Cel
Exentec zobowiązuje się do utrzymywania bezpieczeństwa, ochrony i cyberodporności swoich produktów z elementami cyfrowymi.
Niniejsza Polityka skoordynowanego ujawniania podatności (CVD) wyjaśnia, w jaki sposób badacze bezpieczeństwa, klienci, partnerzy i inne strony trzecie mogą zgłaszać podatności do Exentec oraz jak je obsługujemy, usuwamy i ujawniamy.
Niniejsza polityka wspiera proces obsługi podatności w Exentec oraz jego obowiązki wynikające z mających zastosowanie przepisów prawa z zakresu cyberbezpieczeństwa, w tym rozporządzenia (UE) 2024/2847 (akt w sprawie cyberodporności).
Zakres
Niniejsza polityka ma zastosowanie do podejrzewanych podatności bezpieczeństwa wpływających na produkty Exentec z elementami cyfrowymi, w tym oprogramowanie sprzętowe, oprogramowanie, komponenty wbudowane oraz, w stosownych przypadkach, usługi cyfrowe niezbędne do wykonywania przez produkt jego zamierzonych funkcji.
Wyłączone z zakresu:
- Podatności bezpieczeństwa fizycznego bez wpływu na cyberbezpieczeństwo
- Usługi stron trzecich, które nie znajdują się pod kontrolą Exentec
- Socjotechnika, phishing, spam lub ataki fizyczne
- Testy typu denial-of-service, testy obciążeniowe lub działania zakłócające
Jeżeli zgłoszony problem dotyczy komponentu strony trzeciej osadzonego w produkcie Exentec, Exentec może ocenić zgłoszenie i, w stosownych przypadkach, skoordynować je z odpowiednim dostawcą lub opiekunem.
Jak zgłosić podatność
Prosimy zgłaszać podejrzewane podatności do Exentec pocztą elektroniczną:
E-mail: security@exentec.net
Zgłoszenia powinny być, w miarę możliwości, składane w języku angielskim.
Exentec traktuje zgłoszenia podatności i powiązaną komunikację jako poufne oraz przetwarza informacje zgodnie z mającymi zastosowanie obowiązkami prawnymi, regulacyjnymi, dotyczącymi poufności i ochrony danych.
Prosimy nie zgłaszać podatności bezpieczeństwa za pośrednictwem publicznych forów ani mediów społecznościowych.
Informacje, które należy uwzględnić w zgłoszeniu
Prosimy podać jak najwięcej z następujących informacji:
- Produkt, którego dotyczy problem, w tym model, wersję oprogramowania sprzętowego lub oprogramowania oraz szczegóły konfiguracji, jeśli są dostępne
- Opis podatności, w tym potencjalny wpływ oraz instrukcje odtworzenia krok po kroku
- Informacje pomocnicze, takie jak kod proof-of-concept, logi, ślady lub inne dowody techniczne
- Publiczne odniesienia, jeśli istnieją. Prosimy wskazać, czy podatność została już publicznie ujawniona lub jest aktywnie wykorzystywana
Dane kontaktowe (opcjonalnie)
Jak Exentec obsługuje zgłoszenia podatności
Exentec prowadzi proces skoordynowanego ujawniania podatności, którego celem jest wspieranie odpowiedzialnego zgłaszania, terminowego usuwania problemów, ograniczania ryzyka i odpowiedniego publicznego ujawniania.
W stosownych przypadkach Exentec może:
- Potwierdzić otrzymanie zgłoszenia
- Zweryfikować i ocenić podatność
- Określić wagę i potencjalny wpływ
- Opracować środki naprawcze lub łagodzące
- Skoordynować działania z dostawcami, opiekunami lub partnerami, których problem dotyczy
Opublikować komunikat bezpieczeństwa, gdy będzie to właściwe
Exentec może komunikować się ze zgłaszającym podczas procesu oceny i usuwania problemu, gdy wymagane są dodatkowe informacje lub wyjaśnienia.
Komunikaty bezpieczeństwa mogą zawierać informacje o produktach, których dotyczy problem, poziomie wagi, identyfikatorze CVE, wskazówkach dotyczących usunięcia problemu, poprawionych wersjach oraz podziękowaniu dla zgłaszającego, jeśli zostało to uzgodnione.
Raportowanie zgodnie z unijnym aktem w sprawie cyberodporności
Jeżeli jest to wymagane na mocy rozporządzenia (UE) 2024/2847 (akt w sprawie cyberodporności), Exentec będzie zgłaszać aktywnie wykorzystywane podatności oraz poważne incydenty bezpieczeństwa wpływające na produkty z elementami cyfrowymi do wyznaczonego CSIRT i ENISA w obowiązujących ustawowych terminach.
Safe Harbour
Exentec z zadowoleniem przyjmuje i wspiera odpowiedzialne badania bezpieczeństwa.
Exentec nie zamierza podejmować działań prawnych przeciwko osobom działającym w dobrej wierze, przestrzegającym niniejszej polityki, unikającym szkód dla użytkowników i systemów oraz zapewniającym Exentec rozsądną możliwość zbadania i usunięcia zgłoszonych podatności przed ich publicznym ujawnieniem.
Ta klauzula safe harbour ma zastosowanie wyłącznie do zgodnych z prawem, odpowiedzialnych i niedeorganizujących badań bezpieczeństwa i nie ma zastosowania do działań, które są niezgodne z prawem, złośliwe, lekkomyślne, wprowadzające w błąd lub szkodliwe.
Koordynacja łańcucha dostaw
Jeżeli podatność wpływa na komponent strony trzeciej lub komponent open source używany w produkcie Exentec, Exentec może koordynować działania związane z usuwaniem problemu i ujawnieniem z odpowiednim dostawcą, opiekunem, producentem lub projektem nadrzędnym.
Prosimy podać nazwy komponentów, wersje, repozytoria lub dane dostawcy, jeśli są dostępne.
Poufność i podziękowanie
Exentec traktuje zgłoszenia podatności jako poufne i oczekuje, że zgłaszający będą postępować tak samo do czasu skoordynowanego ujawnienia lub zatwierdzenia publicznego ujawnienia przez Exentec.
Za zgodą zgłaszającego Exentec może publicznie podziękować osobom lub organizacjom, które odpowiedzialnie zgłaszają potwierdzone podatności.
Zastrzeżenie
Niniejsza polityka stanowi dobrowolne zaproszenie do zgłaszania podatności i nie tworzy zobowiązań umownych wykraczających poza te przewidziane przez obowiązujące prawo.
Żadne postanowienie niniejszego zastrzeżenia nie ma na celu ograniczenia obowiązków Exentec wynikających z obowiązującego prawa, w tym aktu w sprawie cyberodporności, jeżeli ma on zastosowanie.