Richtlinie zur Meldung von Produktschwachstellen

Geltungsbereich

Diese Richtlinie zur Meldung von Produktschwachstellen („Richtlinie“) gilt für potenzielle Cybersicherheitslücken, die Wabtec-Produkte und deren Komponenten betreffen, einschließlich der zugehörigen Software, Firmware und von Wabtec bereitgestellten produktbezogenen digitalen Dienste.

Wabtec begrüßt Berichte über Produkte, unabhängig davon, ob der Melder eine Geschäftsbeziehung zu Wabtec unterhält. Berichte über Produkte, die nicht mehr unterstützt werden, können von Fall zu Fall bewertet werden. Die Annahme oder Bewertung eines solchen Berichts bedeutet nicht, dass Wabtec außerhalb des jeweiligen Supportzeitraums einen Patch, ein Update oder eine andere Problembehebung für ein Produkt bereitstellt.

Diese Richtlinie ist für Sicherheitslücken im Bereich der Produktsicherheit vorgesehen. Allgemeiner Produktsupport, Probleme mit der Produktqualität ohne Auswirkungen auf die Cybersicherheit, Garantieansprüche und andere Fragen, die nicht die Sicherheit betreffen, sollten an den jeweiligen Wabtec-Kundensupport gerichtet werden.

Das Testen von Systemen, Netzwerken, Produkten oder Umgebungen, die Wabtec-Kunden oder anderen Dritten gehören oder von diesen betrieben werden, ist durch diese Richtlinie nicht gestattet.

Sicherheitsforschung nach Treu und Glauben

Wabtec unterstützt gutgläubige Sicherheitsforschung, die darauf abzielt, potenzielle Cybersicherheitslücken in Wabtec-Produkten zu identifizieren und verantwortungsbewusst zu melden.

Wenn Sie Sicherheitsuntersuchungen in Übereinstimmung mit dieser Richtlinie durchführen, in gutem Glauben handeln, um Schäden für Wabtec, unsere Kunden und andere Dritte zu vermeiden, und Wabtec erkannte Sicherheitslücken umgehend melden, wird Wabtec keine rechtlichen Schritte gegen Sie allein aufgrund dieser Forschung einleiten.

Diese Verpflichtung gilt nur für Ansprüche, zu deren Verzicht oder Kontrolle Wabtec gesetzlich befugt ist. Sie autorisiert nicht den Zugriff auf oder das Testen von Systemen, Produkten, Netzwerken oder Umgebungen, die Kunden oder anderen Dritten gehören oder von diesen betrieben werden, ohne deren Zustimmung, und sie bindet keine unabhängigen Dritten oder Regierungs- oder Strafverfolgungsbehörden.

Sie sind weiterhin dafür verantwortlich, die geltenden Gesetze einzuhalten und alle erforderlichen Genehmigungen vom Eigentümer oder Betreiber eines Systems, Produkts, Netzwerks oder einer Umgebung einzuholen.

Wenn Sie sich nicht sicher sind, ob eine bestimmte Studie mit dieser Richtlinie vereinbar ist, wenden Sie sich bitte an Wabtec PSIRT, bevor Sie fortfahren.

Regeln des Engagements

Um verantwortungsvolle Forschung zu fördern und die Kunden, Mitarbeiter, den Betrieb und andere Dritte von Wabtec zu schützen, müssen Forscher, die im Rahmen dieser Richtlinie teilnehmen,

