Кибербезопасность

Политика раскрытия уязвимостей безопасности

Policy 1

Центр реагирования на уязвимости безопасности (S-CERT)

Отдел S-CERT*1 компании Hanwha Vision — это команда, посвящённая выявлению всех возможных уязвимостей безопасности продуктов WISENET компании Hanwha Vision и оперативному реагированию (анализу и подготовке контрмер) в случае обнаружения уязвимости безопасности.
Если ваш продукт проявляет признаки уязвимости безопасности, пожалуйста, свяжитесь с S-CERT (secure.cctv@hanwha.com), предоставив подробную информацию о продукте и инструкции по воспроизведению симптомов.

※ S-CERT не отвечает на запросы, связанные с уязвимостями домашней страницы (https://www.hanwhavision.com/), поддержкой продуктов и запросами функций.

• Кибербезопасность: Команда реагирования на компьютерные чрезвычайные ситуации безопасности

Policy 2

Процесс реагирования на уязвимости безопасности

После получения отчёта о выявленной уязвимости немедленно созывается Совет по противодействию инцидентам безопасности. Сообщившие об уязвимостях могут получить первоначальный ответ в течение 2 рабочих дней, а также получить информацию о планах производителя по дальнейшим действиям и распространению исправлений в течение 10 рабочих дней.
Прошивки с исправленными уязвимостями и детали уязвимостей не разглашаются в течение 90 дней с момента получения отчёта или до даты, согласованной с информатором.
Для прозрачного и эффективного управления уязвимостями с сентября 2023 года Hanwha Vision участвует в программе CVE в качестве CNA, имеющего право напрямую регистрировать и управлять CVE-уязвимостями, а также реализует программу bug bounty для внутренних клиентов.

Policy 3

Политика уведомлений об уязвимостях безопасности

Прошивка с исправленной уязвимостью загружается на сайт вместе с отчетом об уязвимости. Подробности уязвимости (содержание уязвимости, информация о затронутом продукте / версия прошивки, риск, меры противодействия и т.д.) не раскрываются до тех пор, пока исправленная прошивка не будет опубликована на сайте для предотвращения атак нулевого дня.
Подробности, такие как сценарии атак, не раскрываются, чтобы предотвратить имитацию атак. Если уязвимость затрагивает несколько продуктов, соответствующие исправления прошивки будут выпущены одновременно.