Cél

Ez a szabályzat meghatározza a Vállalat alapelveit és kötelezettségvállalásait a termékbiztonsági sebezhetőségek fogadására, hitelesítésére, az azokkal kapcsolatos kommunikációra, elhárítására és nyilvános közzétételére vonatkozóan. A Vállalat arra ösztönzi a biztonsági kutatókat, ügyfeleket, partnereket, beszállítókat és más érintett feleket, hogy a jelen szabályzattal összhangban jelentsék a potenciális sebezhetőségeket, és közösen mérsékeljék a végfelhasználókra és az ökoszisztémára nézve felmerülő kockázatokat egy összehangolt közzétételi folyamat révén.

Ezt a szabályzatot a Vállalat Sebezhetőségkezelési Eljárásával és a teljes életciklusra kiterjedő Sebezhetőségkezelési Működési Kézikönyvvel együtt kell alkalmazni. A külső szabályzatban feltüntetett elérhetőségi adatokat, visszaigazolási határidőket, kommunikációs gyakoriságot, biztonságos kommunikációs csatornákat, közzétételi megállapodásokat és elismerési kötelezettségvállalásokat belső folyamatoknak, a személyzet felelősségi köreinek és nyilvántartási mechanizmusoknak kell alátámasztaniuk.

Alkalmazási Kör

Ez a szabályzat a SmartTech neve alatt gyártott, értékesített, karbantartott vagy támogatott digitálisan vezérelt termékekre és kapcsolódó szolgáltatásokra vonatkozik, ideértve többek között a szoftvereket, firmware-eket, hardvereket, mobilalkalmazásokat, API-kat, frissítési mechanizmusokat, alapértelmezett konfigurációkat és a kapcsolódó felhőszolgáltatásokat. Az alkalmazandó termékek pontos köre a Vállalat hivatalos weboldalán, ügyfélportálján vagy termékbiztonsági weboldalán közzétett információk szerint értendő.

Ez a szabályzat nem vonatkozik általános funkcionális hibákra, spamre, social engineering tesztekre, fizikai támadásokra, szolgáltatásmegtagadási (DoS) terheléstesztekre, jogosulatlan adathozzáférésre, harmadik fél rendszereit célzó tesztelésre, illetve az alkalmazandó jogszabályokat, ügyfélszerződéseket vagy szolgáltatási feltételeket sértő tevékenységekre. Ha a bejelentők nem biztosak abban, hogy egy adott probléma e szabályzat hatálya alá tartozik-e, kezdeti kapcsolatfelvételt kezdeményezhetnek a jelen dokumentumban megjelölt csatornákon keresztül.

Bejelentési Csatornák

A Vállalat egy vagy több sebezhetőség-bejelentési csatornát tart fenn. Ha egy bejelentő az általános ügyfélszolgálaton vagy más, nem biztonsági célú csatornán keresztül nyújt be egy kezdeti jelzést, a Vállalatnak el kell fogadnia a bejelentést, és a bejelentőt a hivatalos biztonsági csatornához kell irányítania. A bejelentéseket nem szabad elutasítani pusztán amiatt, hogy a kezdeti benyújtási csatorna nem volt megfelelő. A nyilvános bejelentési csatornák között legalább egy, nem személyhez kötött hivatalos elérhetőséget biztosítani kell, és annak külsőleg elérhetőnek kell maradnia.

1. Biztonsági e-mail cím: security@expressluck.com
2. Hivatalos weboldal portál: https://www.smarttech-tv.com/hu/index.php?route=information/security
3. Egyéb kapcsolattartási pontok, pl. értékesítési platformok

A Bejelentők Által Megadandó Információk

A sebezhetőségek gyors hitelesítésének és elhárításának elősegítése érdekében a bejelentőket arra ösztönözzük, hogy a lehető legtöbb alábbi információt bocsássák rendelkezésre. A hiányos részinformáció önmagában nem eredményezi automatikusan a bejelentés elutasítását; a Vállalat a további kommunikáció során kiegészítő információkat kérhet.

