Doel
Exentec zet zich in voor het handhaven van de beveiliging, veiligheid en cyberweerbaarheid van zijn producten met digitale elementen.
Dit beleid voor gecoördineerde kwetsbaarheidsmelding (CVD) legt uit hoe beveiligingsonderzoekers, klanten, partners en andere derden kwetsbaarheden aan Exentec kunnen melden, en hoe wij deze behandelen, verhelpen en openbaar maken.
Dit beleid ondersteunt Exentecs proces voor de afhandeling van kwetsbaarheden en zijn verplichtingen onder toepasselijke cyberbeveiligingswetgeving, waaronder Verordening (EU) 2024/2847 (Cyber Resilience Act).
Reikwijdte
Dit beleid is van toepassing op vermoedelijke beveiligingskwetsbaarheden die Exentec-producten met digitale elementen treffen, waaronder firmware, software, ingebedde componenten en, waar van toepassing, digitale diensten die noodzakelijk zijn voor een product om de beoogde functies uit te voeren.
Uitgesloten van de reikwijdte:
- Fysieke beveiligingskwetsbaarheden zonder impact op cyberbeveiliging
- Diensten van derden die niet onder de controle van Exentec vallen
- Social engineering, phishing, spam of fysieke aanvallen
- Denial-of-service-tests, belastingstests of verstorende activiteiten
Wanneer een gemeld probleem verband houdt met een component van derden die in een Exentec-product is ingebed, kan Exentec het rapport beoordelen en dit waar passend coördineren met de relevante leverancier of beheerder.
Hoe u een kwetsbaarheid meldt
Meld vermoedelijke kwetsbaarheden per e-mail aan Exentec:
E-mail: security@exentec.net
Rapporten moeten indien mogelijk in het Engels worden ingediend.
Exentec behandelt kwetsbaarheidsmeldingen en gerelateerde communicatie als vertrouwelijk en verwerkt informatie in overeenstemming met toepasselijke wettelijke, reglementaire, vertrouwelijkheids- en gegevensbeschermingsverplichtingen.
Gelieve beveiligingskwetsbaarheden niet via openbare forums of sociale media te melden.
Informatie die u in uw melding moet opnemen
Neem zoveel mogelijk van de volgende informatie op:
- Getroffen product, inclusief model, firmware- of softwareversie en configuratiedetails waar beschikbaar
- Beschrijving van de kwetsbaarheid, inclusief mogelijke impact en stapsgewijze reproductie-instructies
- Ondersteunende informatie, zoals proof-of-conceptcode, logs, traces of ander technisch bewijs
- Openbare referenties, indien aanwezig. Gelieve aan te geven of de kwetsbaarheid al publiekelijk bekendgemaakt is of actief wordt misbruikt
Uw contactgegevens (optioneel)
Hoe Exentec kwetsbaarheidsmeldingen behandelt
Exentec hanteert een proces voor gecoördineerde kwetsbaarheidsmelding dat bedoeld is om verantwoord melden, tijdige remediëring, risicobeperking en passende openbare bekendmaking te ondersteunen.
Waar passend kan Exentec:
- De ontvangst van de melding bevestigen
- De kwetsbaarheid valideren en beoordelen
- De ernst en mogelijke impact bepalen
- Corrigerende of mitigerende maatregelen ontwikkelen
- Coördineren met getroffen leveranciers, beheerders of partners
Waar passend een beveiligingsadvies publiceren
Exentec kan tijdens het beoordelings- en remediëringsproces met de melder communiceren wanneer aanvullende informatie of verduidelijking nodig is.
Beveiligingsadviezen kunnen getroffen producten, ernst, CVE-identificatiecode, richtlijnen voor remediëring, opgeloste versies en vermelding van de melder bevatten, indien overeengekomen.
Rapportage onder de EU Cyber Resilience Act
Waar vereist onder Verordening (EU) 2024/2847 (Cyber Resilience Act), zal Exentec actief misbruikte kwetsbaarheden en ernstige beveiligingsincidenten die producten met digitale elementen treffen melden aan het aangewezen CSIRT en ENISA binnen de toepasselijke wettelijke termijnen.
Safe Harbour
Exentec verwelkomt en ondersteunt verantwoord beveiligingsonderzoek.
Exentec is niet voornemens juridische stappen te ondernemen tegen personen die te goeder trouw handelen, dit beleid naleven, schade aan gebruikers en systemen vermijden en Exentec een redelijke kans geven om gemelde kwetsbaarheden te onderzoeken en te verhelpen vóór openbare bekendmaking.
Deze safe harbour is alleen van toepassing op rechtmatig, verantwoord en niet-verstorend beveiligingsonderzoek en is niet van toepassing op activiteiten die onrechtmatig, kwaadwillig, roekeloos, misleidend of schadelijk zijn.
Coördinatie van de toeleveringsketen
Wanneer een kwetsbaarheid een component van derden of open source treft die binnen een Exentec-product wordt gebruikt, kan Exentec remediërings- en openbaarmakingsactiviteiten coördineren met de relevante leverancier, beheerder, fabrikant of het upstream-project.
Gelieve componentnamen, versies, repositories of leveranciersgegevens op te nemen waar beschikbaar.
Vertrouwelijkheid en erkenning
Exentec behandelt kwetsbaarheidsmeldingen als vertrouwelijk en verwacht dat melders hetzelfde doen totdat gecoördineerde openbaarmaking heeft plaatsgevonden of Exentec openbare bekendmaking heeft goedgekeurd.
Met toestemming van de melder kan Exentec personen of organisaties die bevestigde kwetsbaarheden op verantwoorde wijze melden publiekelijk erkennen.
Disclaimer
Dit beleid is een vrijwillige uitnodiging om kwetsbaarheden te melden en creëert geen contractuele verplichtingen buiten die waarin het toepasselijke recht voorziet.
Niets in deze disclaimer is bedoeld om Exentecs verplichtingen onder toepasselijk recht te beperken, waaronder de Cyber Resilience Act waar van toepassing.