Scop

Această politică stabilește principiile fundamentale și angajamentele de gestionare ale Companiei privind primirea, validarea, comunicarea, remedierea și divulgarea publică a vulnerabilităților de securitate ale produselor. Compania încurajează cercetătorii în securitate, clienții, partenerii, furnizorii și alte părți relevante să raporteze potențiale vulnerabilități în conformitate cu această politică și să atenueze împreună riscurile pentru utilizatorii finali și pentru ecosistem printr-o divulgare coordonată.

Această politică trebuie utilizată împreună cu Procedura de Gestionare a Vulnerabilităților a Companiei și cu Manualul Operațional pentru Gestionarea Vulnerabilităților pe întregul ciclu de viață. Datele de contact, termenele de confirmare, frecvența comunicării, comunicațiile securizate, acordurile de divulgare și angajamentele de recunoaștere menționate în politica externă trebuie susținute de procese interne, responsabilități ale personalului și mecanisme de păstrare a evidențelor.

Domeniul de Aplicare

Această politică se aplică produselor și serviciilor conexe cu capabilități digitale fabricate, vândute, întreținute sau susținute sub numele SmartTech, incluzând, dar fără a se limita la, software, firmware, hardware, aplicații mobile, API-uri, mecanisme de actualizare, configurații implicite și serviciile cloud asociate. Domeniul exact al produselor aplicabile va face obiectul informațiilor publicate pe site-ul web oficial al Companiei, portalul pentru clienți sau pagina web dedicată securității produselor.

Această politică nu se aplică defectelor funcționale generale, spam-ului, testelor de inginerie socială, atacurilor fizice, testelor de stres pentru refuzul serviciului, accesului neautorizat la date, testărilor care vizează sisteme ale unor terțe părți sau oricărei activități care încalcă legile aplicabile, contractele cu clienții sau termenii serviciului. Dacă cei care raportează nu sunt siguri dacă o problemă se încadrează în domeniul acestei politici, aceștia pot iniția un contact preliminar prin canalele specificate în acest document.

Canale de Raportare

Compania menține unul sau mai multe canale de raportare a vulnerabilităților. Dacă un raportor transmite o sesizare inițială prin serviciul general de asistență clienți sau prin alte canale care nu sunt dedicate securității, Compania trebuie să accepte sesizarea și să îndrume raportorul către canalul oficial de securitate. Raportările nu trebuie respinse doar pentru că au fost transmise inițial pe un canal incorect. Cel puțin un punct de contact oficial, care nu este asociat unei anumite persoane, trebuie oferit printre canalele publice de raportare și trebuie să rămână accesibil din exterior.

1. E-mail de securitate: security@expressluck.com
2. Portalul site-ului web oficial: https://www.smarttech-tv.com/ro/index.php?route=information/security
3. Alte puncte de contact, de ex. platforme de vânzări

Informații Care Trebuie Furnizate de Raportori

Pentru a facilita validarea și remedierea rapidă a vulnerabilităților, raportorii sunt încurajați să furnizeze cât mai multe dintre următoarele informații. Absența unor informații parțiale nu va duce automat la respingerea raportului; Compania poate solicita informații suplimentare în cadrul comunicărilor ulterioare.

• Produsele afectate, modelele, reviziile hardware, versiunile software/firmware, componentele, configurațiile, mediile de implementare sau scenariile clienților.
• Descrierea vulnerabilității, condițiile prealabile ale atacului, condițiile de declanșare, pașii de reproducere, un PoC minim, capturi de ecran, jurnale sau alte materiale justificative.
• Evaluarea raportorului privind impactul potențial, de ex. dacă vulnerabilitatea poate fi exploatată de la distanță, dacă este necesară autentificarea, și impactul asupra confidențialității / integrității / disponibilității.
• Dacă vulnerabilitatea a fost făcută publică, dacă exploatarea este suspectată sau confirmată, și dacă furnizorii, clienții, organizațiile de coordonare sau alte părți au fost notificate.
• Datele de contact ale raportorului, fusul orar, afilierea organizațională, data planificată pentru divulgarea publică, perioada de confidențialitate propusă, și preferința pentru atribuire sau anonimat.

Raportorii trebuie să se abțină de la transmiterea secretelor comerciale ale clienților, a datelor de autentificare, a cheilor secrete sau a altor informații dincolo de ceea ce este necesar pentru validarea vulnerabilității. Dacă astfel de informații sunt accesate din greșeală în timpul testării, accesul suplimentar trebuie să înceteze imediat, iar această circumstanță trebuie menționată în raport.