• sich nach bestem Wissen und Gewissen bemühen, Schäden für Wabtec, unsere Kunden, andere Dritte und die Öffentlichkeit zu vermeiden;
• Führen Sie Tests nur an Produkten, Systemen und Umgebungen durch, die Ihnen gehören oder für die Sie über eine entsprechende Genehmigung verfügen;
• Testen Sie keine Dienste oder Infrastrukturen von Drittanbietern, einschließlich der Produktionsumgebungen von Kunden, es sei denn, Sie verfügen über eine separate Genehmigung des jeweiligen Drittanbieters;
• Vermeiden Sie alle Aktivitäten, die die Sicherheit oder Verfügbarkeit von Eisenbahn-, Transit-, Bergbau-, Industrie- oder anderen Betriebsumgebungen beeinträchtigen könnten;
• Vermeiden Sie Eingriffe in Fahrzeuge, Zugsteuerungen, Signalanlagen, Brems-, Kommunikations- oder andere betriebliche oder sicherheitsrelevante Funktionen;
• Vermeiden Sie Denial-of-Service-Tests, ressourcenintensive, zerstörerische oder störende Tests;
• Vermeiden Sie physische Sicherheitstests und Social Engineering, einschließlich Phishing;
• Vermeiden Sie die Einführung von Malware, Ransomware, Persistenzmechanismen oder anderen bösartigen Funktionen;
• Vermeiden Sie es, auf Daten zuzugreifen, diese zu ändern, zu löschen, herunterzuladen oder zu exfiltrieren, die über das zum Nachweis des Vorhandenseins und der möglichen Auswirkungen einer Sicherheitslücke erforderliche Mindestmaß hinausgehen;
• Beenden Sie die Tests und benachrichtigen Sie Wabtec direkt, wenn Sie Zugriff auf vertrauliche Daten, Zugangsdaten, Kundeninformationen oder Funktionen erhalten, die über das zum Nachweis der Sicherheitslücke erforderliche Maß hinausgehen;
• Vermeiden Sie seitliche Bewegungen oder Versuche, nach dem Nachweis einer Sicherheitslücke einen kontinuierlichen Zugriff herzustellen;
• Vermeiden Sie es, nicht öffentlich zugängliche Informationen über Sicherheitslücken, Kundeninformationen oder andere vertrauliche Informationen auf öffentliche Dienste oder Dienste Dritter hochzuladen, wo dies zu einer unbefugten Offenlegung führen könnte; und
• Koordinieren Sie die Offenlegung der gemeldeten Sicherheitslücke wie unten beschrieben mit Wabtec, insbesondere geben Sie identifizierte Sicherheitslücken nicht öffentlich bekannt, bis Wabtec die Behebung der identifizierten Sicherheitslücke bestätigt hat.

Forschungsarbeiten, die sicherheitsrelevante Funktionen betreffen, sollten nur in einer angemessen kontrollierten, nicht betriebsbereiten Umgebung und mit allen erforderlichen Genehmigungen durchgeführt werden.

Im Allgemeinen außerhalb des Geltungsbereichs

Wabtec behandelt Beobachtungen zu bewährten Sicherheitspraktiken oder Konfigurationsproblemen ohne nachweisbare Auswirkungen auf die Cybersicherheit im Allgemeinen nicht als Sicherheitslücken in Bezug auf die Cybersicherheit von Produkten.

Beispiele hierfür können sein:

• Offenlegung der Version zu Informationszwecken ohne nachgewiesene Auswirkungen auf die Sicherheit;
• Fehlende oder empfohlene HTTP-Sicherheitsheader ohne nachgewiesene Ausnutzbarkeit;
• Theoretische Sicherheitslücken ohne glaubwürdigen Angriffspfad oder Sicherheitsauswirkung;
• Ergebnisse, die ausschließlich von veralteten oder nicht unterstützten Browsern, Betriebssystemen oder Plattformen von Drittanbietern abhängen;
• Probleme, die eine unplausible Benutzerinteraktion ohne nennenswerte Auswirkungen auf die Sicherheit erfordern; und
• Andere Empfehlungen zur Konfiguration oder Erhöhung der Sicherheit, die kein wesentliches Vertraulichkeits-, Integritäts-, Verfügbarkeits-, Datenschutz-, Sicherheits- oder Betriebsrisiko darstellen.

Diese Liste dient eher der Veranschaulichung als der Vollständigkeit. Wabtec kann jeden Bericht bewerten, bei dem der Berichterstatter signifikante Auswirkungen auf Cybersicherheit, Sicherheit, Datenschutz oder betriebliche Abläufe nachweist.

