Policy för ansvarsfull rapportering av säkerhetsbrister
1. Syfte
FLEX-Elektrowerkzeuge GmbH (nedan endast organisationen) åtar sig att ta emot, utvärdera och åtgärda rapporter om säkerhetsbrister i cybersäkerheten som rör dess produkter med digitala komponenter. Denna policy beskriver vår samordnade process för rapportering av säkerhetsbrister och ligger till grund för vår efterlevnad av de tillämpliga kraven i förordning (EU) 2024/2847 (EU:s cyberresiliensförordning eller CRA).
Vi strävar efter att kontinuerligt förbättra våra produkter, med fokus på förändrade marknadskrav, hantering av nya hot och anpassning till nya attackvägar.
2. Tillämpningsområde
Du kan rapportera en potentiell cybersäkerhetsbrist som upptäcks i följande produkter under användning:
Appar (APP) och produkter som kan anslutas till appar
Produkter med diagnosgränssnitt och tillhörande fjärrstyrbara diagnosverktyg
3. Så här anmäler du en säkerhetsbrist
3.1 Inlämningskanal
Skicka inte information om fel till oss via osäkra kanaler. I stället bör rapporter om säkerhetsbrister skickas till vår e-postadress:
Kontaktperson för säkerhetsfrågor: psirt@flex-tools.com
Om din rapport innehåller exploateringskod, inloggningsuppgifter, personuppgifter eller annan känslig information, ber vi dig att först kontakta oss så att vi kan ordna en lämplig och säker överföringsmetod.
Denna kontaktpunkt övervakas av kvalificerad personal och är inte begränsad till automatiserade verktyg.
3.2 Rapportens innehåll
De som anmäler bör i möjligaste mån lämna följande uppgifter för en effektivare prioritering:
Berörd produkt eller app: Exakt namn och version, firmware- eller programvaruversion (viktigt)
Beskrivning av säkerhetsbristen: En detaljerad beskrivning av säkerhetsbristen och dess eventuella konsekvenser
Steg för att återskapa bristen: Stegvisa instruktioner, inklusive information om verktyg och miljö
Underlag: Skärmdumpar, nätverksavläsningar, loggar eller konceptvalideringskod (PoC)
Bedömning av allvarlighetsgrad: Rekommenderat CVSS v3.1- eller v4.0-betyg
Kontaktuppgifter: E-postadress eller andra kontaktuppgifter för uppföljning (obligatoriskt)
3.3 Riktlinjer för säkerhetsforskning
Om du bedriver säkerhetsforskning eller utför säkerhetstester ber vid dig att observera följande:
Undvik att komma åt, kopiera, ändra eller radera data som tillhör andra användare.
Använd inte social manipulation, nätfiske, överbelastningsattacker, fysiska angrepp eller andra metoder som kan störa våra produkter, tjänster eller användare.
Begränsa testningen till vad som är rimligt nödvändigt för att bekräfta och dokumentera säkerhetsbristen.
Sluta med testningen och meddela oss omedelbart om du får tillgång till personuppgifter, inloggningsuppgifter, konfidentiell information eller system utöver det avsedda tillämpningsområdet.
Offentliggör inte säkerhetsbristen innan vi har haft rimlig möjlighet att utreda och åtgärda den, i enlighet med gällande lagstiftning.
Denna policy ger inte rätt att agera på ett sätt som är olagligt eller som på annat sätt överskrider de åtkomstbehörigheter som beviljats dig.
4. Process för hantering av säkerhetsbrister
Avdelningen för hantering av produktsäkerhetsincidenter (PSIRT) gör en bedömning av säkerhetsbristen och en riskutvärdering så snart en rapport om en säkerhetsbristen tas emot. Bekräftade säkerhetsbrister åtgärdas och offentliggörs, samtidigt som nödvändig kommunikation upprätthålls med den som anmält dem. Om det bekräftas att säkerhetsbristen finns i en komponent i leveranskedjan underrättar PSIRT leverantören.
Innan en säkerhetsbrist offentliggörs ska parter enas om följande:
Offentliggörandedatum
Innehållet i ett offentligt tillkännagivande eller uttalande
Spärrperiod som krävs för att skydda användarna
5. Sekretess
Organisationen behandlar rapporter om säkerhetsbrister konfidentiellt och lämnar inte ut anmälarens personuppgifter till tredje part utan uttryckligt samtycke, såvida inte lagen kräver något annat.
Anmälarna kan också välja att vara anonyma. Anonymiteten kan dock begränsa organisationens möjligheter att hålla kontakt i efterhand.
6. Offentliggörande av åtgärdad säkerhetsbrist
Inga kända säkerhetsbrister har registrerats.