υπηρεσία Cloud ή η διαχείρισή του να γίνεται από την Υπηρεσία Cloud, τότε κάθε τέτοιο λειτουργικό τμήμα θεωρείται ξεχωριστή Εφαρμογή. Επιπλέον, τα περιβάλλοντα δοκιμής, ανάπτυξης, σταδιακής εφαρμογής και παραγωγής για μια Εφαρμογή θεωρούνται χωριστές περιπτώσεις χρήσης της Εφαρμογής και για κάθε ένα από τα περιβάλλοντα αυτά πρέπει να αποκτηθεί δικαίωμα χρήσης. Αν υπάρχουν περισσότερες από μία Περιπτώσεις Χρήσης μιας Εφαρμογής στο ίδιο περιβάλλον, τότε κάθε μία από τις περιπτώσεις αυτές θεωρείται χωριστή περίπτωση χρήσης της Εφαρμογής για την οποία πρέπει να αποκτηθεί δικαίωμα χρήσης. Πρέπει να αποκτηθούν επαρκή Δικαιώματα για την κάλυψη του αριθμού των Περιπτώσεων Χρήσης Εφαρμογής που συνδέονται στην Υπηρεσία Cloud κατά τη διάρκεια της περιόδου μέτρησης που καθορίζεται στην Απόδειξη Δικαιώματος ή στο Έγγραφο Συναλλαγής του Πελάτη. Για τους σκοπούς αυτής της Υπηρεσίας Cloud, οι Περιπτώσεις Χρήσης Εφαρμογής είναι διαδοχικές διαδικασίες σάρωσης (scan) μιας συγκεκριμένης εφαρμογής, οι οποίες ορίζονται περαιτέρω ως εξής: Για Δυναμικές Δοκιμές (Dynamic Testing): ένας ιστότοπος που είναι προσβάσιμος μέσω μιας δημόσιας ή ιδιωτικής διεύθυνσης URL. Κάθε Περίπτωση Χρήσης Εφαρμογής παρέχει το δικαίωμα σάρωσης το πολύ σελίδων σε έναν τομέα (domain). Για Στατικές Δοκιμές (Static Testing): μια ενότητα κώδικα που έχει συνταχθεί για ένα συγκεκριμένο περιβάλλον εκτέλεσης. Κάθε Περίπτωση Χρήσης Εφαρμογής παρέχει το δικαίωμα σάρωσης ενοτήτων κώδικα που αποτελούνται από το πολύ γραμμές. Για Δοκιμές για Φορητές Συσκευές (Mobile Testing): μια ενότητα δυαδικού κώδικα που μπορεί να εκτελεστεί σε μια φορητή συσκευή. Κάθε πλατφόρμα φορητών συσκευών (π.χ. ios και Android) αποτελεί μια χωριστή Περίπτωση Χρήσης Εφαρμογής. Για Δοκιμές Ανοιχτού Κώδικα (Open Source Testing): μια ενότητα κώδικα που έχει συνταχθεί για ένα συγκεκριμένο περιβάλλον εκτέλεσης. Κάθε Περίπτωση Χρήσης Εφαρμογής παρέχει το δικαίωμα σάρωσης ενοτήτων κώδικα που αποτελούνται από το πολύ γραμμές. Για το Intelligent Finding Analytics for IBM AppScan Source: ένα (1) αρχείο αξιολόγησης του AppScan Source. γ. Περίπτωση Χρήσης (Instance) είναι μια μονάδα μέτρησης βάσει της οποίας μπορεί να αποκτηθεί η Υπηρεσία Cloud. Περίπτωση Χρήσης είναι η πρόσβαση σε μια συγκεκριμένη παραμετροποίηση της Υπηρεσίας Cloud. Πρέπει να αποκτηθούν επαρκή δικαιώματα για κάθε Περίπτωση Χρήσης της Υπηρεσίας Cloud που καθίσταται διαθέσιμη για πρόσβαση και χρήση κατά τη διάρκεια της περιόδου μέτρησης που καθορίζεται στην Απόδειξη Δικαιώματος ή στο Έγγραφο Συναλλαγής του Πελάτη. Για κάθε δικαίωμα Περίπτωσης Χρήσης ισχύει ότι δεν τίθεται περιορισμός στον αριθμό Εργασιών που εκτελούνται ή στον αριθμό Περιπτώσεων Χρήσης Εφαρμογής (συνδεδεμένες Εφαρμογές), υπό την προϋπόθεση, όμως, ότι δεν εκτελούνται περισσότερες από 10 Εργασίες ταυτόχρονα σε οποιαδήποτε δεδομένη χρονική στιγμή. i (05/2018) Σελίδα 4 από 7

