Zásady zveřejňování informací o zranitelnostech
1. Účel
Společnost FLEX-Elektrowerkzeuge GmbH (dále jen „organizace“) se zavazuje přijímat, posuzovat a řešit hlášení o zranitelnostech v oblasti kyberbezpečnosti týkající se jejích produktů s digitálními prvky. Tato směrnice popisuje náš koordinovaný proces oznamování zranitelností a podporuje dodržování příslušných požadavků nařízení (EU) 2024/2847 (dále jen „akt o kybernetické odolnosti“ nebo „CRA“).
Zavázali jsme se k neustálému zdokonalování našich produktů, přičemž se zaměřujeme na měnící se požadavky trhu, reagujeme na nově vznikající hrozby a přizpůsobujeme se novým způsobům útoku.
2. Rozsah
Můžete nahlásit potenciální zranitelnost v oblasti kyberbezpečnosti, kterou jste zjistili při používání následujících produktů:
aplikace (APP) a produkty, které se mohou připojit k aplikacím
produkty s diagnostickými rozhraními a souvisejícími diagnostickými nástroji, které lze ovládat na dálku
3. Jak nahlásit zranitelnost
3.1 Kanál pro zasílání zpráv
Prosíme, neposílejte nám žádné informace o problémech prostřednictvím nezabezpečených kanálů. Zprávy o zranitelnostech by místo toho měly být zasílány na naši e-mailovou adresu:
bezpečnostní kontakt: psirt@flex-tools.com
Pokud vaše hlášení obsahuje kód exploitu, přihlašovací údaje, osobní údaje nebo jiné citlivé informace, kontaktujte nás prosím nejprve, abychom vám mohli zajistit vhodný a bezpečný způsob předání.
Toto kontaktní místo je pod dohledem kvalifikovaného personálu a není omezeno pouze na automatizované nástroje.
3.2 Obsah hlášení
Oznamovatelé by zájmu efektivního třídění měli v maximální možné míře poskytnout následující informace:
dotčený produkt nebo aplikace: přesný název a verze, verze firmwaru nebo softwaru (nezbytné)
popis zranitelnosti: podrobný popis zranitelnosti a jejích možných dopadů
postup pro zopakování problému: podrobný návod krok za krokem, včetně informací o nástrojích a prostředí
podpůrné důkazy: snímky obrazovky, záznamy síťové komunikace, protokoly nebo kód pro ověření koncepce (PoC)
posouzení závažnosti: doporučené skóre CVSS v3.1 nebo v4.0
kontaktní údaje: e-mailová adresa nebo jiné kontaktní údaje pro další komunikaci (povinné)
3.3 Pokyny pro výzkum v oblasti bezpečnosti
Při provádění bezpečnostního výzkumu nebo testování postupujte následovně:
zdržte se přístupu k údajům jiných uživatelů, jejich kopírování, úpravám či mazání;
nepoužívejte sociální inženýrství, phishing, útoky typu „denial-of-service“, fyzické útoky ani jiné metody, které by mohly narušit fungování našich produktů, služeb nebo uživatelů;
omezte testování na to, co je přiměřeně nezbytné k potvrzení a zdokumentování zranitelnosti;
přestaňte s testováním a neprodleně nás informujte, pokud získáte přístup k osobním údajům, přihlašovacím údajům, důvěrným informacím nebo systémům nad rámec zamýšleného rozsahu; a
nezveřejňujte tuto zranitelnost, dokud nebudeme mít přiměřenou příležitost ji prošetřit a odstranit, a to v souladu s platnými právními předpisy.
Tyto zásady neopravňují k jednání, které je protiprávní nebo jinak překračuje rozsah přístupových oprávnění, která vám byla udělena.
4. Postup při řešení zranitelností
Tým pro reakci na bezpečnostní incidenty týkající se produktů (PSIRT) provede po obdržení hlášení o zranitelnosti posouzení zranitelnosti a vyhodnocení rizik. Ověřené zranitelnosti budou odstraněny a zveřejněny, přičemž bude udržována nezbytná komunikace s osobou, která je nahlásila. Pokud se potvrdí, že chyba zabezpečení se nachází v nadřazené komponentě, tým PSIRT o tom informuje dodavatele.
Před jakýmkoli zveřejněním by se obě strany měly dohodnout na následujícím:
datum zveřejnění
obsah jakéhokoli veřejného oznámení nebo prohlášení
doba trvání zákazu nezbytná k ochraně uživatelů
5. Důvěrnost
Organizace zachová důvěrnost hlášení o zranitelnostech a nebude sdílet osobní údaje oznamovatele s třetími stranami bez jeho výslovného souhlasu, s výjimkou případů, kdy to vyžaduje zákon.
Oznamovatelé mohou rovněž zůstat v anonymitě; anonymita však může omezit schopnost organizace zajistit následnou komunikaci.
6. Zveřejnění opravené zranitelnosti
V záznamech nejsou zaznamenány žádné známé zranitelnosti.