Polityka ujawniania podatności

1. Cel

Firma FLEX-Elektrowerkzeuge GmbH (zwana dalej „Organizacją”) zobowiązuje się do przyjmowania, oceny i rozpatrywania zgłoszeń dotyczących podatności w zakresie cyberbezpieczeństwa jej produktów z elementami cyfrowymi. Niniejsza polityka opisuje nasz proces skoordynowanego ujawniania podatności i wspiera przestrzeganie mających zastosowanie wymogów rozporządzenia (UE) 2024/2847 („Akt o cyberodporności” lub „CRA”).

Nieustannie dążymy do ulepszania naszych produktów, koncentrując się na zmieniających się wymaganiach rynku, reagowaniu na pojawiające się zagrożenia i dostosowywaniu się do nowych wektorów ataków.

2. Zakres

Użytkownik może zgłosić potencjalną podatność wykrytą podczas użytkowania następujących produktów:

• Aplikacje (APP) i produkty, które mogą łączyć się z aplikacjami

• Produkty wyposażone w interfejsy diagnostyczne oraz powiązane z nimi zdalnie sterowane narzędzia diagnostyczne

3. Jak zgłosić podatność

3.1 Kanał zgłoszeniowy

Prosimy nie przesyłać nam żadnych informacji dotyczących problemów niezabezpieczonymi kanałami. Zamiast tego zgłoszenia dotyczące podatności należy przesyłać na nasz adres e-mail:

Punkt kontaktowy ds. bezpieczeństwa: psirt@flex-tools.com

Jeśli zgłoszenie zawiera kod wykorzystujący podatność, dane uwierzytelniające, dane osobowe lub inne poufne informacje, prosimy o wcześniejszy kontakt, aby można było zapewnić odpowiednią, bezpieczną metodę przekazania tych danych.

Monitoring punktu kontaktowego prowadzony jest przez wykwalifikowany personel, a nie wyłącznie przez narzędzia automatyczne.

3.2 Treść zgłoszenia

Aby zapewnić sprawną wstępną ocenę zgłoszenia, zgłaszający powinni w miarę możliwości podać następujące informacje:

• Produkt lub aplikacja, których dotyczy podatność: Dokładna nazwa i wersja produktu oraz wersja oprogramowania układowego lub oprogramowania (wymagane)

• Opis podatności: Szczegółowy opis podatności i jej potencjalnych skutków

• Kroki pozwalające odtworzyć podatność: Instrukcje krok po kroku, w tym informacje dotyczące narzędzi i środowiska

• Materiały potwierdzające podatność: Zrzuty ekranu, przechwycony ruch sieciowy, dzienniki lub kod demonstracyjny potwierdzający możliwość wykorzystania podatności (PoC)

• Ocena poziomu istotności podatności: Zalecany wynik w skali CVSS w wersji 3.1 lub 4.0

• Dane do kontaktu: Adres e-mail lub inne dane do dalszego kontaktu (wymagane)

3.3 Wytyczne dotyczące badań bezpieczeństwa

Podczas prowadzenia badań lub testów bezpieczeństwa należy:

• unikać uzyskiwania dostępu do danych należących do innych użytkowników oraz ich kopiowania, modyfikowania lub usuwania;

• nie stosować technik inżynierii społecznej, phishingu, ataków typu „odmowa usługi”, ataków fizycznych ani innych metod, które mogą zakłócić działanie naszych produktów lub usług albo działalność naszych użytkowników;

• ograniczyć testy do zakresu racjonalnie niezbędnego do potwierdzenia i udokumentowania podatności;

• zaprzestać testów i niezwłocznie nas powiadomić, jeśli uzyska się dostęp do danych osobowych, danych uwierzytelniających, informacji poufnych lub systemów poza planowanym zakresem testów; oraz

• nie ujawniać informacji o podatności publicznie, zanim nie będziemy mieć odpowiedniej możliwości jej zbadania i wyeliminowania, z zastrzeżeniem mających zastosowanie przepisów prawa.

Niniejsza Polityka nie zezwala na działania niezgodne z prawem lub w inny sposób wykraczające poza przyznane użytkownikowi uprawnienia dostępu.

4. Postępowanie w przypadku wykrycia podatności

Po otrzymaniu zgłoszenia dotyczącego podatności zespół ds. reagowania na incydenty związane z bezpieczeństwem produktów (PSIRT) przeprowadzi ocenę podatności i analizę ryzyka. Potwierdzone podatności zostaną wyeliminowane, a informacje o nich ujawnione, z zapewnieniem niezbędnego kontaktu ze zgłaszającym. Jeśli zostanie potwierdzone, że podatność występuje w komponencie pochodzącym od dostawcy na wcześniejszym etapie łańcucha dostaw, zespół PSIRT powiadomi o tym dostawcę.

Przed publicznym ujawnieniem informacji o podatności strony powinny uzgodnić następujące kwestie:

• Data ujawnienia

• Treść wszelkich publicznych komunikatów lub oświadczeń

• Okres wstrzymania publikacji niezbędny do ochrony użytkowników

5. Poufność

Organizacja zachowa poufność zgłoszeń dotyczących podatności i nie będzie udostępniać danych osobowych zgłaszającego osobom trzecim bez jego wyraźnej zgody, chyba że wymagają tego przepisy prawa.

Zgłaszający mogą również pozostać anonimowi, jednak taka decyzja może ograniczyć możliwość nawiązania przez Organizację dalszego kontaktu.

6. Informacje o usuniętych podatnościach

Nie udokumentowano żadnych naprawionych podatności.