Kybernetická bezpečnost

Zásady zveřejňování bezpečnostních zranitelností

Policy 1

Centrum reakce na bezpečnostní zranitelnosti (S-CERT)

Oddělení S-CERT*1 společnosti Hanwha Vision je tým věnovaný řešení bezpečnostních zranitelností produktů WISENET od Hanwha Vision a rychlé reakci (analýze a přípravě protiopatření) v případě bezpečnostní zranitelnosti.

Pokud váš produkt vykazuje příznaky bezpečnostní zranitelnosti, kontaktujte prosím S-CERT (secure.cctv@hanwha.com) s podrobnými informacemi o produktu a pokyny, jak příznaky reprodukovat.

※ S-CERT nereaguje na žádosti týkající se zranitelnosti domovské stránky (https://www.hanwhavision.com/), podpory produktů a požadavků na funkce.

• S-CERT: Bezpečnostní tým pro nouzové počítačové situace

Policy 2

Proces reakce na bezpečnostní zranitelnosti

Po obdržení zprávy o bezpečnostní zranitelnosti je okamžitě svolána Rada pro opatření proti bezpečnostním incidentům. Hlásitelé bezpečnostních zranitelností mohou obdržet počáteční odpověď do 2 pracovních dnů a odpověď týkající se budoucích kroků výrobce a plánu distribuce souvisejícího se zranitelností do 10 pracovních dnů.

Poté, dokud není hlášený případ uzavřen, budeme poskytovat aktualizace stavu při každé změně postupu a v každém případě alespoň každých 90 dní, pokud s hlásitelem nebylo dohodnuto jiné období. Hlásitele budeme informovat o výsledku, jakmile bude oprava dokončena nebo když bude případ uzavřen bez nápravy (např. bylo určeno, že se nejedná o zranitelnost, nebo bylo rozhodnuto o nenápravě).

Firmware s vylepšenými zranitelnostmi a podrobnosti o zranitelnostech nebudou zveřejněny do 90 dnů od obdržení zprávy nebo do data vzájemně dohodnutého s informátorem. Pro transparentní a efektivní správu bezpečnostních zranitelností se od září 2023 Hanwha Vision účastní programu CVE jako CNA, který může přímo registrovat a spravovat CVE zranitelnosti, a provozuje program bug bounty pro interní zákazníky.

Policy 3

Zásady oznámení bezpečnostních zranitelností

Firmware s opravou zranitelnosti je nahrán na webové stránky společně se Zprávou o zranitelnosti.

Podrobnosti o zranitelnosti (obsah zranitelnosti, informace o postiženém produktu / verzi firmwaru, rizika, opatření atd.) nejsou zveřejněny, dokud není opravený firmware uvolněn na webu, aby se předešlo útokům zero-day.

Podrobnosti jako scénáře útoků na zranitelnosti nejsou zveřejňovány, aby se zabránilo napodobování útoků.
Pokud je zranitelností postiženo více produktů, odpovídající opravy firmwaru budou uvolněny současně.