• Érintett termékek, modellek, hardverváltozatok, szoftver-/firmware-verziók, komponensek, konfigurációk, üzemeltetési környezetek vagy ügyfélforgatókönyvek.
• A sebezhetőség leírása, a támadás előfeltételei, a kiváltó feltételek, a reprodukálás lépései, minimális PoC, képernyőképek, naplófájlok vagy egyéb alátámasztó anyagok.
• A bejelentő értékelése a lehetséges hatásról, pl. hogy a sebezhetőség távolról kihasználható-e, szükséges-e hitelesítés, valamint a bizalmasságra / integritásra / rendelkezésre állásra gyakorolt hatás.
• Nyilvánosságra került-e már a sebezhetőség, feltételezhető vagy megerősített-e a kihasználása, valamint értesítve lettek-e beszállítók, ügyfelek, koordinációs szervezetek vagy más felek.
• A bejelentő elérhetőségi adatai, időzónája, szervezeti hovatartozása, a tervezett nyilvános közzétételi dátum, a javasolt titoktartási időszak, valamint a névvel vagy anonim módon történő megjelölésre vonatkozó preferenciája.

A bejelentőknek tartózkodniuk kell attól, hogy az ügyfelek üzleti titkait, hitelesítő adatait, titkos kulcsait vagy a sebezhetőség hitelesítéséhez szükségesnél több információt küldjenek be. Ha a tesztelés során véletlenül ilyen információhoz jutnak, a további hozzáférést azonnal be kell szüntetni, és ezt a körülményt fel kell tüntetni a bejelentésben.

Elfogadási, Visszaigazolási és Kommunikációs Kötelezettségvállalások

A sebezhetőségről szóló bejelentés kézhezvétele után a Termékbiztonsági Csoport a belső eljárásoknak megfelelően rögzíti és rangsorolja azt. Általános körülmények között a SmartTech az alábbi kommunikációs ütemtervet követi:

1. Érvényes bejelentés kézhezvételét követően 1 munkanapon belül visszaigazolást küldünk, egy hozzárendelt nyomonkövetési számmal együtt (VMR-ÉÉÉÉ-SSSS formátumban). Ezt a nyomonkövetési számot a hitelesítés, elhárítás, kommunikáció, közzététel és az eset lezárása során végig fel kell tüntetni. Ha ugyanazt a sebezhetőséget több csatornán keresztül is bejelentik, a beküldéseket össze kell kapcsolni az eredeti bejelentéssel, és az elérhető bejelentőket státuszfrissítésekkel kell ellátni.
2. Az előzetes hitelesítést 3 munkanapon belül elvégezzük, tájékoztatva arról, hogy folytatódik-e a vizsgálat, szükség van-e kiegészítő információra, vagy az ügy nem tartozik e szabályzat hatálya alá.
3. A hitelesítés és az elhárítás során a bejelentő legalább 15 naptári naponta státuszfrissítést kap; lényeges változás esetén haladéktalanul kommunikálunk.
4. A sebezhetőség megerősítését követően a Vállalat tájékoztatást ad a tervezett elhárítási megközelítésről, az átmeneti mérséklő intézkedésekről, az összehangolt közzétételi megállapodásokról és a becsült nyilvános megjelenési időpontról.
5. Az elhárítás, a mérséklő intézkedés vagy az eset lezárásának befejezését követően a Vállalat tájékoztatja a bejelentőt a lezárás következtetéseiről, a tájékoztató (advisory) hivatkozásairól, az elismerési lehetőségekről és a további támogatási opciókról.

Biztonságos Kommunikáció és Információvédelem

A sebezhetőségi bejelentések és a koordinációs munkafolyamatok tartalmazhatnak kihasználási részleteket, PoC fájlokat, naplófájlokat, hitelesítő adatokat, titkos kulcsokat, ügyféladatokat vagy nem nyilvános elhárítási információkat. A Vállalat a szükség-alapú hozzáférés elve szerint korlátozza a hozzáférést, és az érzékeny információkat védett csatornákon keresztül továbbítja és tárolja.

