Кибербезопасность

Политика раскрытия уязвимостей безопасности

Policy 1

Центр реагирования на уязвимости безопасности (S-CERT)

Отдел S-CERT*1 компании Hanwha Vision — это команда, посвящённая выявлению уязвимостей безопасности продуктов WISENET компании Hanwha Vision и оперативному реагированию (анализу и подготовке контрмер) в случае обнаружения уязвимости безопасности.

Если ваш продукт испытывает симптомы уязвимости безопасности, пожалуйста, свяжитесь с S-CERT (secure.cctv@hanwha.com), предоставив подробную информацию о продукте и инструкции по воспроизведению симптомов.

※ S-CERT не отвечает на запросы, связанные с уязвимостями домашней страницы (https://www.hanwhavision.com/), поддержкой продуктов и запросами функций.

• S-CERT: Команда быстрого реагирования на компьютерные инциденты безопасности

Policy 2

Процесс реагирования на уязвимости безопасности

После получения отчёта о выявленной уязвимости безопасности немедленно созывается Совет по противодействию инцидентам нарушения безопасности. Сообщившие об уязвимости могут получить первоначальный ответ в течение 2 рабочих дней, а ответ о дальнейших действиях производителя и плане распространения, связанных с уязвимостью, — в течение 10 рабочих дней.

Далее, до закрытия зарегистрированного случая, мы будем предоставлять обновления статуса при каждом изменении прогресса, а в любом случае не реже одного раза в 90 дней, если не согласован иной интервал с заявителем. Мы уведомим заявителя о результатах после завершения исправления или закрытия дела без устранения (например, если уязвимость не подтверждена или принято решение не устранять её).

Прошивки с исправленными уязвимостями и детали уязвимостей не будут раскрыты в течение 90 дней с момента получения отчёта или до даты, согласованной с информатором. Для прозрачного и эффективного управления уязвимостями безопасности с сентября 2023 года Hanwha Vision участвует в программе CVE в качестве CNA, который может напрямую регистрировать и управлять CVE-уязвимостями, а также ведёт программу bug bounty для внутренних клиентов.

Policy 3

Политика уведомлений об уязвимостях безопасности

Прошивка с исправленной уязвимостью загружается на сайт вместе с Отчетом об уязвимости.

Подробности уязвимости (содержание уязвимости, информация о затронутом продукте / версии прошивки, риск, меры противодействия и т.д.) не раскрываются до тех пор, пока исправленная прошивка не будет опубликована на сайте для предотвращения атак нулевого дня.

Подробности, такие как сценарии атак для уязвимостей, не раскрываются, чтобы предотвратить имитацию атак.
Если уязвимость затрагивает несколько продуктов, соответствующие исправления прошивки будут выпущены одновременно.