Formål
Exentec er forpligtet til at opretholde sikkerheden, trygheden og den cybermæssige robusthed i sine produkter med digitale elementer.
Denne politik for koordineret sårbarhedsrapportering (CVD) forklarer, hvordan sikkerhedsforskere, kunder, partnere og andre tredjeparter kan rapportere sårbarheder til Exentec, og hvordan vi håndterer, afhjælper og offentliggør dem.
Denne politik understøtter Exentecs proces for håndtering af sårbarheder og dets forpligtelser i henhold til gældende cybersikkerhedslovgivning, herunder forordning (EU) 2024/2847 (Cyber Resilience Act).
Omfang
Denne politik gælder for mistænkte sikkerhedssårbarheder, der påvirker Exentecs produkter med digitale elementer, herunder firmware, software, indlejrede komponenter og, hvor det er relevant, digitale tjenester, som er nødvendige for, at et produkt kan udføre sine tilsigtede funktioner.
Ikke omfattet:
- Fysiske sikkerhedssårbarheder uden cybersikkerhedsmæssig påvirkning
- Tredjepartstjenester, som ikke er under Exentecs kontrol
- Social engineering, phishing, spam eller fysiske angreb
- Denial-of-service-test, belastningstest eller forstyrrende aktiviteter
Hvis et rapporteret forhold vedrører en tredjepartskomponent, der er indlejret i et Exentec-produkt, kan Exentec vurdere og koordinere rapporten med den relevante leverandør eller vedligeholder, alt efter hvad der er passende.
Sådan rapporterer du en sårbarhed
Rapportér venligst mistænkte sårbarheder til Exentec via e-mail:
E-mail: security@exentec.net
Rapporter bør indsendes på engelsk, når det er muligt.
Exentec behandler sårbarhedsrapporter og relateret kommunikation som fortrolige og behandler oplysninger i overensstemmelse med gældende juridiske, regulatoriske, fortrolighedsmæssige og databeskyttelsesretlige forpligtelser.
Undlad venligst at rapportere sikkerhedssårbarheder via offentlige fora eller sociale medier.
Oplysninger, der skal medtages i din rapport
Medtag venligst så mange af følgende oplysninger som muligt:
- Berørt produkt, herunder model, firmware- eller softwareversion og konfigurationsoplysninger, hvor de er tilgængelige
- Beskrivelse af sårbarheden, herunder potentiel påvirkning og trinvis reproduktionsvejledning
- Understøttende oplysninger, såsom proof-of-concept-kode, logfiler, spor eller anden teknisk dokumentation
- Offentlige referencer, hvis der er nogen. Angiv venligst, om sårbarheden allerede er blevet offentliggjort eller aktivt udnyttes
Dine kontaktoplysninger (valgfrit)
Sådan håndterer Exentec sårbarhedsrapporter
Exentec driver en proces for koordineret sårbarhedsrapportering, som har til formål at understøtte ansvarlig rapportering, rettidig afhjælpning, risikoreduktion og passende offentliggørelse.
Hvor det er relevant, kan Exentec:
- Bekræfte modtagelsen af rapporten
- Validere og vurdere sårbarheden
- Fastlægge alvorlighedsgrad og potentiel påvirkning
- Udvikle korrigerende eller afhjælpende foranstaltninger
- Koordinere med berørte leverandører, vedligeholdere eller partnere
Offentliggøre en sikkerhedsmeddelelse, når det er relevant
Exentec kan kommunikere med rapportøren under vurderings- og afhjælpningsprocessen, hvis der er behov for yderligere oplysninger eller afklaring.
Sikkerhedsmeddelelser kan omfatte berørte produkter, alvorlighedsgrad, CVE-identifikator, vejledning om afhjælpning, rettede versioner og anerkendelse af rapportøren, hvor dette er aftalt.
Rapportering i henhold til EU's Cyber Resilience Act
Hvor det kræves i henhold til forordning (EU) 2024/2847 (Cyber Resilience Act), vil Exentec rapportere aktivt udnyttede sårbarheder og alvorlige sikkerhedshændelser, der påvirker produkter med digitale elementer, til den udpegede CSIRT og ENISA inden for de gældende lovbestemte tidsfrister.
Safe Harbour
Exentec byder ansvarlig sikkerhedsforskning velkommen og støtter den.
Exentec har ikke til hensigt at anlægge sag mod personer, der handler i god tro, overholder denne politik, undgår at skade brugere og systemer og giver Exentec en rimelig mulighed for at undersøge og afhjælpe rapporterede sårbarheder før offentliggørelse.
Denne safe harbour gælder kun for lovlig, ansvarlig og ikke-forstyrrende sikkerhedsforskning og gælder ikke for aktiviteter, der er ulovlige, ondsindede, hensynsløse, vildledende eller skadelige.
Koordinering i forsyningskæden
Hvis en sårbarhed påvirker en tredjeparts- eller open source-komponent, der anvendes i et Exentec-produkt, kan Exentec koordinere afhjælpning og offentliggørelsesaktiviteter med den relevante leverandør, vedligeholder, producent eller upstream-projekt.
Medtag venligst komponentnavne, versioner, repositories eller leverandøroplysninger, hvor de er tilgængelige.
Fortrolighed og anerkendelse
Exentec behandler sårbarhedsrapporter som fortrolige og forventer, at rapportører gør det samme, indtil koordineret offentliggørelse har fundet sted, eller Exentec har godkendt offentlig offentliggørelse.
Med rapportørens samtykke kan Exentec offentligt anerkende enkeltpersoner eller organisationer, der ansvarligt rapporterer bekræftede sårbarheder.
Ansvarsfraskrivelse
Denne politik er en frivillig opfordring til at rapportere sårbarheder og skaber ikke kontraktlige forpligtelser ud over dem, der følger af gældende lov.
Intet i denne ansvarsfraskrivelse er tilsigtet at begrænse Exentecs forpligtelser i henhold til gældende lov, herunder Cyber Resilience Act, hvor det er relevant.