Wenn Sie sich nicht sicher sind, ob ein Problem in den Geltungsbereich fällt, empfehlen wir Ihnen, es zu melden.

Was passiert, nachdem Sie eine Sicherheitslücke gemeldet haben

Wabtec PSIRT koordiniert den Umgang mit gemeldeten potenziellen Sicherheitslücken im Bereich der Produktsicherheit. Der Prozess besteht im Allgemeinen aus den folgenden Schritten.

1. Quittung und Auswahl

Wabtec PSIRT erhält und führt eine erste Überprüfung der Schwachstellenberichte durch.

Wabtec PSIRT akzeptiert Berichte jederzeit und wird sich bemühen, den Eingang eines Schwachstellenberichts innerhalb von zwei Werktagen zu bestätigen.

Berichte, die auf ein unmittelbares Sicherheitsrisiko, eine aktive Ausnutzung oder erhebliche Auswirkungen auf den Kunden oder den Betrieb hinweisen, werden einer beschleunigten Bewertung Priorität eingeräumt.

2. Technische Bewertung

Wabtec bewertet potenzielle gemeldete Sicherheitslücken und arbeitet gegebenenfalls mit relevanten Produkt-, Ingenieur-, Cybersicherheits-, Sicherheits-, Rechts- und anderen Teams zusammen, um:

• das gemeldete Problem zu validieren und zu reproduzieren;
• Ermitteln Sie die betroffenen Produkte und Versionen;
• Bewertung potenzieller Auswirkungen auf Cybersicherheit, Sicherheit, Datenschutz und betriebliche Abläufe;
• Bewertung der Ausnutzbarkeit und des Schweregrads; und
• Stellen Sie fest, ob zusätzliche Informationen vom Reporter erforderlich sind.

Wabtec kann sich während dieses Vorgangs an den Reporter wenden, um weitere technische Informationen oder Klarstellungen zu erhalten.

3. Problembehebung und Schadensbegrenzung

Bei validierten Sicherheitslücken wird Wabtec auf der Grundlage der Umstände angemessene Maßnahmen zur Behebung oder Risikominderung festlegen.

Je nach Sicherheitslücke und betroffenem Produkt können diese Maßnahmen Software- oder Firmware-Updates, Konfigurationsänderungen, Ausgleichskontrollen, Problemumgehungen, Kundenberatung oder andere Maßnahmen umfassen.

Die Zeitpläne für Reaktion und Behebung variieren je nach Faktoren wie Schweregrad und Komplexität der Sicherheitslücke, betroffenen Produkten, Sicherheitsüberlegungen, Verfügbarkeit von Schutzmaßnahmen, Status des Produktlebenszyklus und der Notwendigkeit, sich mit Kunden, Lieferanten, Technologieanbietern, Aufsichtsbehörden, CERTs, CSIRTs oder anderen betroffenen Parteien abzustimmen.

4. Koordinierte Offenlegung

Wabtec ist bestrebt, die Offenlegung von Sicherheitslücken im Bereich der Produktsicherheit so zu koordinieren, dass Kunden und andere Betroffene geschützt werden.

Wir bitten Reporter, die Vertraulichkeit nichtöffentlicher Informationen über Sicherheitslücken zu wahren, während Wabtec das Problem untersucht und gegebenenfalls Maßnahmen zur Behebung oder Minderung entwickelt und koordiniert.

Wabtec wird sich bemühen, in gutem Glauben mit dem Melder zusammenzuarbeiten, um gegebenenfalls einen angemessenen Zeitplan für die Offenlegung festzulegen. Beim Zeitpunkt der Offenlegung können unter anderem folgende Faktoren berücksichtigt werden:

• Schweregrad und Ausnutzbarkeit der Sicherheitslücke;
• Hinweise auf eine aktive oder unmittelbar bevorstehende Ausbeutung;
• Mögliche sicherheitstechnische oder betriebliche Folgen;
• Verfügbarkeit und Validierung von Sanierungs- oder Minderungsmaßnahmen;
• Überlegungen zur Implementierung für betroffene Kunden;
• Abstimmung mit Lieferanten und anderen betroffenen Parteien; und
• Geltende gesetzliche und regulatorische Anforderungen

Forscher sollten vor einem vereinbarten koordinierten Offenlegungstermin keine Informationen zu Sicherheitslücken veröffentlichen, sofern das geltende Recht nichts anderes vorschreibt.

