Siber Güvenlik

Güvenlik Açığı Açıklama Politikası

Policy 1

Güvenlik Açığı Yanıt Merkezi (S-CERT)

Hanwha Vision’ın S-CERT*1 departmanı, Hanwha Vision’ın WISENET ürünlerindeki güvenlik açıklarını ele almak ve güvenlik açığı durumunda hızlı bir şekilde yanıt vermek (analiz etmek ve karşı önlem hazırlamak) için ayrılmış bir ekiptir.

Ürününüzde güvenlik açığı belirtileri varsa, lütfen ayrıntılı ürün bilgileri ve belirtilerin nasıl yeniden oluşturulacağına dair talimatlarla birlikte S-CERT (secure.cctv@hanwha.com) ile iletişime geçin.

※ S-CERT, ana sayfa (https://www.hanwhavision.com/) güvenlik açığı, ürün desteği ve özellik istekleriyle ilgili taleplere yanıt vermez.

• S-CERT: Güvenlik-Bilgisayar Acil Müdahale Ekibi

Policy 2

Güvenlik Açığı Yanıt Süreci

Bir güvenlik açığı bildirimi alındığında, derhal bir Güvenlik İhlali Kaza Karşı Önlemler Konseyi toplanır. Güvenlik açığı bildirenler, ilk yanıtı 2 iş günü içinde alabilir ve açılıkla ilgili üreticinin gelecekteki eylemi ve dağıtım planı hakkında 10 iş günü içinde yanıt alabilirler.

Bildirilen vaka kapatılana kadar, ilerlemede bir değişiklik olduğunda ve her durumda en az 90 günde bir, bildirenle farklı bir süre üzerinde anlaşılmadıkça durum güncellemesi sağlanacaktır. Düzeltme tamamlandığında veya vaka düzeltme yapılmadan kapatıldığında (örneğin, açığın olmadığına karar verilmesi veya düzeltme yapılmaması kararı) bildiren bilgilendirilecektir.

Geliştirilmiş açılışlara sahip firmware ve açığın detayları, alındıktan sonra 90 gün veya bildirenle karşılıklı anlaşılan bir tarihe kadar açıklanmayacaktır. Güvenlik açıklarının şeffaf ve etkin yönetimi için, Eylül 2023 itibarıyla Hanwha Vision, CVE açıklarını doğrudan kayıt ve yönetebilen bir CNA olarak CVE programına katılmakta ve dahili müşteriler için bir bug bounty programı işletmektedir.

Policy 3

Güvenlik Açığı Bildirim Politikası

Açığı gideren yazılım, Güvenlik Açığı Raporu ile birlikte web sitesine yüklenir.

Açığın detayları (açık içeriği, etkilenen ürün bilgisi / yazılım sürümü, risk, karşı önlemler vb.) sıfır gün saldırılarını önlemek amacıyla yamalı yazılım web sitesinde yayınlanana kadar açıklanmaz.

Saldırı senaryoları gibi detaylar, taklit saldırıları önlemek için açıklanmaz.
Birden fazla ürün açığa maruz kalıyorsa, ilgili yazılım yamaları eş zamanlı olarak yayınlanacaktır.