Policy 1
Die S-CERT*1-Abteilung von Hanwha Vision ist ein Team, das sich der Behebung von Sicherheitslücken in den WISENET-Produkten von Hanwha Vision widmet und im Falle einer Sicherheitslücke schnell reagiert (analysiert und Gegenmaßnahmen vorbereitet).
Wenn Ihr Produkt Anzeichen einer Sicherheitslücke aufweist, kontaktieren Sie bitte S-CERT (secure.cctv@hanwha.com) mit detaillierten Produktinformationen und Anweisungen zur Reproduktion der Symptome.
※ S-CERT reagiert nicht auf Anfragen zu Schwachstellen der Startseite (https://www.hanwhavision.com/), zum Produktsupport oder zu Funktionsanfragen.
Policy 2
Nach Eingang eines Berichts über eine Sicherheitslücke wird unverzüglich ein Sicherheitsvorfall-Krisenstab einberufen. Melder von Sicherheitslücken erhalten innerhalb von 2 Werktagen eine erste Rückmeldung und innerhalb von 10 Werktagen eine Antwort bezüglich der zukünftigen Maßnahmen des Herstellers und des Verteilungsplans im Zusammenhang mit der Schwachstelle.
Anschließend, bis der gemeldete Fall abgeschlossen ist, werden wir bei jeder Fortschrittsänderung eine Statusaktualisierung bereitstellen und in jedem Fall mindestens alle 90 Tage, sofern kein anderer Zeitraum mit dem Melder vereinbart wurde. Wir informieren den Melder über das Ergebnis, sobald die Behebung abgeschlossen ist oder der Fall ohne Behebung geschlossen wird (z. B. wenn festgestellt wurde, dass keine Schwachstelle vorliegt oder eine Entscheidung gegen eine Behebung getroffen wurde).
Firmware mit verbesserten Sicherheitslücken und Details zu den Schwachstellen werden bis 90 Tage nach Eingang oder bis zu einem einvernehmlich mit dem Informanten vereinbarten Datum nicht veröffentlicht. Für eine transparente und effiziente Verwaltung von Sicherheitslücken nimmt Hanwha Vision ab September 2023 am CVE-Programm als CNA teil, das direkt CVE-Schwachstellen registrieren und verwalten kann, und betreibt ein Bug-Bounty-Programm für interne Kunden.
Policy 3
Die gepatchte Firmware zur Behebung der Schwachstelle wird zusammen mit dem Schwachstellenbericht auf der Website hochgeladen.
Die Details der Schwachstelle (Inhalt der Schwachstelle, betroffene Produktinformationen / Firmware-Version, Risiko, Gegenmaßnahmen usw.) werden erst veröffentlicht, wenn die gepatchte Firmware auf der Website verfügbar ist, um Zero-Day-Angriffe zu verhindern.
Details wie Angriffsszenarien für Schwachstellen werden nicht offengelegt, um Nachahmungsangriffe zu verhindern.
Wenn mehrere Produkte von der Schwachstelle betroffen sind, werden die entsprechenden Firmware-Patches gleichzeitig veröffentlicht.
Add RSS Feed