• A kezdeti bejelentések rendes e-mailen vagy a SmartTech hivatalos weboldalának támogatási csatornáin keresztül is beküldhetők; az érzékeny részleteket és mellékleteket haladéktalanul védett csatornákra, például biztonságos űrlapokra vagy titkosított e-mailre kell áthelyezni. A biztonságos kommunikációs módszereknek egyaránt biztosítaniuk kell a bizalmasságot és az üzenetintegritást, pl. HTTPS-alapú biztonságos űrlapok, PGP/S-MIME titkosított vagy aláírt e-mail, ellenőrzött ügyfélportálok.
• Nem nyilvános sebezhetőségi információt tilos jogosulatlan személyeknek továbbítani, nyíltan hozzáférhető tárolókba feltölteni, illetve nyilvános csevegőcsoportokban vagy nem ellenőrzött platformokon megbeszélni.
• A jegyekre, kódtárolókra, megosztott meghajtókra, levelezőlistákra és értekezleti feljegyzésekre megfelelő hozzáférési jogosultságokat kell alkalmazni; a kulcsfontosságú hozzáférési és kommunikációs feljegyzéseket meg kell őrizni.
• Amennyiben a sebezhetőségi információt beszállítókkal, nyílt forráskódú projektek karbantartóival, CERT/CSIRT szervekkel, ügyfelekkel vagy szabályozó hatóságokkal kell megosztani, kizárólag a koordinációhoz, elhárításhoz vagy a felhasználók védelméhez feltétlenül szükséges minimális információ hozható nyilvánosságra.

Összehangolt Közzététel és Titoktartási Időszak

A Vállalat és a bejelentők ésszerű titoktartási időszakról és nyilvános közzétételi dátumról egyeztethetnek. A titoktartási időszak meghatározásánál figyelembe kell venni a sebezhetőség súlyosságát, az elhárítás összetettségét, az upstream-downstream koordináció bonyolultságát, a termék kritikusságát, az aktív kihasználás fennállását, a már meglévő nyilvános közzétételeket, a felhasználók számára a frissítések telepítéséhez szükséges időt, valamint az alkalmazandó jogi vagy szerződéses követelményeket.

Az elhárítási vagy mérséklő intézkedések elérhetővé válásáig mind a bejelentőknek, mind a Vállalatnak tartózkodniuk kell attól, hogy olyan technikai részleteket hozzanak nyilvánosságra, amelyek növelhetik a kihasználás kockázatát. Ha a sebezhetőségi információ idő előtt nyilvánosságra kerül, aktív kihasználás történik, a bejelentő korai közzétételt szándékozik végezni, vagy a felhasználói kockázatok korábbi értesítést tesznek szükségessé, a Vállalatnak haladéktalanul a Termékbiztonsági Vezetőhöz, valamint a Jogi / Megfelelőségi vezetőkhöz kell eszkalálnia az ügyet a közzétételi megállapodások újraértékelése, illetve annak felmérése érdekében, hogy szükség van-e külső biztonsági tájékoztató kiadására.

Elhárítás, Tájékoztatók és Felhasználói Értesítések

A sebezhetőség megerősítését követően a Vállalat a kockázati besorolásnak és a terméktámogatási szabályzatoknak megfelelően irányítja az elhárítást, az átmeneti mérséklő intézkedéseket, a validációs tesztelést és a kiadás előkészítését. Amennyiben harmadik féltől származó komponensek, nyílt forráskódú projektek, hardverbeszállítók, felhőszolgáltatások vagy értékesítési partnerek is érintettek, a Termékbiztonsági Csoport koordinálja az upstream és downstream érdekelt feleket a hatáselemzés és az elhárítási terv elkészítéséhez.

A biztonsági tájékoztatókat (advisory) általában az elhárított verziók, javítások, konfigurációs mérséklő intézkedések vagy egyéb kockázatcsökkentő intézkedések elérhetővé válása után tesszük közzé. A tájékoztatóknak elegendő információt kell tartalmazniuk ahhoz, hogy a célfelhasználók felmérhessék a relevanciát és intézkedhessenek; ez jellemzően magában foglalja: a sebezhetőség leírását, azonosítóit, az érintett termékeket és verziókat, a lehetséges hatást, a súlyossági besorolást, az elhárítási / mérséklési intézkedéseket, a közzététel dátumát, a felülvizsgálat dátumát, a támogatási elérhetőségeket, valamint a bejelentő elismerését, amennyiben ehhez hozzájárult.