5 5.2 Χρεώσεις Υπέρβασης Αν η πραγματική χρήση της Υπηρεσίας Cloud κατά τη διάρκεια της περιόδου μέτρησης υπερβαίνει τα δικαιώματα χρήσης που ορίζονται στην Απόδειξη Δικαιώματος, θα επιβληθεί μια χρέωση υπέρβασης έναντι της τιμής που ορίζεται στο Έγγραφο Συναλλαγής στο μήνα που ακολουθεί την ημερομηνία κατά την οποία πραγματοποιείται η εν λόγω υπέρβαση. 5.3 Συχνότητα Τιμολόγησης Ανάλογα με την επιλεγμένη συχνότητα τιμολόγησης, η IBM θα τιμολογεί στον Πελάτη τις οφειλόμενες χρεώσεις στην αρχή της περιόδου τιμολόγησης, με την εξαίρεση των χρεώσεων υπέρβασης και χρήσης, οι οποίες θα τιμολογούνται εκ των υστέρων. 5.4 Επαλήθευση Ο Πελάτης i) θα τηρεί, και θα παρέχει κατόπιν σχετικού αιτήματος, αρχεία και δεδομένα που παράγονται από εργαλεία του συστήματος, στο βαθμό που είναι ευλόγως απαραίτητο ώστε να επαληθεύουν η IBM και ο ανεξάρτητος ελεγκτής της τη συμμόρφωση του Πελάτη με τις διατάξεις της Σύμβασης, και ii) θα παραγγέλλει και θα εξοφλεί άμεσα τα απαιτούμενα δικαιώματα έναντι των εκάστοτε ισχυουσών τιμών της IBM, καθώς και οποιεσδήποτε άλλες χρεώσεις και οφειλές που τυχόν προκύπτουν ως αποτέλεσμα της εν λόγω επαλήθευσης, όπως αυτές καθορίζονται από την ΙΒΜ σε ένα τιμολόγιο. Οι εν λόγω υποχρεώσεις επαλήθευσης συμμόρφωσης παραμένουν σε ισχύ κατά τη διάρκεια της περιόδου ισχύος της Υπηρεσίας Cloud και για δύο επιπλέον έτη μετά τη λήξη αυτής της περιόδου. 6. Περίοδος Ισχύος και Επιλογές Ανανέωσης Η περίοδος ισχύος της Υπηρεσίας Cloud αρχίζει κατά την ημερομηνία που η IBM ειδοποιεί τον Πελάτη ότι έχει πρόσβαση στην Υπηρεσία Cloud, όπως τεκμηριώνεται στην Απόδειξη Δικαιώματος. Στην Απόδειξη Δικαιώματος θα καθορίζεται αν η Υπηρεσία Cloud ανανεώνεται αυτόματα, εξακολουθεί να παρέχεται βάσει συνεχόμενης χρήσης ή διακόπτεται στο τέλος της περιόδου ισχύος. Σε περίπτωση αυτόματης ανανέωσης, εκτός εάν ο Πελάτης παράσχει έγγραφη ειδοποίηση τουλάχιστον 30 ημέρες πριν την ημερομηνία λήξης της περιόδου ισχύος, η Υπηρεσία Cloud θα ανανεώνεται αυτόματα για το χρονικό διάστημα που καθορίζεται στην Απόδειξη Δικαιώματος. Σε περίπτωση συνεχόμενης χρήσης, η Υπηρεσία Cloud θα εξακολουθεί να είναι διαθέσιμη σε μηνιαία βάση έως ότου ο Πελάτης παράσχει έγγραφη δήλωση καταγγελίας 30 ημερών. Η Υπηρεσία Cloud θα εξακολουθεί να είναι διαθέσιμη μέχρι το τέλος του ημερολογιακού μήνα μετά την εν λόγω περίοδο 30 ημερών. 