Politika zodpovedného nahlasovania zraniteľností

1. Účel

Spoločnosť FLEX-Elektrowerkzeuge GmbH (ďalej len „organizácia“) sa zaväzuje prijímať, posudzovať a riešiť hlásenia o zraniteľnostiach v oblasti kyberbezpečnosti týkajúce sa jej výrobkov s digitálnymi prvkami. Táto politika opisuje náš koordinovaný proces nahlasovania zraniteľností a podporuje naše dodržiavanie príslušných požiadaviek nariadenia (EÚ) 2024/2847 (ďalej len „akt EÚ o kybernetickej odolnosti“ alebo „CRA“).

Snažíme sa neustále zdokonaľovať naše výrobky, pričom sa zameriavame na meniace sa požiadavky trhu, riešime nové hrozby a prispôsobujeme sa novým spôsobom útoku.

2. Rozsah pôsobnosti

Môžete nahlásiť potenciálnu zraniteľnosť v oblasti kyberbezpečnosti, ktorú ste zistili pri používaní nasledujúcich výrobkov:

• Aplikácie (APP) a výrobky, ktoré sa môžu pripojiť k aplikáciám

• Výrobky s diagnostickými rozhraniami a príslušné diaľkovo ovládateľné diagnostické nástroje

3. Ako nahlásiť zraniteľnosť

3.1 Spôsob podania

Neposielajte nám žiadne informácie o problémoch cez nezabezpečené kanály. Správy o zraniteľnostiach namiesto toho zašlite na našu e-mailovú adresu:

Kontaktná osoba pre bezpečnosť: psirt@flex-tools.com

Ak vaše hlásenie obsahuje kód na zneužitie, prístupové údaje, osobné údaje alebo iné citlivé informácie, najprv nás kontaktujte, aby sme vám mohli zabezpečiť vhodný spôsob bezpečného odovzdania.

Toto kontaktné miesto je pod dohľadom kvalifikovaného zamestnanca a jeho prevádzka sa neobmedzuje len na automatizované nástroje.

3.2 Obsah správy

Oznamovatelia by mali v rámci možností poskytnúť nasledujúce informácie, aby bolo možné efektívne určiť prioritu:

• Dotknutý výrobok alebo aplikácia: Presný názov a verzia, verzia firmvéru alebo softvéru (nevyhnutné)

• Opis zraniteľnosti: Podrobný opis zraniteľnosti a jej potenciálnych dôsledkov

• Postup na reprodukovanie chyby: Podrobný návod krok za krokom vrátane informácií o nástrojoch a prostredí

• Podporné dôkazy: Snímky obrazovky, sieťové záznamy, protokoly alebo kód na overenie koncepcie (PoC)

• Posúdenie závažnosti: Odporúčané skóre podľa CVSS v3.1 alebo v4.0

• Kontaktné údaje: E-mailová adresa alebo iné kontaktné údaje na ďalšiu komunikáciu (povinné)

3.3 Usmernenia pre výskum v oblasti bezpečnosti

Pri vykonávaní bezpečnostného výskumu alebo testovania dodržiavajte nasledovné:

• vyhýbajte sa prístupu k údajom iných používateľov, ich kopírovaniu, upravovaniu alebo mazaniu;

• nepoužívajte sociálne inžinierstvo, phishing, útoky typu „denial-of-service“, fyzické útoky ani iné metódy, ktoré by mohli narušiť fungovanie našich produktov, služieb alebo používateľov;

• obmedzte testovanie na to, čo je primerane potrebné na potvrdenie a zdokumentovanie zraniteľnosti;

• prestante s testovaním a bezodkladne nás informujte, ak získate prístup k osobným údajom, prihlasovacím údajom, dôverným informáciám alebo systémom nad rámec zamýšľaného rozsahu; a

• nezverejňujte túto zraniteľnosť, kým nebudeme mať primeranú možnosť ju prešetriť a odstrániť, a to v súlade s platnými právnymi predpismi.

Táto politika neumožňuje konanie, ktoré je nezákonné alebo inak presahuje rámec prístupových oprávnení, ktoré vám boli udelené.

4. Postup riešenia zraniteľností

Tím pre reakciu na bezpečnostné incidenty týkajúce sa výrobkov (PSIRT) vykoná posúdenie zraniteľnosti a vyhodnotenie rizika po prijatí hlásenia o zraniteľnosti. Overené zraniteľnosti budú odstránené a zverejnené, pričom bude zabezpečená potrebná komunikácia s osobou, ktorá ich nahlásila. Ak sa potvrdí, že zraniteľnosť sa nachádza v nadradenom komponente, PSIRT o tom informuje dodávateľa.

Pred akýmkoľvek zverejnením by sa obe strany mali dohodnúť na nasledujúcich bodoch:

• Dátum zverejnenia

• Obsah akéhokoľvek verejného oznámenia alebo vyhlásenia

• Doba trvania embarga potrebná na ochranu používateľov

5. Dôvernosť

Organizácia bude zachovávať dôvernosť hlásení o zraniteľnostiach a nebude zdieľať osobné údaje oznamovateľa s tretími stranami bez jeho výslovného súhlasu, s výnimkou prípadov, keď to vyžaduje zákon.

Oznamovatelia môžu tiež zostať v anonymite; anonymita však môže obmedziť schopnosť organizácie zabezpečiť následnú komunikáciu.

6. Zverejnenie opravených zraniteľností

V databáze nie sú zaznamenané žiadne známe zraniteľnosti