Beleid inzake het openbaar maken van kwetsbaarheden

1. Doel

FLEX-Elektrowerkzeuge GmbH (hierna de "Organisatie" genoemd) zet zich in voor het ontvangen, beoordelen en behandelen van meldingen over kwetsbaarheden betreffende cyberbeveiliging met betrekking tot haar producten met digitale elementen. Dit Beleid beschrijft onze gecoördineerde procedure voor het melden van kwetsbaarheden en ondersteunt onze naleving van de toepasselijke vereisten van Verordening (EU) 2024/2847 (de "Europese Verordening cyberweerbaarheid" of "CRA").

We zetten ons in om onze producten voortdurend te verbeteren, waarbij we ons richten op veranderende marktbehoeften, op het aanpakken van opkomende bedreigingen en het aanpassen aan nieuwe aanvalsvectoren.

2. Bereik

U kunt een mogelijke kwetsbaarheid op het gebied van cyberbeveiliging melden, die u tijdens het gebruik in de volgende producten hebt ontdekt:

• Apps (APP) en producten die verbinding kunnen maken met apps

• Producten met diagnose-interfaces en de bijbehorende, op afstand regelbare diagnose-instrumenten

3. Een kwetsbaarheid melden

3.1 Indieningskanaal

Stuur ons geen informatie over problemen via onbeveiligde kanalen. In plaats daarvan dienen kwetsbaarheidsmeldingen te via ons e-mailadres worden ingediend:

Contactpersoon beveiliging: psirt@flex-tools.com

Als uw melding exploit-code, inloggegevens, persoonsgegevens of andere gevoelige informatie bevat, neem dan eerst contact met ons op, zodat we een geschikte, veilige manier van overdracht kunnen verstrekken.

Dit contactpunt wordt door gekwalificeerd personeel bewaakt en is niet beperkt tot geautomatiseerde hulpmiddelen.

3.2 Inhoud van de melding

Melders dienen, voor zover mogelijk, de volgende informatie te verstrekken om een efficiënte sortering te waarborgen:

• Betrokken product of app: exacte naam en versie, firmware- of softwareversie (verplicht)

• Beschrijving van de kwetsbaarheid: een gedetailleerde beschrijving van de kwetsbaarheid en de mogelijke gevolgen ervan

• Stappen voor reproduceren: stapsgewijze instructies, inclusief informatie over hulpmiddelen en omgeving

• Ondersteunend bewijs: screenshots, netwerkopnames, logbestanden of proof of concept (PoC) -code

• Beoordeling van de kriticiteit: aanbevolen score CVSS v3.1- of v4.0

• Contactgegevens: e-mailadres of andere contactgegevens voor verdere communicatie (verplicht)

3.3 Richtlijnen voor beveiligingsonderzoek

Houd bij het uitvoeren van beveiligingsonderzoek of -tests rekening met het volgende:

• vermijd het openen, kopiëren, wijzigen of verwijderen van gegevens van andere gebruikers;

• maak geen gebruik van social engineering, phishing, denial of service-aanvallen, fysieke aanvallen of andere methoden die onze producten, diensten of gebruikers kunnen verstoren;

• beperk het testen tot wat redelijkerwijs nodig is om de kwetsbaarheid vast te stellen en te documenteren;

• stop met testen en breng ons onmiddellijk op de hoogte als u toegang krijgt tot persoonsgegevens, inloggegevens, vertrouwelijke informatie of systemen buiten het beoogde bereik; en

• maak de kwetsbaarheid niet openbaar, voordat wij een redelijke mogelijkheid hebben gehad om deze te onderzoeken en te verhelpen, afhankelijk van het toepasselijk recht.

Dit Beleid staat geen gedrag toe dat onwettig is of anderszins de aan u verleende toegangsrechten overschrijdt.

4. Procedure voor het afhandelen van kwetsbaarheden

Het Product Security Incident Response Team (PSIRT) zal na ontvangst van een kwetsbaarheidsmelding de kwetsbaarheidsbeoordeling en de risicobeoordeling uitvoeren. Geverifieerde kwetsbaarheden worden verholpen en openbaar gemaakt, waarbij de melder op de hoogte wordt gehouden. Als wordt bevestigd dat de kwetsbaarheid zich in een upstream-component bevindt, zal PSIRT de leverancier hiervan in kennis stellen.

Alvorens enige informatie openbaar te maken, dienen beide partijen overeenstemming te bereiken over het volgende:

• Publicatiedatum

• Inhoud van een eventuele openbare mededeling of verklaring

• Embargo-periode die nodig is om gebruikers te beschermen

5. Vertrouwelijkheid

De Organisatie zal meldingen van kwetsbaarheden vertrouwelijk behandelen en zal de persoonsgegevens van de melder niet zonder uitdrukkelijke toestemming aan derden verstrekken, tenzij dit wettelijk verplicht is.

Melders kunnen ook anoniem blijven; anonimiteit kan echter de mogelijkheden van de Organisatie beperken om daaropvolgend contact op te nemen.

6. Publicatie van verholpen kwetsbaarheid

Er zijn geen verholpen kwetsbaarheden geregistreerd.