7. Πρόσθετοι Όροι 7.1 Ζητήματα Ασφάλειας Κατά την εκτέλεση διαδικασιών σάρωσης ασφάλειας (security scans) ενδέχεται να μην εντοπιστούν όλοι οι κίνδυνοι ασφάλειας σε μια εφαρμογή. Επίσης επισημαίνεται ότι οι διαδικασίες σάρωσης δεν έχουν σχεδιαστεί και δεν προορίζονται για χρήση σε περιβάλλοντα υψηλού κινδύνου όπου απαιτείται η αδιάλειπτη λειτουργία τους, συμπεριλαμβανομένης, ενδεικτικά και όχι περιοριστικά, της λειτουργίας συστημάτων πλοήγησης αεροσκαφών, συστημάτων ελέγχου εναέριας κυκλοφορίας, οπλικών συστημάτων, συστημάτων υποστήριξης ζωτικών λειτουργιών του ανθρώπινου οργανισμού, πυρηνικών εγκαταστάσεων και οποιωνδήποτε άλλων εφαρμογών στις οποίες ο μη έγκαιρος εντοπισμός κινδύνων ασφάλειας θα μπορούσε να οδηγήσει σε θάνατο, προσωπικό τραυματισμό ή υλικές ζημίες. Η Υπηρεσία Cloud μπορεί να χρησιμοποιηθεί προκειμένου να βοηθηθεί ο Πελάτης στην εκπλήρωση υποχρεώσεων συμμόρφωσής του, οι οποίες μπορεί να βασίζονται σε νόμους, κανονισμούς, πρότυπα ή πρακτικές. Οποιεσδήποτε κατευθυντήριες γραμμές, συμβουλές χρήσης ή οδηγίες παρέχονται από την Υπηρεσία Cloud δεν αποτελούν νομική, λογιστική ή άλλη επαγγελματική συμβουλή και συνιστάται στον Πελάτη να συμβουλεύεται το δικό του δικηγόρο ή άλλο εξειδικευμένο σύμβουλο. Η χρήση αυτής της Υπηρεσίας Cloud δεν συνιστά εγγύηση συμμόρφωσης με οποιονδήποτε νόμο, κανονισμό, πρότυπο ή πρακτική. Η Υπηρεσία Cloud διεξάγει διεισδυτικές και μη διεισδυτικές δοκιμές στον ιστότοπο και στη διαδικτυακή εφαρμογή ή εφαρμογή φορητής συσκευής που επιλέγεται για την εκτέλεση διαδικασιών σάρωσης (scan) από τον Πελάτη. Ορισμένοι νόμοι απαγορεύουν οποιαδήποτε απόπειρα μη εξουσιοδοτημένης διείσδυσης ή πρόσβασης σε υπολογιστικά συστήματα. Ο Πελάτης εξουσιοδοτεί την IBM να εκτελεί τις Υπηρεσίες που i (05/2018) Σελίδα 5 από 7

6 περιγράφονται στην παρούσα και αποδέχεται ότι οι Υπηρεσίες συνιστούν εξουσιοδοτημένη πρόσβαση στα υπολογιστικά συστήματα του Πελάτη. Η IBM έχει το δικαίωμα να αποκαλύψει την παρούσα χορήγηση εξουσιοδότησης σε κάποιο τρίτο μέρος, εάν κριθεί απαραίτητο για την εκτέλεση των Υπηρεσιών. Οι εν λόγω δοκιμές εγκυμονούν κάποιους κινδύνους, συμπεριλαμβανομένων, ενδεικτικά, των ακολούθων: α. Τα υπολογιστικά συστήματα του Πελάτη μπορούν κατά την εκτέλεση εφαρμογών που βρίσκονται υπό δοκιμή να παρουσιάζουν δυσλειτουργία τύπου "hang" ή παύση λειτουργίας (crash), με αποτέλεσμα τα συστήματα προσωρινά να μην είναι διαθέσιμα ή να χαθούν