Angajamente Privind Acceptarea, Confirmarea și Comunicarea

La primirea unui raport de vulnerabilitate, Echipa de Securitate a Produselor va înregistra și va triaja raportul în conformitate cu procedurile interne. În circumstanțe generale, SmartTech va respecta următorul ritm de comunicare:

1. O confirmare de primire va fi trimisă în termen de 1 zi lucrătoare de la primirea unui raport valid, împreună cu un număr de urmărire atribuit (VMR-AAAA-NNNN). Acest număr de urmărire trebuie menționat pe tot parcursul procesului de triaj, validare, remediere, comunicare, divulgare și închidere a cazului. Atunci când aceeași vulnerabilitate este transmisă în mod repetat prin mai multe canale, sesizările vor fi asociate raportului inițial, iar actualizări de stare vor fi furnizate raportorilor care pot fi contactați.
2. Validarea preliminară va fi finalizată în termen de 3 zile lucrătoare, comunicându-se dacă se va proceda la o investigație, dacă sunt necesare informații suplimentare, sau dacă problema depășește domeniul de aplicare al acestei politici.
3. Actualizări de stare vor fi furnizate raportorului cel puțin la fiecare 15 zile calendaristice în timpul validării și remedierii; orice schimbare semnificativă va fi comunicată prompt.
4. După confirmarea unei vulnerabilități, Compania va comunica abordarea de remediere preconizată, măsurile temporare de atenuare, acordurile privind divulgarea coordonată și calendarul estimat pentru lansarea publică.
5. La finalizarea remedierii, atenuării sau închiderii cazului, Compania va informa raportorul cu privire la concluziile închiderii, linkurile către avize de securitate, aranjamentele de recunoaștere și opțiunile de sprijin ulterior.

Comunicații Securizate și Protecția Informațiilor

Rapoartele de vulnerabilitate și fluxurile de lucru de coordonare pot conține detalii de exploatare, fișiere PoC, jurnale, date de autentificare, chei secrete, date ale clienților sau informații de remediere neconfidențiale. Compania va restricționa accesul pe baza principiului „necesității de a cunoaște” și va transmite și stoca informațiile sensibile prin canale protejate.

• Rapoartele inițiale pot fi transmise prin e-mail obișnuit sau prin canalele de asistență de pe site-ul web oficial SmartTech; detaliile sensibile și fișierele atașate trebuie migrate prompt către canale protejate, precum formulare securizate sau e-mail criptat. Metodele de comunicare securizată trebuie să păstreze atât confidențialitatea, cât și integritatea mesajului, de ex. formulare securizate prin HTTPS, e-mail criptat sau semnat PGP/S-MIME, portaluri pentru clienți controlate.
• Informațiile neconfidențiale despre vulnerabilități nu trebuie transmise personalului neautorizat, încărcate în depozite cu acces deschis, sau discutate în grupuri de chat publice ori pe platforme necontrolate.
• Permisiuni de acces adecvate trebuie aplicate biletelor, depozitelor de cod, unităților partajate, listelor de e-mail și proceselor-verbale ale întâlnirilor; evidențele-cheie privind accesul și comunicarea trebuie păstrate.
• Atunci când informațiile despre vulnerabilități trebuie partajate cu furnizori, întreținători de proiecte open-source, organisme CERT/CSIRT, clienți sau autorități de reglementare, se va divulga doar informația minimă necesară pentru coordonare, remediere sau protecția utilizatorilor.

Divulgare Coordonată și Perioadă de Confidențialitate

Compania și raportorii pot negocia o perioadă rezonabilă de confidențialitate și o dată de divulgare publică. Perioada de confidențialitate va fi stabilită luând în considerare gravitatea vulnerabilității, complexitatea remedierii, complexitatea coordonării între furnizori și beneficiari (upstream-downstream), criticitatea produsului, statutul de exploatare activă, divulgările publice existente, timpul necesar utilizatorilor pentru a implementa actualizările, și cerințele legale sau contractuale aplicabile.

Înainte de disponibilitatea măsurilor de remediere sau atenuare, atât raportorii, cât și Compania trebuie să se abțină de la a face publice detalii tehnice care ar putea crește riscul de exploatare. Dacă informațiile despre vulnerabilitate sunt divulgate prematur, are loc o exploatare activă, raportorul intenționează să publice devreme, sau riscurile pentru utilizatori impun o notificare mai timpurie, Compania trebuie să escaladeze prompt către Responsabilul cu Securitatea Produselor, precum și către responsabilii Juridic / Conformitate, pentru a reevalua aranjamentele de divulgare și a evalua dacă sunt declanșate obligații externe privind avizele de securitate.

