Haavoittuvuuksien julkistamista koskevat periaatteet

1. Tarkoitus

FLEX-Elektrowerkzeuge GmbH (jäljempänä ”organisaatio”) on sitoutunut vastaanottamaan, arvioimaan ja käsittelemään kyberturvallisuuden haavoittuvuusraportteja, jotka koskevat sen digitaalisia elementtejä sisältäviä tuotteita. Näissä periaatteissa kuvataan koordinoitu haavoittuvuuksien julkistamisprosessimme, ja ne tukevat asetuksen (EU) 2024/2847 (”EU:n kyberkestävyyssäädös” tai ”CRA”) sovellettavien vaatimusten noudattamista.

Olemme sitoutuneet parantamaan tuotteitamme jatkuvasti keskittymällä muuttuviin markkinavaatimuksiin, puuttumalla uusiin uhkiin ja mukautumalla uusiin hyökkäyskanaviin.

2. Soveltamisala

Voit ilmoittaa seuraavissa tuotteissa käytön aikana havaituista mahdollisista kyberturvallisuushaavoittuvuuksista:

• Sovellukset ja tuotteet, jotka voidaan yhdistää sovelluksiin

• Tuotteet, joissa on diagnostiikkarajapinnat, ja niihin liittyvät etäohjattavat diagnostiikkatyökalut

3. Haavoittuvuudesta ilmoittaminen

3.1 Lähetyskanava

Älä lähetä meille ongelmia koskevia tietoja suojaamattomien kanavien kautta. Haavoittuvuusraportit tulisi sen sijaan lähettää sähköpostitse:

Turvallisuusyhteyshenkilö: psirt@flex-tools.com

Jos raporttisi sisältää haavoittuvuutta hyödyntävää koodia, kirjautumistietoja, henkilötietoja tai muita arkaluonteisia tietoja, ota ensin yhteyttä meihin, jotta voimme tarjota asianmukaisen turvallisen siirtotavan.

Tätä yhteyspistettä valvoo pätevä henkilöstö, eikä sen toiminta rajoitu pelkästään automaattisiin työkaluihin.

3.2 Raportin sisältö

Raportoijien tulisi antaa mahdollisuuksien mukaan seuraavat tiedot tehokkaan luokittelun takaamiseksi:

• Kyseessä oleva tuote tai sovellus: Tarkka nimi ja versio, laiteohjelmisto- tai ohjelmistoversio (välttämätön)

• Haavoittuvuuden kuvaus: Yksityiskohtainen kuvaus haavoittuvuudesta ja sen mahdollisista vaikutuksista

• Toistettavuusohjeet: Vaiheittaiset ohjeet, mukaan lukien tiedot työkaluista ja ympäristöstä

• Tukeva aineisto: Kuvakaappaukset, verkkoliikenteen tallenteet, lokitiedostot tai Proof of Concept (PoC) -koodi

• Vakavuuden arviointi: CVSS v3.1- tai v4.0-pisteytystä suositellaan

• Yhteystiedot: Sähköpostiosoite tai muut yhteystiedot jatkoviestintää varten (välttämätön)

3.3 Tietoturvatutkimuksen ohjeet

Noudata seuraavia ohjeita tehdessäsi tietoturvatutkimusta tai -testausta:

• vältä muille käyttäjille kuuluvien tietojen käyttöä, kopiointia, muuttamista tai poistamista;

• älä käytä sosiaalista manipulointia, tietojenkalastelua, palvelunestohyökkäyksiä, fyysisiä hyökkäyksiä tai muita menetelmiä, jotka saattavat häiritä tuotteitamme, palveluitamme tai käyttäjiämme;

• rajoita testaus siihen, mikä on kohtuullisesti tarpeen haavoittuvuuden vahvistamiseksi ja dokumentoimiseksi;

• lopeta testaus ja ilmoita meille viipymättä, jos pääset käsiksi aiotun soveltamisalan ulkopuolisiin henkilötietoihin, kirjautumistietoihin, luottamuksellisiin tietoihin tai järjestelmiin; ja

• älä julkista haavoittuvuutta ennen kuin meillä on ollut kohtuullinen mahdollisuus tutkia ja korjata se, sovellettavan lain mukaisesti.

Näissä periaatteissa ei sallita toimintaa, joka on lainvastaista tai joka muutoin ylittää sinulle myönnetyt käyttöoikeudet.

4. Haavoittuvuuksien käsittelyprosessi

Tuotteiden tietoturvaloukkauksiin reagoiva yksikkö (PSIRT) suorittaa haavoittuvuuden arvioinnin ja riskinarvioinnin vastaanotettuaan haavoittuvuusraportin. Vahvistetut haavoittuvuudet korjataan ja julkistetaan, ja raportoijan kanssa pidetään yllä tarvittavaa yhteydenpitoa. Jos haavoittuvuuden vahvistetaan sijaitsevan toimittajan komponentissa, PSIRT ilmoittaa asiasta toimittajalle.

Ennen kuin tietoja julkistetaan, molempien osapuolten tulisi päästä yhteisymmärrykseen seuraavista seikoista:

• Julkistamispäivä

• Julkisen ilmoituksen tai lausunnon sisältö

• Käyttäjien suojaamiseksi vaadittava julkaisukieltoaika

5. Luottamuksellisuus

Organisaatio käsittelee haavoittuvuusraportit luottamuksellisesti eikä luovuta raportoijan henkilötietoja kolmansille osapuolille ilman nimenomaista suostumusta, paitsi lain niin edellyttäessä.

Raportoijat voivat myös pysyä nimettöminä; nimettömyys voi kuitenkin rajoittaa organisaation mahdollisuuksia ottaa yhteyttä jatkoviestintää varten.

6. Korjatun haavoittuvuuden julkistaminen

Tiedossa ei ole korjattuja haavoittuvuuksia.