δεδομένα. β. Ενδέχεται να μειωθεί προσωρινά η απόδοση και η ικανότητα μετάδοσης των συστημάτων του Πελάτη και των σχετιζόμενων δρομολογητών (routers) και τειχών προστασίας (firewalls) κατά τη διενέργεια των δοκιμών. γ. Είναι πιθανό να παράγεται μεγάλος αριθμός μηνυμάτων σε αρχεία καταγραφής (log messages), με αποτέλεσμα την κατάληψη μεγάλου τμήματος του διαθέσιμου χώρου στο δίσκο από τα αρχεία καταγραφής. δ. Ενδέχεται να τροποποιηθούν ή να διαγραφούν δεδομένα ως αποτέλεσμα της διερεύνησης τρωτών σημείων. ε. Ενδέχεται να ενεργοποιηθούν μηχανισμοί συναγερμού από συστήματα εντοπισμού παραβιάσεων. στ. Ενδέχεται να ενεργοποιηθεί η αποστολή μηνυμάτων από τη λειτουργία ηλεκτρονικής αλληλογραφίας της διαδικτυακής εφαρμογής που βρίσκεται υπό δοκιμή, και ζ. Η Υπηρεσία Cloud μπορεί να αναχαιτίζει τις ροές δεδομένων του παρακολουθούμενου δικτύου για το σκοπό του εντοπισμού συμβάντων. Κατά τη διάρκεια οποιασδήποτε δραστηριότητας διενέργειας δοκιμών ο Πελάτης θα παραιτείται από οποιαδήποτε παρεχόμενα από την ΙΒΜ δικαιώματα ή μέσα επανόρθωσης τα οποία απορρέουν από συμβάσεις επιπέδου παροχής υπηρεσιών (SLA). Σε περίπτωση που ο Πελάτης εισάγει ταυτοποιημένα στοιχεία ταυτότητας για τη σύνδεσή του στην εφαρμογή που βρίσκεται υπό δοκιμή στην Υπηρεσία Cloud, ο Πελάτης θα πρέπει να χρησιμοποιεί τα εν λόγω στοιχεία ταυτότητας μόνο για δοκιμαστικούς λογαριασμούς και όχι για χρήστες του περιβάλλοντος παραγωγής. Η χρήση στοιχείων ταυτότητας χρηστών του περιβάλλοντος παραγωγής μπορεί να έχει ως αποτέλεσμα τη μετάδοση δεδομένων προσωπικού χαρακτήρα μέσω της Υπηρεσίας Cloud. Η Υπηρεσία Cloud μπορεί να παραμετροποιηθεί για την εκτέλεση διαδικασιών σάρωσης (scan) διαδικτυακών εφαρμογών στο περιβάλλον παραγωγής. Όταν ο Πελάτης ορίσει την επιλογή "production" (περιβάλλον παραγωγής) ως είδος σάρωσης (scan type), η υπηρεσία έχει σχεδιαστεί έτσι ώστε να εκτελεί τις διαδικασίες σάρωσης με τρόπο να ελαχιστοποιεί τους κινδύνους που περιγράφονται ανωτέρω. Όμως, σε ορισμένες περιπτώσεις η χρήση της Υπηρεσίας Cloud μπορεί να συνεπάγεται μια μείωση της απόδοσης ή της σταθερότητας στους δοκιμασμένους ιστοτόπους και στην υποδομή του περιβάλλοντος παραγωγής. Η IBM δεν παρέχει εγγυήσεις ούτε προβαίνει σε δηλώσεις αναφορικά με την καταλληλότητα της Υπηρεσίας Cloud για την εκτέλεση διαδικασιών σάρωσης (scan) σε ιστοτόπους του περιβάλλοντος παραγωγής. Είναι ευθύνη του Πελάτη να προσδιορίζει αν η Υπηρεσία Cloud είναι κατάλληλη ή ασφαλής για τον ιστότοπο, τη διαδικτυακή εφαρμογή, την εφαρμογή για φορητές συσκευές ή το τεχνικό