Cybersécurité

Politique de divulgation des vulnérabilités de sécurité

Policy 1

Centre de réponse aux vulnérabilités de sécurité (S-CERT)

Le département S-CERT*1 de Hanwha Vision est une équipe dédiée à traiter toutes les vulnérabilités potentielles des produits WISENET de Hanwha Vision et à répondre rapidement (analyser et préparer des contre-mesures) en cas de vulnérabilité de sécurité.
Si votre produit présente des symptômes de vulnérabilité de sécurité, veuillez contacter S-CERT (secure.cctv@hanwha.com) en fournissant des informations détaillées sur le produit et des instructions pour reproduire les symptômes.

※ S-CERT ne répond pas aux demandes liées à la vulnérabilité de la page d'accueil (https://www.hanwhavision.com/), au support produit et aux demandes de fonctionnalités.

• Cybersécurité : Équipe d'intervention d'urgence en sécurité informatique

Policy 2

Processus de réponse aux vulnérabilités de sécurité

Dès réception d’un rapport de vulnérabilité de sécurité, un Conseil des mesures d’urgence en cas de violation de la sécurité est immédiatement convoqué. Les personnes signalant des vulnérabilités de sécurité peuvent recevoir une réponse initiale dans un délai de 2 jours ouvrables, et une réponse concernant les actions futures du fabricant et le plan de distribution lié à la vulnérabilité dans un délai de 10 jours ouvrables.
Le micrologiciel avec des vulnérabilités améliorées et les détails des vulnérabilités ne seront pas divulgués avant 90 jours à compter de la réception ou avant une date convenue mutuellement avec l’informateur. Pour une gestion transparente et efficace des vulnérabilités de sécurité, à partir de septembre 2023, Hanwha Vision participe au programme CVE en tant que CNA pouvant enregistrer et gérer directement les vulnérabilités CVE, et exploite un programme de primes aux bogues pour ses clients internes.

Policy 3

Politique de notification des vulnérabilités de sécurité

Le micrologiciel corrigé de la vulnérabilité est téléchargé sur le site Web avec le rapport de vulnérabilité. Les détails de la vulnérabilité (contenu de la vulnérabilité, informations sur le produit affecté / version du micrologiciel, risque, contre-mesures, etc.) ne sont pas divulgués avant la publication du micrologiciel corrigé sur le site Web afin de prévenir les attaques zero-day.
Les détails tels que les scénarios d'attaque liés aux vulnérabilités ne sont pas divulgués pour éviter les attaques par imitation. Si plusieurs produits sont affectés par la vulnérabilité, les correctifs de micrologiciel correspondants seront publiés simultanément.