Πολιτική γνωστοποίησης ευπαθειών

1. Σκοπός

Η FLEX-Elektrowerkzeuge GmbH (εφεξής καλούμενη «ο Οργανισμός») δεσμεύεται να λαμβάνει, να αξιολογεί και να διερευνά αναφορές ευπαθειών στον τομέα της κυβερνοασφάλειας οι οποίες αφορούν τα προϊόντα της με ψηφιακά στοιχεία. Η παρούσα Πολιτική περιγράφει τη συντονισμένη μας διαδικασία για τη γνωστοποίηση των ευπαθειών και υποστηρίζει τη συμμόρφωσή μας με τις ισχύουσες απαιτήσεις του Κανονισμού (ΕΕ) 2024/2847 (ο «Κανονισμός της ΕΕ για την Κυβερνοανθεκτικότητα» ή «CRA»).

Δεσμευόμαστε να βελτιώνουμε συνεχώς τα προϊόντα μας, εστιάζοντας στις εξελισσόμενες απαιτήσεις της αγοράς, την αντιμετώπιση των αναδυόμενων απειλών και την προσαρμογή στους νέους φορείς επίθεσης.

2. Πεδίο εφαρμογής

Μπορείτε να αναφέρετε μια πιθανή ευπάθεια στον τομέα της κυβερνοασφάλειας η οποία εντοπίστηκε κατά τη χρήση των ακόλουθων προϊόντων:

• Εφαρμογές (APP) και προϊόντα που μπορούν να συνδεθούν σε εφαρμογές

• Προϊόντα με διαγνωστικές διεπαφές και τα αντίστοιχα τηλεχειριζόμενα διαγνωστικά εργαλεία τους

3. Πώς να αναφέρετε μια ευπάθεια

3.1 Κανάλι υποβολής

Παρακαλούμε να μην μας στέλνετε οποιεσδήποτε πληροφορίες σχετικά με προβλήματα μέσω μη ασφαλών καναλιών. Αντ' αυτού, οι αναφορές ευπαθειών θα πρέπει να υποβάλλονται μέσω της διεύθυνσης email μας:

Επικοινωνία για θέματα ασφάλειας: psirt@flex-tools.com

Εάν η αναφορά σας περιέχει κώδικα εκμετάλλευσης, στοιχεία πρόσβασης, προσωπικά δεδομένα ή άλλες ευαίσθητες πληροφορίες, παρακαλούμε επικοινωνήστε πρώτα μαζί μας, ώστε να σας παράσχουμε μια κατάλληλη και ασφαλή μέθοδο διαβίβασης.

Η εν λόγω οδός επικοινωνίας ελέγχεται από εξειδικευμένο προσωπικό και δεν περιορίζεται μόνο σε αυτοματοποιημένα εργαλεία.

3.2 Περιεχόμενο αναφοράς

Οι αναφέροντες θα πρέπει να παρέχουν, στον βαθμό που είναι εφικτό, τις ακόλουθες πληροφορίες για την αποτελεσματική ταξινόμηση των περιστατικών:

• Σχετικό προϊόν ή εφαρμογή: Ακριβές όνομα και έκδοση, έκδοση υλικολογισμικού ή λογισμικού (Απαραίτητο)

• Περιγραφή ευπάθειας: Λεπτομερής περιγραφή της ευπάθειας και των πιθανών επιπτώσεών της

• Βήματα για την αναπαραγωγή του προβλήματος: Οδηγίες βήμα προς βήμα, συμπεριλαμβανομένων αναλυτικών πληροφοριών σχετικά με τα εργαλεία και το περιβάλλον

• Αποδεικτικά στοιχεία: Στιγμιότυπα οθόνης, καταγραφές δικτύου, αρχεία καταγραφής ή κώδικας Proof of Concept (PoC)

• Αξιολόγηση σοβαρότητας: Συνιστώμενη βαθμολογία CVSS v3.1 ή v4.0

• Στοιχεία επικοινωνίας: Διεύθυνση ηλεκτρονικού ταχυδρομείου ή άλλα στοιχεία επικοινωνίας για περαιτέρω επικοινωνία (Απαραίτητο)

3.3 Κατευθυντήριες γραμμές για έρευνες στον τομέα της ασφάλειας

Κατά τη διεξαγωγή ερευνών ή δοκιμών ασφαλείας:

• Αποφεύγετε την πρόσβαση, την αντιγραφή, την τροποποίηση ή τη διαγραφή δεδομένων που ανήκουν σε άλλους χρήστες.

