Policy 1
Le département S-CERT*1 de Hanwha Vision est une équipe dédiée à la gestion des vulnérabilités de sécurité des produits WISENET de Hanwha Vision et à la réponse rapide (analyse et préparation de contre-mesures) en cas de vulnérabilité de sécurité.
Si votre produit présente des symptômes de vulnérabilité de sécurité, veuillez contacter S-CERT (secure.cctv@hanwha.com) en fournissant des informations détaillées sur le produit et des instructions pour reproduire les symptômes.
※ S-CERT ne répond pas aux demandes liées à la vulnérabilité de la page d'accueil (https://www.hanwhavision.com/), au support produit et aux demandes de fonctionnalités.
Policy 2
Dès réception d’un rapport de vulnérabilité de sécurité, un Conseil des Contre-mesures en cas d’Incident de Violation de Sécurité est immédiatement convoqué. Les personnes signalant des vulnérabilités de sécurité peuvent recevoir une réponse initiale sous 2 jours ouvrables, et une réponse concernant les actions futures du fabricant et le plan de distribution lié à la vulnérabilité sous 10 jours ouvrables.
Par la suite, jusqu’à la clôture du cas signalé, nous fournirons une mise à jour de l’état chaque fois qu’il y aura un changement dans l’avancement, et dans tous les cas au moins tous les 90 jours, sauf si un intervalle différent a été convenu avec le rapporteur. Nous informerons le rapporteur du résultat lorsque la correction sera terminée ou lorsque le cas sera clos sans remédiation (par exemple, déterminé ne pas être une vulnérabilité, ou décision de ne pas remédier).
Le firmware avec les vulnérabilités corrigées et les détails des vulnérabilités ne seront pas divulgués avant 90 jours à compter de la réception ou avant une date convenue mutuellement avec l’informateur. Pour une gestion transparente et efficace des vulnérabilités de sécurité, à partir de septembre 2023, Hanwha Vision participe au programme CVE en tant que CNA pouvant enregistrer et gérer directement les vulnérabilités CVE, et opère un programme de récompense de bugs pour ses clients internes.
Policy 3
Le micrologiciel corrigé de la vulnérabilité est téléchargé sur le site web avec le Rapport de Vulnérabilité.
Les détails de la vulnérabilité (contenu de la vulnérabilité, informations sur les produits affectés / version du micrologiciel, risques, contre-mesures, etc.) ne sont pas divulgués tant que le micrologiciel corrigé n’est pas publié sur le site web afin de prévenir les attaques zero-day.
Les détails tels que les scénarios d’attaque des vulnérabilités ne sont pas divulgués pour éviter les attaques par imitation.
Si plusieurs produits sont affectés par la vulnérabilité, les correctifs de micrologiciel correspondants seront publiés simultanément.
Add RSS Feed