Účel
Společnost Exentec se zavazuje udržovat zabezpečení, bezpečnost a kybernetickou odolnost svých produktů s digitálními prvky.
Tato zásada koordinovaného zveřejňování zranitelností (CVD) vysvětluje, jak mohou bezpečnostní výzkumníci, zákazníci, partneři a další třetí strany oznamovat zranitelnosti společnosti Exentec a jak je zpracováváme, napravujeme a zveřejňujeme.
Tato zásada podporuje proces nakládání se zranitelnostmi společnosti Exentec a její povinnosti podle platných právních předpisů v oblasti kybernetické bezpečnosti, včetně nařízení (EU) 2024/2847 (Cyber Resilience Act).
Rozsah
Tato zásada se vztahuje na podezření na bezpečnostní zranitelnosti ovlivňující produkty společnosti Exentec s digitálními prvky, včetně firmwaru, softwaru, vestavěných komponent a případně digitálních služeb, které jsou nezbytné k tomu, aby produkt mohl plnit své zamýšlené funkce.
Ze scope jsou vyloučeny:
- Zranitelnosti fyzického zabezpečení bez dopadu na kybernetickou bezpečnost
- Služby třetích stran, které nejsou pod kontrolou společnosti Exentec
- Sociální inženýrství, phishing, spam nebo fyzické útoky
- Testování typu denial-of-service, zátěžové testování nebo narušující činnosti
Pokud se nahlášený problém týká komponenty třetí strany vložené do produktu společnosti Exentec, může společnost Exentec report posoudit a podle potřeby koordinovat s příslušným dodavatelem nebo správcem.
Jak nahlásit zranitelnost
Podezření na zranitelnosti prosím oznamujte společnosti Exentec e-mailem:
E-mail: security@exentec.net
Oznámení by měla být pokud možno podána v angličtině.
Společnost Exentec považuje oznámení o zranitelnostech a související komunikaci za důvěrné a zpracovává informace v souladu s platnými právními, regulatorními, smluvními a předpisy o ochraně osobních údajů.
Bezpečnostní zranitelnosti prosím neoznamujte prostřednictvím veřejných fór ani sociálních sítí.
Informace, které má vaše oznámení obsahovat
Uveďte prosím co nejvíce z následujících informací:
- Dotčený produkt, včetně modelu, verze firmwaru nebo softwaru a podrobností o konfiguraci, jsou-li k dispozici
- Popis zranitelnosti, včetně možného dopadu a podrobných pokynů k reprodukci krok za krokem
- Podpůrné informace, například proof-of-concept kód, logy, trasování nebo jiné technické důkazy
- Veřejné reference, pokud existují. Uveďte prosím, zda již byla zranitelnost veřejně zveřejněna nebo je aktivně zneužívána
Vaše kontaktní údaje (volitelné)
Jak společnost Exentec nakládá s oznámeními o zranitelnostech
Společnost Exentec provozuje proces koordinovaného zveřejňování zranitelností, jehož cílem je podpořit odpovědné oznamování, včasnou nápravu, snižování rizik a vhodné veřejné zveřejnění.
Společnost Exentec může podle potřeby:
- Potvrdit přijetí oznámení
- Ověřit a posoudit zranitelnost
- Určit závažnost a možný dopad
- Vyvinout nápravná nebo zmírňující opatření
- Koordinovat postup s dotčenými dodavateli, správci nebo partnery
Zveřejnit bezpečnostní upozornění, je-li to vhodné
Společnost Exentec může během procesu posouzení a nápravy komunikovat s oznamovatelem, pokud jsou vyžadovány další informace nebo upřesnění.
Bezpečnostní upozornění mohou obsahovat dotčené produkty, stupeň závažnosti, identifikátor CVE, pokyny k nápravě, opravené verze a poděkování oznamovateli, pokud je dohodnuto.
Hlášení podle aktu o kybernetické odolnosti EU
Pokud to vyžaduje nařízení (EU) 2024/2847 (Cyber Resilience Act), společnost Exentec nahlásí aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty ovlivňující produkty s digitálními prvky určenému CSIRT a agentuře ENISA v rámci platných zákonných lhůt.
Safe Harbour
Společnost Exentec vítá a podporuje odpovědný bezpečnostní výzkum.
Společnost Exentec nemá v úmyslu podnikat právní kroky proti jednotlivcům, kteří jednají v dobré víře, dodržují tuto zásadu, vyhýbají se způsobení újmy uživatelům a systémům a poskytnou společnosti Exentec přiměřenou příležitost k prošetření a nápravě nahlášených zranitelností před jejich veřejným zveřejněním.
Tento safe harbour se vztahuje pouze na zákonný, odpovědný a nenarušující bezpečnostní výzkum a nevztahuje se na činnosti, které jsou nezákonné, škodlivé, bezohledné, klamavé nebo nebezpečné.
Koordinace dodavatelského řetězce
Pokud zranitelnost ovlivňuje komponentu třetí strany nebo open-source komponentu používanou v produktu společnosti Exentec, může společnost Exentec koordinovat činnosti nápravy a zveřejnění s příslušným dodavatelem, správcem, výrobcem nebo upstream projektem.
Uveďte prosím názvy komponent, verze, repozitáře nebo údaje o dodavateli, jsou-li k dispozici.
Důvěrnost a poděkování
Společnost Exentec považuje oznámení o zranitelnostech za důvěrná a očekává, že oznamovatelé budou postupovat stejně, dokud neproběhne koordinované zveřejnění nebo společnost Exentec neschválí veřejné zveřejnění.
Se souhlasem oznamovatele může společnost Exentec veřejně poděkovat jednotlivcům nebo organizacím, které odpovědně oznámí potvrzené zranitelnosti.
Prohlášení
Tato zásada je dobrovolnou výzvou k oznamování zranitelností a nevytváří smluvní závazky nad rámec těch, které stanoví platné právo.
Nic v tomto prohlášení není zamýšleno jako omezení povinností společnosti Exentec podle platného práva, včetně Cyber Resilience Act, je-li to relevantní.