• Μην χρησιμοποιείτε τεχνικές κοινωνικής μηχανικής (χειραγώγηση με σκοπό την απόσπαση πληροφοριών) ή phishing (ηλεκτρονικό «ψάρεμα»), επιθέσεις άρνησης υπηρεσίας (DoS), φυσικές επιθέσεις ή άλλες μεθόδους που ενδέχεται να διαταράξουν τα προϊόντα, τις υπηρεσίες ή τους χρήστες μας.

• Περιορίστε τις δοκιμές σε ό,τι κρίνεται εύλογα αναγκαίο για την επιβεβαίωση και την τεκμηρίωση της ευπάθειας.

• Σταματήστε τις δοκιμές και ενημερώστε μας αμέσως εάν αποκτήσετε πρόσβαση σε προσωπικά δεδομένα, στοιχεία σύνδεσης, εμπιστευτικές πληροφορίες ή συστήματα πέραν του προβλεπόμενου πεδίου εφαρμογής και

• Μην δημοσιοποιήσετε την ευπάθεια προτού να έχουμε την εύλογη δυνατότητα να τη διερευνήσουμε και να την αποκαταστήσουμε, σύμφωνα με την ισχύουσα νομοθεσία.

Η παρούσα Πολιτική δεν επιτρέπει συμπεριφορές που είναι παράνομες ή που υπερβαίνουν με οποιονδήποτε άλλο τρόπο τα δικαιώματα πρόσβασης που σας έχουν παραχωρηθεί.

4. Διαδικασία διαχείρισης ευπαθειών

Η Ομάδα Αντιμετώπισης Περιστατικών Ασφάλειας Προϊόντων (PSIRT) θα προβεί σε εκτίμηση της ευπάθειας και αξιολόγηση του κινδύνου μόλις λάβει μια σχετική αναφορά. Οι επιβεβαιωμένες ευπάθειες θα αποκαθίστανται και θα γνωστοποιούνται, ενώ θα διατηρείται η απαραίτητη επικοινωνία με το άτομο που υπέβαλε την αναφορά. Εάν επιβεβαιωθεί ότι η ευπάθεια βρίσκεται σε ένα στοιχείο ανώτερου επιπέδου, η PSIRT θα ειδοποιεί τον προμηθευτή.

Πριν από οποιαδήποτε δημοσιοποίηση, και τα δύο μέρη θα πρέπει να έχουν καταλήξει σε συμφωνία σχετικά με τα εξής:

• Ημερομηνία γνωστοποίησης

• Περιεχόμενο οποιασδήποτε δημόσιας ανακοίνωσης ή δήλωσης

• Απαιτούμενη περίοδος απαγόρευσης δημοσίευσης για την προστασία των χρηστών

5. Εμπιστευτικότητα

Ο Οργανισμός θα τηρεί τον απόρρητο χαρακτήρα των αναφορών ευπαθειών και δεν θα κοινοποιεί σε τρίτους τα προσωπικά στοιχεία του αναφέροντος χωρίς τη ρητή συγκατάθεσή του, εκτός εάν αυτό απαιτείται από τον νόμο.

Οι αναφέροντες μπορούν επίσης να διατηρούν την ανωνυμία τους· ωστόσο, η ανωνυμία ενδέχεται να περιορίσει τη δυνατότητα του Οργανισμού να επικοινωνήσει μαζί τους για περαιτέρω ενέργειες.

6. Γνωστοποίηση αποκατασταθείσας ευπάθειας

Δεν έχουν καταγραφεί αποκατασταθείσες ευπάθειες.