Cyberbezpieczeństwo

Polityka ujawniania luk bezpieczeństwa

Policy 1

Centrum Reagowania na Luki Bezpieczeństwa (S-CERT)

Dział S-CERT*1 firmy Hanwha Vision to zespół dedykowany do rozwiązywania problemów związanych z lukami bezpieczeństwa produktów WISENET firmy Hanwha Vision oraz do szybkiego reagowania (analiza i przygotowanie środków zaradczych) w przypadku wykrycia luki bezpieczeństwa.

Jeśli Twój produkt wykazuje objawy luki bezpieczeństwa, prosimy o kontakt z S-CERT (secure.cctv@hanwha.com) wraz ze szczegółowymi informacjami o produkcie oraz instrukcjami, jak odtworzyć te objawy.

※ S-CERT nie odpowiada na zapytania dotyczące luk bezpieczeństwa strony głównej (https://www.hanwhavision.com/), wsparcia produktów i próśb o nowe funkcje.

• S-CERT: Zespół Reagowania na Incydenty Komputerowe ds. Bezpieczeństwa

Policy 2

Proces reagowania na luki bezpieczeństwa

Po otrzymaniu zgłoszenia dotyczącego luki bezpieczeństwa, niezwłocznie zwoływana jest Rada ds. Przeciwdziałania Włamaniom Bezpieczeństwa. Zgłaszający luki bezpieczeństwa mogą otrzymać wstępną odpowiedź w ciągu 2 dni roboczych, a odpowiedź dotyczącą przyszłych działań producenta oraz planu dystrybucji związanego z luką w ciągu 10 dni roboczych.

Następnie, aż do zamknięcia zgłoszonej sprawy, będziemy przekazywać aktualizacje statusu za każdym razem, gdy nastąpi zmiana w postępie, a w każdym przypadku przynajmniej co 90 dni, chyba że z zgłaszającym ustalono inny termin. Poinformujemy zgłaszającego o wyniku po zakończeniu naprawy lub zamknięciu sprawy bez podjęcia działań naprawczych (np. uznanie, że nie jest to luka lub decyzja o braku naprawy).

Oprogramowanie układowe z poprawionymi lukami oraz szczegóły dotyczące luk nie będą ujawniane przez 90 dni od otrzymania zgłoszenia lub do daty uzgodnionej z informującym. Dla przejrzystego i efektywnego zarządzania lukami bezpieczeństwa, od września 2023 roku Hanwha Vision uczestniczy w programie CVE jako CNA, które może bezpośrednio rejestrować i zarządzać lukami CVE, oraz prowadzi program bug bounty dla klientów wewnętrznych.

Policy 3

Polityka powiadamiania o lukach bezpieczeństwa

Oprogramowanie układowe z załatanym podatnością jest przesyłane na stronę internetową wraz z Raportem o podatności.

Szczegóły podatności (treść podatności, informacje o dotkniętym produkcie / wersji oprogramowania układowego, ryzyko, środki zaradcze itp.) nie są ujawniane do czasu opublikowania załatanego oprogramowania układowego na stronie internetowej w celu zapobiegania atakom zero-day.

Szczegóły takie jak scenariusze ataków związane z podatnościami nie są ujawniane, aby zapobiec naśladowaniu ataków.
Jeśli podatność dotyczy wielu produktów, odpowiednie poprawki oprogramowania układowego zostaną wydane jednocześnie.