A biztonsági rések nyilvánosságra hozatalára vonatkozó irányelv

1. Cél

A FLEX-Elektrowerkzeuge GmbH (a továbbiakban: „a szervezet”) elkötelezett amellett, hogy a digitális elemekkel rendelkező termékeivel kapcsolatos kiberbiztonsági sebezhetőségekről szóló bejelentéseket fogadja, értékelje és kezelje. Ez az irányelv ismerteti a sebezhetőségek közzétételére vonatkozó összehangolt eljárásunkat, és elősegíti az (EU) 2024/2847 rendelet (a továbbiakban: „EU kiberreziliencia-törvény” vagy „CRA”) vonatkozó követelményeinek való megfelelésünket.

Elkötelezettek vagyunk termékeink folyamatos fejlesztése mellett, középpontban tartva a változó piaci igényeket, az új fenyegetések kezelését és az új támadási vektorokhoz való alkalmazkodást.

2. Hatály

A következő termékek használata során észlelt, potenciális kiberbiztonsági sebezhetőségeket az alábbiak szerint jelentheti be:

• Alkalmazások (APP) és olyan termékek, amelyek csatlakozni tudnak az alkalmazásokhoz

• Diagnosztikai interfésszel rendelkező termékek és a hozzájuk tartozó, távolról vezérelhető diagnosztikai eszközök

3. Hogyan lehet bejelenteni egy biztonsági rést

3.1 Beküldési csatorna

Kérjük, ne küldjön nekünk semmilyen hibajelentést nem biztonságos csatornákon keresztül. Ehelyett a biztonsági sebezhetőségeket az alábbi e-mail címen jelentse be:

Biztonsági kapcsolattartó: psirt@flex-tools.com

Ha a bejelentésében kihasználási kód, hozzáférési adatok, személyes adatok vagy egyéb érzékeny információk szerepelnek, kérjük, először vegye fel velünk a kapcsolatot, így megfelelő, biztonságos átviteli módot tudunk biztosítani.

Ezt az átviteli pontot képzett szakemberek felügyelik, és működése nem korlátozódik kizárólag automatizált eszközökre.

3.2 A bejelentés tartalma

A bejelentőknek a hatékony osztályozás érdekében a lehető legteljesebb mértékben meg kell adniuk a következő információkat:

• Érintett termék vagy alkalmazás: Pontos név és verzió, firmware- vagy szoftververzió (elengedhetetlen)

• A sebezhetőség leírása: A biztonsági rés és annak lehetséges következményeinek részletes leírása

• A hiba reprodukálásának lépései: Lépésről lépésre szóló útmutató, beleértve a szükséges eszközöket és a környezeti követelményeket

• Alátámasztó bizonyítékok: Képernyőképek, hálózati adatfelvételek, naplófájlok vagy koncepció igazolás (PoC) kód

• A súlyosság értékelése: Ajánlott CVSS v3.1 vagy v4.0 pontszám

• Elérhetőségek: E-mail-cím vagy egyéb elérhetőségi adatok a további kommunikációhoz (kötelező)

3.3 Biztonsági kutatási irányelvek

Biztonsági kutatások vagy tesztelések végzése során kérjük:

• kerülje el más felhasználók adatainak elérését, másolását, módosítását vagy törlését;

• ne alkalmazzon társadalmi manipulációt, adathalászatot, szolgáltatásmegtagadási támadásokat, fizikai támadásokat vagy egyéb olyan módszereket, amelyek zavarhatják termékeink, szolgáltatásaink vagy felhasználóink működését;

• a tesztelést arra kell korlátozni, ami ésszerűen szükséges a sebezhetőség igazolásához és dokumentálásához;

• szüntesse be a tesztelést, és haladéktalanul értesítsen minket, ha a tervezett kereteken túl személyes adatokhoz, hitelesítő adatokhoz, bizalmas információkhoz vagy rendszerekhez fér hozzá; és

• Kérjük, ne hozza nyilvánosságra a biztonsági rést, mielőtt ésszerű lehetőségünk lenne annak kivizsgálására és kijavítására, az alkalmazandó jogszabályok figyelembevételével.

Ez az irányelv nem engedélyezi az olyan magatartást, amely jogellenes, vagy egyéb módon túllépi az Ön számára megadott hozzáférési jogosultságokat.

4. A biztonsági rések kezelésének folyamata

A Termékbiztonsági Incidenskezelő Csoport (PSIRT) a sebezhetőségi bejelentés kézhezvételét követően elvégzi a sebezhetőségi vizsgálatot és a kockázatértékelést. A megerősített biztonsági réseket kijavítjuk és nyilvánosságra hozzuk, miközben a bejelentővel folyamatosan tartjuk a kapcsolatot. Amennyiben megerősítést nyer, hogy a biztonsági rés egy feljebb lévő komponensben található, a PSIRT értesíti a gyártót.

Bármilyen nyilvános közzététel előtt mindkét félnek meg kell állapodnia a következőkről:

• Közzététel dátuma

• Bármely nyilvános bejelentés vagy nyilatkozat tartalma

• A felhasználók védelme érdekében szükséges embargó időszak

5. Titoktartás

A Szervezet bizalmasan kezeli a biztonsági sebezhetőségekről szóló bejelentéseket, és a bejelentő személyes adatait kifejezett hozzájárulás nélkül nem adja tovább harmadik feleknek, kivéve, ha azt a törvény megköveteli.

A bejelentők névtelenek is maradhatnak; a névtelenség azonban korlátozhatja a Szervezet lehetőségét a további tájékoztatásra.

6. A biztonsági rés nyilvánosságra hozatalának módosítása

Nincs nyilvántartásba vett biztonsági rés.