Cybersicurezza

Politica di divulgazione delle vulnerabilità di sicurezza

Policy 1

Centro risposta alle vulnerabilità di sicurezza (S-CERT)

Il dipartimento S-CERT*1 di Hanwha Vision è un team dedicato ad affrontare le vulnerabilità di sicurezza dei prodotti WISENET di Hanwha Vision e a rispondere prontamente (analizzare e preparare contromisure) in caso di vulnerabilità di sicurezza.

Se il tuo prodotto presenta sintomi di vulnerabilità di sicurezza, contatta S-CERT (secure.cctv@hanwha.com) fornendo informazioni dettagliate sul prodotto e istruzioni su come riprodurre i sintomi.

※ S-CERT non risponde a richieste relative a vulnerabilità della homepage (https://www.hanwhavision.com/), supporto prodotto e richieste di funzionalità.

• S-CERT: Security-Computer Emergency Response Team

Policy 2

Processo di risposta alle vulnerabilità di sicurezza

Al ricevimento di una segnalazione di vulnerabilità di sicurezza, viene immediatamente convocato un Consiglio per le Contromisure agli Incidenti di Violazione della Sicurezza. I segnalatori di vulnerabilità di sicurezza possono ricevere una risposta iniziale entro 2 giorni lavorativi e possono ricevere una risposta riguardante le azioni future del produttore e il piano di distribuzione relativo alla vulnerabilità entro 10 giorni lavorativi.

Successivamente, fino alla chiusura del caso segnalato, forniremo un aggiornamento sullo stato ogni volta che ci sarà un cambiamento nel progresso e, in ogni caso, almeno ogni 90 giorni, a meno che non sia stato concordato un intervallo diverso con il segnalatore. Notificheremo al segnalatore l’esito quando la correzione sarà completata o quando il caso sarà chiuso senza rimedio (ad esempio, determinato che non si tratta di una vulnerabilità o decisione di non intervenire).

Il firmware con vulnerabilità migliorate e i dettagli delle vulnerabilità non saranno divulgati fino a 90 giorni dal ricevimento o fino a una data concordata reciprocamente con l’informatore. Per una gestione trasparente ed efficiente delle vulnerabilità di sicurezza, a partire da settembre 2023, Hanwha Vision partecipa al programma CVE come CNA che può registrare e gestire direttamente le vulnerabilità CVE, e gestisce un programma di bug bounty per i clienti interni.

Policy 3

Politica di notifica delle vulnerabilità di sicurezza

Il firmware corretto per la vulnerabilità viene caricato sul sito web insieme al Rapporto sulla Vulnerabilità.

I dettagli della vulnerabilità (contenuto della vulnerabilità, informazioni sul prodotto interessato / versione del firmware, rischio, contromisure, ecc.) non vengono divulgati fino al rilascio del firmware corretto sul sito web per prevenire attacchi zero-day.

Dettagli come gli scenari di attacco per le vulnerabilità non vengono divulgati per prevenire attacchi imitativi.
Se più prodotti sono interessati dalla vulnerabilità, le relative patch del firmware verranno rilasciate contemporaneamente.