περιβάλλον του Πελάτη. Η Υπηρεσία Cloud έχει σχεδιαστεί για τον εντοπισμό ευρείας γκάμας ζητημάτων ασφάλειας και συμμόρφωσης σε εφαρμογές για φορητές συσκευές, διαδικτυακές εφαρμογές και διαδικτυακές υπηρεσίες. Δεν δοκιμάζει όλα τα τρωτά σημεία και τους κινδύνους αναφορικά με τη συμμόρφωση, ούτε λειτουργεί ως φραγμός σε επιθέσεις στην ασφάλεια. Οι απειλές στην ασφάλεια και οι κανονισμοί και τα πρότυπα ασφάλειας αλλάζουν συνεχώς, και η Υπηρεσία Cloud μπορεί να μην ανταποκρίνεται σε όλες αυτές τις αλλαγές. Η ασφάλεια και η συμμόρφωση των διαδικτυακών εφαρμογών, των συστημάτων και των υπαλλήλων του πελάτη, και οποιεσδήποτε διορθωτικές ενέργειες, εναπόκεινται αποκλειστικά στην ευθύνη του Πελάτη. Εναπόκειται αποκλειστικά στη διακριτική ευχέρεια του Πελάτη να χρησιμοποιήσει ή να μη χρησιμοποιήσει οποιεσδήποτε από τις πληροφορίες που παρέχονται από την Υπηρεσία Cloud. Ορισμένοι νόμοι απαγορεύουν οποιαδήποτε απόπειρα μη εξουσιοδοτημένης διείσδυσης ή πρόσβασης σε υπολογιστικά συστήματα. Είναι ευθύνη του Πελάτη να εξασφαλίζει ότι η Υπηρεσία Cloud δεν χρησιμοποιείται για τη σάρωση ιστοτόπων και εφαρμογών εκτός των ιστοτόπων και εφαρμογών που βρίσκονται στην κυριότητα του Πελάτη και επί των οποίων διαθέτει τα απαιτούμενα δικαιώματα ή εξουσιοδοτήσεις για την εκτέλεση διαδικασιών σάρωσης. i (05/2018) Σελίδα 6 από 7

7 Διευκρινίζεται ότι το περιεχόμενο Πελάτη που περιγράφεται στο άρθρο Προστασία Δεδομένων της Σύμβασης Υπηρεσιών Cloud ή του εγγράφου Όροι Χρήσης - Γενικοί Όροι για Προσφορές Cloud, ανάλογα με την περίπτωση, θεωρείται ότι περιλαμβάνει επίσης δεδομένα που ενδέχεται να καθίστανται διαθέσιμα στην IBM κατά τη διενέργεια Δοκιμών Διείσδυσης σε Εφαρμογές. 7.2 Λογισμικό Ενεργοποίησης Για την Υπηρεσία Cloud μπορεί να απαιτείται η χρήση λογισμικού ενεργοποίησης, το οποίο μεταφορτώνεται από τον Πελάτη στα συστήματά του προκειμένου να καθίσταται δυνατή η χρήση της Υπηρεσίας Cloud. Ο Πελάτης επιτρέπεται να χρησιμοποιεί το λογισμικό ενεργοποίησης μόνο σε συνάρτηση με την εκ μέρους του χρήση της Υπηρεσίας Cloud. Το λογισμικό ενεργοποίησης παρέχεται στον Πελάτη βάσει των παρακάτω όρων: Λογισμικό Ενεργοποίησης Static Analyzer Client Utility (IRX Generator) AppScan Presence Ισχύοντες Όροι Άδειας Χρήσης (αν υπάρχουν) Παρέχεται για χρήση ΩΣ ΕΧΕΙ Παρέχεται για χρήση ΩΣ ΕΧΕΙ 7.3 Συστήματα που Ανήκουν σε Τρίτους Για συστήματα (στα οποία περιλαμβάνονται για τους σκοπούς της παρούσας διάταξης, ενδεικτικά και όχι περιοριστικά, και εφαρμογές και διευθύνσεις IP) που ανήκουν σε τρίτους και θα υπόκεινται στη διενέργεια