Ha a technikai részletek teljes nyilvános közzététele nagyobb támadási kockázatot jelentene, mint amekkora biztonsági előnyt nyújtana, a Vállalat előbb kockázatcsökkentő információkat és elhárítási intézkedéseket biztosíthat az érintett felhasználóknak, egy tervezett teljes közzétételi dátum megjelölésével. A késleltetett teljes közzétételt a Termékbiztonsági Vezetőnek, az érintett termékfelelősnek és a Jogi / Megfelelőségi vezetőnek kell jóváhagynia és dokumentálnia.

Nyilatkozatokkal Kapcsolatban

A Vállalat nagyra értékeli a biztonsági kutatói közösség hozzájárulását a termékbiztonsághoz. A sebezhetőség elhárítása és közzététele után, a bejelentő hozzájárulásával, a Vállalat elismerheti a bejelentőt a biztonsági tájékoztatókban, elismerő oldalakon vagy belső nyilvántartásokban.

Az alkalmazandó jog által megengedett legteljesebb mértékben a Vállalat nem kezdeményez elmarasztaló jogi lépést az e szabályzattal összhangban végzett, jóhiszemű és időben bejelentett biztonsági kutatással szemben. Ez a kötelezettségvállalás nem vonatkozik jogszabályt sértő, harmadik fél rendszereihez hozzáférő, szolgáltatást megzavaró, adatokat kiszivárogtató, zsarolást vagy fenyegetést megvalósító, illetve a jelen szabályzat hatályán kívül eső egyéb magatartásra.

Elismerés, Biztonságos Kikötés (Safe-Harbour) és Felelősségkorlátozási Nyilatkozat

A Vállalat nagyra értékeli a biztonsági közösség hozzájárulását a termékbiztonsághoz. A sebezhetőség elhárítása és közzététele után, a bejelentő hozzájárulásával, a Vállalat nyilvánosan elismerheti a bejelentő közreműködését a biztonsági tájékoztatókban, elismerő oldalakon vagy belső nyilvántartásokban. A bejelentők választhatják az anonimitást, vagy egy megjelölt névhasználatot.

Az alkalmazandó jog által megengedett legteljesebb mértékben a Vállalat nem kezdeményez elmarasztaló jogi lépést az e szabályzattal összhangban, jóhiszeműen végzett és időben bejelentett biztonsági kutatással szemben. Ez a kötelezettségvállalás nem vonatkozik jogszabályt sértő, harmadik fél rendszereihez hozzáférő, szolgáltatást megzavaró, adatokat kiszivárogtató, zsarolást vagy fenyegetést megvalósító, illetve a jelen szabályzat hatályán kívül eső egyéb tevékenységre.

Nyilvántartás, Felülvizsgálat és Folyamatos Fejlesztés

A Vállalat megőrzi a szabályzat korábbi verzióit, a nyilvános oldalak hivatkozásait, a csatorna-ellenőrzési nyilvántartásokat, a sebezhetőségi bejelentéseket, a kommunikációs naplókat, a biztonságos kommunikáció bizonyítékait, a közzétételi döntéseket, a tájékoztatók felülvizsgálatait, az elismerési visszaigazolásokat, az elhárítás validálási feljegyzéseit és az eset lezárásáról szóló feljegyzéseket. A megőrzési időszakoknak le kell fedniük a termék támogatási életciklusát, és meg kell felelniük az alkalmazandó szabályozási, szerződéses és ügyféli követelményeknek (a sebezhetőségi nyilvántartásokat legalább 10 évig vagy a termék támogatási életciklusáig kell megőrizni, amelyik hosszabb).

A Termékbiztonsági Vezető legalább évente / félévente köteles szabályzat-felülvizsgálatot szervezni annak ellenőrzésére, hogy a bejelentési csatornák működőképesek-e, a nyilvános oldalak elérhetők-e, a kommunikációs határidők teljesíthetők-e, a biztonságos kommunikáció hatékony-e, a tájékoztatók teljesek-e, valamint hogyan kezelik a felhasználói és bejelentői visszajelzéseket. Az azonosított hiányosságokat fejlesztési intézkedésekké kell alakítani, és nyomon kell követni azok lezárásáig.