По ROE немедленно контактируют named persons, передают минимально достаточные details, не публикуют в общих чатах, согласуют temporary mitigations, фиксируют timeline. Тест могут приостановить на затронутом компоненте.
Разбор
- Не ждите финального PDF.
- Храните evidence hash.
- Если данные уже утекли — включайте IR заказчика.
- Письменное подтверждение получения.
Итог
Critical эскалируют сразу по ROE, не копят до отчёта.