δοκιμών βάσει της παρούσας, ο Πελάτης συμφωνεί: α. Ότι προτού η IBM ξεκινήσει τη διενέργεια δοκιμών σε ένα σύστημα τρίτου, ο Πελάτης θα εξασφαλίσει υπογεγραμμένη επιστολή από τον ιδιοκτήτη κάθε συστήματος, στην οποία θα σας παρέχεται εξουσιοδότηση στην IBM να διενεργεί δοκιμές στο εν λόγω σύστημα και θα δηλώνεται η αποδοχή εκ μέρους του ιδιοκτήτη των προϋποθέσεων που καθορίζονται στο άρθρο "Άδεια Διενέργειας Δοκιμών", και θα παράσχει στην IBM αντίγραφο της εν λόγω εξουσιοδότησης. β. Ότι έχει την αποκλειστική ευθύνη να ενημερώνει τον ιδιοκτήτη ενός συστήματος σχετικά με οποιουσδήποτε κινδύνους, τρωτά σημεία ή περιπτώσεις έκθεσης σε κινδύνους που θα εντοπιστούν στα εν λόγω συστήματα τρίτων κατά τη διενέργεια των εξ αποστάσεως δοκιμών της IBM, και γ. Ότι θα οργανώνει και θα διευκολύνει την ανταλλαγή πληροφοριών μεταξύ του ιδιοκτήτη του συστήματος και της IBM, όπως κρίνει αναγκαίο η IBM. Ο Πελάτης συμφωνεί: α. Να ενημερώνετε αμέσως την ΙΒΜ οποτεδήποτε υπάρχει αλλαγή στην ιδιοκτησία οποιουδήποτε συστήματος που αποτελεί αντικείμενο της διενέργειας δοκιμών βάσει της παρούσας. β. Να μην αποκαλύπτει τα παραδοτέα, ή το γεγονός ότι η IBM εκτέλεσε τις Υπηρεσίες, εκτός της Επιχείρησης του Πελάτη χωρίς την προηγούμενη έγγραφη συγκατάθεση της IBM, και γ. Να αποζημιώνει την ΙΒΜ πλήρως για οποιεσδήποτε απώλειες ή οφειλές υποστεί εξαιτίας αξιώσεων τρίτων οι οποίες απορρέουν από μη συμμόρφωση του Πελάτη με τις απαιτήσεις του παρόντος άρθρου με τίτλο "Συστήματα που Ανήκουν σε Τρίτους" ή εξαιτίας οποιωνδήποτε κλητεύσεων ή αξιώσεων τρίτων εναντίον της IBM, ή εναντίον υπεργολάβων ή αντιπροσώπων της IBM, οι οποίες απορρέουν από (α) τη διενέργεια δοκιμών για κινδύνους για την ασφάλεια, περιπτώσεις έκθεσης σε κινδύνους ή τρωτά σημεία των συστημάτων που αποτελούν αντικείμενο της διενέργειας δοκιμών βάσει της παρούσας, (β) την παροχή των αποτελεσμάτων των εν λόγω δοκιμών στον Πελάτη, (γ) τη χρήση ή αποκάλυψη των εν λόγω αποτελεσμάτων από τον Πελάτη. Σημαντικό: Η παρούσα Περιγραφή Υπηρεσιών συντάχθηκε στην αγγλική γλώσσα. Μπορείτε να βρείτε και να εκτυπώσετε αντίγραφο της παρούσας Περιγραφής Υπηρεσιών στην αγγλική από την εξής ιστοσελίδα: Η ελληνική μετάφραση παρέχεται μόνο για λόγους διευκόλυνσης. Σε περίπτωση ασυμφωνίας μεταξύ του αγγλικού κειμένου και της ελληνικής του μετάφρασης, το αγγλικό κείμενο υπερισχύει. Εάν για οποιονδήποτε λόγο δεν έχετε πρόσβαση στο αγγλικό κείμενο, παρακαλούμε όπως επικοινωνήσετε με τον τοπικό εκπρόσωπο της IBM προκειμένου να σας το αποστείλουμε άμεσα. i (05/2018) Σελίδα 7 από 7