Cybersecurity

Politica di divulgazione delle vulnerabilità di sicurezza

Policy 1

Centro risposta alle vulnerabilità di sicurezza (S-CERT)

Il dipartimento S-CERT*1 di Hanwha Vision è un team dedicato a gestire tutte le possibili vulnerabilità di sicurezza dei prodotti WISENET di Hanwha Vision e a rispondere prontamente (analizzare e preparare contromisure) in caso di vulnerabilità di sicurezza.
Se il tuo prodotto presenta sintomi di vulnerabilità di sicurezza, contatta S-CERT (secure.cctv@hanwha.com) fornendo informazioni dettagliate sul prodotto e istruzioni su come riprodurre i sintomi.

※ S-CERT non risponde a richieste relative a vulnerabilità della homepage (https://www.hanwhavision.com/), supporto prodotto e richieste di funzionalità.

• Cybersecurity: Security-Computer Emergency Response Team

Policy 2

Processo di risposta alle vulnerabilità di sicurezza

Al ricevimento di una segnalazione di vulnerabilità di sicurezza, viene immediatamente convocato un Consiglio per le Contromisure agli Incidenti di Violazione della Sicurezza. I segnalatori di vulnerabilità di sicurezza possono ricevere una risposta iniziale entro 2 giorni lavorativi e una risposta riguardante le azioni future del produttore e il piano di distribuzione relativo alla vulnerabilità entro 10 giorni lavorativi.
Il firmware con le vulnerabilità migliorate e i dettagli delle vulnerabilità non saranno divulgati fino a 90 giorni dal ricevimento o fino a una data concordata reciprocamente con il segnalatore. Per una gestione trasparente ed efficiente delle vulnerabilità di sicurezza, a partire da settembre 2023, Hanwha Vision partecipa al programma CVE come CNA che può registrare e gestire direttamente le vulnerabilità CVE, e gestisce un programma bug bounty per i clienti interni.

Policy 3

Politica di notifica delle vulnerabilità di sicurezza

Il firmware con la vulnerabilità corretta viene caricato sul sito web insieme al Rapporto sulla Vulnerabilità. I dettagli della vulnerabilità (contenuto della vulnerabilità, informazioni sul prodotto interessato / versione del firmware, rischio, contromisure, ecc.) non vengono divulgati fino al rilascio del firmware corretto sul sito web per prevenire attacchi zero-day.
Dettagli come gli scenari di attacco per le vulnerabilità non vengono divulgati per prevenire attacchi imitativi. Se più prodotti sono interessati dalla vulnerabilità, le corrispondenti patch del firmware saranno rilasciate contemporaneamente.