Ciberseguridad

Política de divulgación de vulnerabilidades de seguridad

Policy 1

Centro de Respuesta a Vulnerabilidades de Seguridad (S-CERT)

El departamento S-CERT*1 de Hanwha Vision es un equipo dedicado a abordar todas las posibles vulnerabilidades de seguridad de los productos WISENET de Hanwha Vision y a responder de manera rápida (analizar y preparar contramedidas) en caso de una vulnerabilidad de seguridad.
Si su producto presenta síntomas de vulnerabilidad de seguridad, por favor contacte a S-CERT (secure.cctv@hanwha.com) con información detallada del producto e instrucciones sobre cómo reproducir los síntomas.

※ S-CERT no responde a solicitudes relacionadas con vulnerabilidades de la página principal (https://www.hanwhavision.com/), soporte de productos y solicitudes de funciones.

• Ciberseguridad: Equipo de Respuesta a Emergencias Informáticas de Seguridad

Policy 2

Proceso de respuesta a vulnerabilidades de seguridad

Al recibir un informe de vulnerabilidad de seguridad, se convoca inmediatamente un Consejo de Contramedidas para Accidentes de Brechas de Seguridad. Los reportantes de vulnerabilidades de seguridad pueden recibir una respuesta inicial dentro de los 2 días hábiles, y pueden recibir una respuesta sobre la acción futura del fabricante y el plan de distribución relacionado con la vulnerabilidad dentro de los 10 días hábiles.
El firmware con vulnerabilidades mejoradas y los detalles de la vulnerabilidad no se divulgarán hasta 90 días después de la recepción o hasta una fecha acordada mutuamente con el informante. Para una gestión transparente y eficiente de las vulnerabilidades de seguridad, a partir de septiembre de 2023, Hanwha Vision participa en el programa CVE como CNA que puede registrar y gestionar directamente vulnerabilidades CVE, y opera un programa de recompensas por errores para clientes internos.

Policy 3

Política de notificación de vulnerabilidades de seguridad

El firmware corregido para la vulnerabilidad se carga en el sitio web junto con el Informe de Vulnerabilidad. Los detalles de la vulnerabilidad (contenido de la vulnerabilidad, información del producto afectado / versión del firmware, riesgo, contramedidas, etc.) no se divulgan hasta que el firmware corregido se publique en el sitio web para prevenir ataques de día cero.
No se divulgan detalles como los escenarios de ataque para las vulnerabilidades para evitar ataques imitativos. Si múltiples productos se ven afectados por la vulnerabilidad, se lanzarán simultáneamente los parches de firmware correspondientes.