الغرض
تلتزم Exentec بالحفاظ على أمن منتجاتها ذات العناصر الرقمية وسلامتها ومرونتها السيبرانية.
توضح سياسة الإفصاح المنسق عن الثغرات (CVD) هذه كيفية تمكين الباحثين الأمنيين والعملاء والشركاء والأطراف الثالثة الأخرى من الإبلاغ عن الثغرات إلى Exentec، وكيفية تعاملنا معها ومعالجتها والإفصاح عنها.
تدعم هذه السياسة عملية التعامل مع الثغرات لدى Exentec والتزاماتها بموجب قوانين الأمن السيبراني المعمول بها، بما في ذلك اللائحة (الاتحاد الأوروبي) 2024/2847 (قانون المرونة السيبرانية).
النطاق
تنطبق هذه السياسة على الثغرات الأمنية المشتبه بها التي تؤثر في منتجات Exentec ذات العناصر الرقمية، بما في ذلك البرامج الثابتة والبرامج والمكونات المضمنة، وعند الاقتضاء، الخدمات الرقمية اللازمة لتمكين المنتج من أداء وظائفه المقصودة.
المستثنى من النطاق:
- ثغرات الأمن المادي التي ليس لها أثر في الأمن السيبراني
- خدمات الجهات الخارجية التي لا تخضع لسيطرة Exentec
- الهندسة الاجتماعية أو التصيد الاحتيالي أو الرسائل المزعجة أو الهجمات المادية
- اختبار حجب الخدمة أو اختبار التحميل أو الأنشطة المسببة للاضطراب
إذا كانت المشكلة المُبلغ عنها تتعلق بمكون تابع لجهة خارجية ومضمن داخل أحد منتجات Exentec، فقد تقوم Exentec بتقييم البلاغ والتنسيق بشأنه مع المورد أو الجهة المشرفة المعنية حسب الاقتضاء.
كيفية الإبلاغ عن ثغرة
يُرجى الإبلاغ عن الثغرات المشتبه بها إلى Exentec عبر البريد الإلكتروني:
البريد الإلكتروني: security@exentec.net
يُفضل تقديم البلاغات باللغة الإنجليزية كلما أمكن.
تتعامل Exentec مع بلاغات الثغرات والمراسلات ذات الصلة على أنها معلومات سرية، وتعالج المعلومات وفقًا للالتزامات القانونية والتنظيمية والتعاقدية والمتعلقة بحماية البيانات المعمول بها.
يُرجى عدم الإبلاغ عن الثغرات الأمنية عبر المنتديات العامة أو وسائل التواصل الاجتماعي.
المعلومات التي يجب تضمينها في البلاغ
يُرجى تضمين أكبر قدر ممكن من المعلومات التالية:
- المنتج المتأثر، بما في ذلك الطراز وإصدار البرنامج الثابت أو البرنامج وتفاصيل التكوين حيثما كانت متاحة
- وصف الثغرة، بما في ذلك الأثر المحتمل وتعليمات إعادة الإنتاج خطوة بخطوة
- المعلومات الداعمة، مثل شفرة إثبات المفهوم أو السجلات أو التتبعات أو غير ذلك من الأدلة التقنية
- المراجع العامة، إن وجدت. يُرجى توضيح ما إذا كانت الثغرة قد كُشف عنها علنًا بالفعل أو يجري استغلالها بشكل نشط
معلومات التواصل الخاصة بك (اختياري)
كيفية تعامل Exentec مع بلاغات الثغرات
تُشغّل Exentec عملية إفصاح منسق عن الثغرات تهدف إلى دعم الإبلاغ المسؤول والمعالجة في الوقت المناسب والحد من المخاطر والإفصاح العام المناسب.
عند الاقتضاء، قد تقوم Exentec بما يلي:
- تأكيد استلام البلاغ
- التحقق من الثغرة وتقييمها
- تحديد درجة الخطورة والأثر المحتمل
- تطوير إجراءات تصحيحية أو تدابير تخفيفية
- التنسيق مع الموردين أو الجهات المشرفة أو الشركاء المتأثرين
نشر إشعار أمني عند الاقتضاء
قد تتواصل Exentec مع المُبلّغ أثناء عملية التقييم والمعالجة إذا كانت هناك حاجة إلى معلومات إضافية أو توضيحات.
قد تتضمن الإشعارات الأمنية المنتجات المتأثرة ودرجة الخطورة ومعرّف CVE وإرشادات المعالجة والإصدارات المُصححة والإشارة إلى المُبلّغ عند الاتفاق على ذلك.
الإبلاغ بموجب قانون المرونة السيبرانية في الاتحاد الأوروبي
عند الاقتضاء بموجب اللائحة (الاتحاد الأوروبي) 2024/2847 (قانون المرونة السيبرانية)، ستقوم Exentec بالإبلاغ عن الثغرات المستغلة بشكل نشط والحوادث الأمنية الجسيمة التي تؤثر في المنتجات ذات العناصر الرقمية إلى فريق الاستجابة للحوادث الأمنية الحاسوبية (CSIRT) المعين وENISA ضمن الأطر الزمنية القانونية المعمول بها.
الملاذ الآمن
ترحب Exentec بالأبحاث الأمنية المسؤولة وتدعمها.
لا تنوي Exentec اتخاذ إجراءات قانونية ضد الأفراد الذين يتصرفون بحسن نية ويلتزمون بهذه السياسة ويتجنبون الإضرار بالمستخدمين والأنظمة ويمنحون Exentec فرصة معقولة للتحقيق في الثغرات المُبلغ عنها ومعالجتها قبل الإفصاح العلني.
ينطبق هذا الملاذ الآمن فقط على الأبحاث الأمنية القانونية والمسؤولة وغير المسببة للاضطراب، ولا ينطبق على الأنشطة غير القانونية أو الخبيثة أو المتهورة أو الخادعة أو الضارة.
التنسيق مع سلسلة التوريد
إذا أثرت ثغرة في مكون تابع لجهة خارجية أو مفتوح المصدر يُستخدم داخل أحد منتجات Exentec، فقد تقوم Exentec بتنسيق أنشطة المعالجة والإفصاح مع المورد أو الجهة المشرفة أو الشركة المصنّعة أو المشروع الأساسي المعني.
يُرجى تضمين أسماء المكونات والإصدارات والمستودعات أو تفاصيل المورد حيثما كانت متاحة.
السرية والإقرار
تتعامل Exentec مع بلاغات الثغرات على أنها سرية، وتتوقع من المُبلّغين فعل الشيء نفسه إلى أن يتم الإفصاح المنسق أو توافق Exentec على الإفصاح العلني.
بموافقة المُبلّغ، قد تُقر Exentec علنًا بالأفراد أو الجهات التي تُبلّغ بمسؤولية عن الثغرات المؤكدة.
إخلاء المسؤولية
هذه السياسة هي دعوة طوعية للإبلاغ عن الثغرات ولا تنشئ التزامات تعاقدية تتجاوز ما ينص عليه القانون المعمول به.
ليس المقصود من أي شيء وارد في إخلاء المسؤولية هذا الحد من التزامات Exentec بموجب القانون المعمول به، بما في ذلك قانون المرونة السيبرانية حيثما ينطبق.