Remediere, Avize și Notificări către Utilizatori

După confirmarea vulnerabilității, Compania va coordona remedierea, măsurile temporare de atenuare, testarea de validare și pregătirea lansării, în funcție de nivelul de risc și de politicile de suport ale produsului. Atunci când sunt implicate componente ale unor terțe părți, proiecte open-source, furnizori de hardware, servicii cloud sau parteneri de canal, Echipa de Securitate a Produselor va coordona părțile interesate din amonte și din aval pentru finalizarea analizei de impact și a planificării remedierii.

Avizele de securitate sunt publicate, în general, după ce versiunile remediate, patch-urile, măsurile de atenuare a configurației sau alte măsuri de reducere a riscului devin disponibile. Avizele trebuie să conțină suficiente informații pentru ca utilizatorii vizați să poată evalua relevanța și să acționeze, incluzând de obicei: descrierea vulnerabilității, identificatorii vulnerabilității, produsele și versiunile afectate, impactul potențial, evaluarea gravității, măsurile de remediere / atenuare, data publicării, data revizuirii, datele de contact pentru suport, și recunoașterile acordate raportorilor, atunci când se acordă consimțământul.

Dacă divulgarea publică completă a detaliilor tehnice ar crea un risc de atac mai mare decât beneficiul de securitate, Compania poate furniza mai întâi informații de reducere a riscului și măsuri de remediere utilizatorilor afectați, alături de o dată planificată pentru divulgarea completă. Divulgarea completă amânată trebuie aprobată și documentată de Responsabilul cu Securitatea Produselor, de proprietarul relevant al produsului și de responsabilul Juridic / Conformitate.

Referitor la Declarații

Compania apreciază contribuțiile comunității de cercetare în securitate la securitatea produselor. După remedierea și divulgarea vulnerabilității, cu acordul raportorului, Compania poate recunoaște raportorul în avize de securitate, pagini de mulțumire sau evidențe interne.

În limita maximă permisă de legea aplicabilă, Compania nu va iniția acțiuni legale adverse împotriva cercetării de securitate desfășurate cu bună-credință, în conformitate cu această politică și raportate în timp util. Acest angajament nu se aplică activităților care încalcă legile, accesează sisteme ale unor terțe părți, perturbă serviciile, exfiltrează date, comit acte de șantaj, formulează amenințări sau oricărei alte conduite care depășește domeniul de aplicare al acestei politici.

Recunoaștere, Clauză de Refugiu Sigur (Safe-Harbour) și Declarație de Limitare a Răspunderii

Compania apreciază contribuțiile comunității de securitate la securitatea produselor. După remedierea și divulgarea vulnerabilității, cu acordul raportorului, Compania poate recunoaște public contribuția raportorului în avize de securitate, pagini de mulțumire sau evidențe interne. Raportorii pot alege să rămână anonimi sau să folosească o atribuire desemnată.

În limita maximă permisă de legea aplicabilă, Compania nu va iniția acțiuni legale adverse împotriva cercetării de securitate desfășurate cu bună-credință, în conformitate cu această politică, efectuate cu bună-credință și raportate în timp util. Acest angajament nu se aplică conduitelor care încalcă legile, accesează sisteme ale unor terțe părți, perturbă serviciile, exfiltrează date, comit acte de șantaj, formulează amenințări sau oricărei alte activități care depășește limitele acestei politici.

Păstrarea Evidențelor, Revizuire și Îmbunătățire Continuă

Compania va păstra versiunile politicii, linkurile către paginile publice, evidențele de validare a canalelor, rapoartele de vulnerabilitate, jurnalele de comunicare, dovezile comunicării securizate, deciziile privind divulgarea, revizuirile avizelor, confirmările de recunoaștere, evidențele de validare a remedierii și evidențele de închidere a cazurilor. Perioadele de păstrare trebuie să acopere ciclurile de viață ale suportului produsului și să îndeplinească cerințele de reglementare, contractuale și ale clienților aplicabile (registrele de vulnerabilități trebuie păstrate timp de cel puțin 10 ani sau pe durata ciclului de viață al suportului produsului, oricare dintre acestea este mai lungă).

Responsabilul cu Securitatea Produselor va organiza o revizuire a politicii cel puțin anual / semestrial pentru a verifica funcționalitatea canalelor de raportare, accesibilitatea paginilor publice, fezabilitatea termenelor de comunicare, eficacitatea comunicațiilor securizate, completitudinea avizelor și modul de gestionare a feedback-ului utilizatorilor și al raportorilor. Deficiențele identificate vor fi transformate în acțiuni de îmbunătățire și urmărite până la închidere.