5. Anerkennung des Reporters

Gegebenenfalls und mit Zustimmung des Meldenden kann Wabtec den Melder in einem veröffentlichten Sicherheitshinweis oder einer anderen Mitteilung über Sicherheitslücken erwähnen. Melder können auch verlangen, dass ihre Identität vertraulich behandelt wird oder dass sie nicht öffentlich anerkannt werden.

Sicherheitshinweise und Kundenbenachrichtigungen

Gegebenenfalls kann Wabtec einen Sicherheitshinweis veröffentlichen oder andere Benachrichtigungen bereitstellen, um betroffenen Kunden zu helfen, ein identifiziertes Cybersicherheitsrisiko zu verstehen und zu beheben.

Je nach den Umständen kann eine Beratung oder Mitteilung Folgendes beinhalten:

• eine Beschreibung der Sicherheitslücke;
• Betroffene Produkte und Versionen;
• gegebenenfalls eine CVE-Kennung und Informationen zum Schweregrad der Sicherheitslücke;
• Mögliche Auswirkungen auf die Cybersicherheit, den Betrieb oder die Sicherheit;
• Bekannte mildernde Faktoren oder Behelfslösungen; und
• Verfügbare Patches, Updates, Konfigurationsänderungen oder andere empfohlene Maßnahmen.

Zeitpunkt, Form und Inhalt einer Benachrichtigung hängen von den Umständen der Sicherheitslücke ab, einschließlich der Sicherheit des Kunden, des Ausnutzungsrisikos, der Verfügbarkeit von Abhilfemaßnahmen, der betroffenen Produkte und Kunden, der Abstimmung mit Dritten sowie den geltenden gesetzlichen und behördlichen Anforderungen.

Gegebenenfalls kann Wabtec Informationen zu Sicherheitslücken mit relevanten CERTs, CSIRTs, anderen Regierungsbehörden, Branchenorganisationen, Lieferanten oder anderen betroffenen Interessengruppen abstimmen.

Keine Prämie oder Entschädigung

Sofern Wabtec nicht ausdrücklich schriftlich etwas anderes vereinbart, stellt diese Richtlinie kein Bug-Bounty-Programm dar, und die Einreichung eines Schwachstellenberichts begründet keinen Anspruch auf Entschädigung, Rückerstattung oder andere Zahlungen.

Einschränkungen der Richtlinie

Die Teilnahme an diesem Programm zur Offenlegung von Sicherheitslücken gewährt keine Rechte oder Lizenzen am geistigen Eigentum von Wabtec, außer in dem begrenzten Umfang, der für die Durchführung von Recherchen erforderlich ist, die gemäß dieser Richtlinie zulässig sind.

Nichts in dieser Richtlinie autorisiert Aktivitäten, die gegen geltendes Recht oder die Rechte Dritter verstoßen.

Wabtec kann diese Richtlinie von Zeit zu Zeit aktualisieren, um Änderungen an seinen Produkten, Sicherheitsmanagementprozessen, geltenden Anforderungen oder bewährten Sicherheitsmethoden Rechnung zu tragen.

Wenden Sie sich an Wabtec PSIRT

Potenzielle Sicherheitslücken im Bereich der Produktsicherheit sollten dem Wabtec Product Security Incident Response Team gemeldet werden: PSIRT [at] Wabtec [dot] com

Für vertrauliche Sicherheitslücken verwenden Sie bitte den öffentlichen PGP-Schlüssel von Wabtec.