Өнімнің осалдығы туралы есеп беру саясаты

Қолдану аясы

Осы Өнім осалдығы туралы есеп беру саясаты (“Саясат”) Wabtec өнімдеріне және оның компоненттеріне, соның ішінде байланысты бағдарламалық жасақтамаға, микробағдарламаға және WABTEC ұсынатын өнімге қатысты цифрлық қызметтерге әсер ететін әлеуетті киберқауіпсіздік осалдықтарына қолданылады.

Wabtec репортердің Wabtec-пен коммерциялық қарым-қатынаста болуына қарамастан өнімдерге қатысты есептерді құптайды. Бұдан былай қолдау көрсетілмейтін өнімдерге қатысты есептер әр жағдайда бағалануы мүмкін. Мұндай есепті қабылдау немесе бағалау Wabtec қолданыстағы қолдау мерзімінен тыс өнімге патчты, жаңартуды немесе басқа түзетуді қамтамасыз етеді дегенді білдірмейді.

Бұл Саясат өнімнің киберқауіпсіздік осалдықтарына арналған. Өнімнің жалпы қолдауы, киберқауіпсіздікке әсер етпейтін өнім сапасы мәселелері, кепілдік талаптары және басқа қауіпсіздік емес мәселелер қолданылатын Wabtec тұтынушыларды қолдау арнасына бағытталуы керек.

Wabtec клиенттеріне немесе басқа үшінші тараптарға тиесілі немесе басқаратын жүйелерді, желілерді, өнімдерді немесе орталарды тестілеу осы Саясатта рұқсат етілмеген.

Жақсы сенімді қауіпсіздік зерттеулері

Wabtec Wabtec өнімдеріндегі әлеуетті киберқауіпсіздік осалдықтарын анықтауға және жауапкершілікпен хабарлауға арналған адал сенімді қауіпсіздік зерттеулерін қолдайды.

Егер сіз осы Саясатқа сәйкес қауіпсіздік зерттеулерін жүргізсеңіз, Wabtec, біздің тұтынушыларымызға және басқа үшінші тараптарға зиян келтірмеу үшін адал әрекет етсеңіз және Wabtec компаниясына анықталған осалдықтар туралы жедел хабарласаңыз, Wabtec сізге қарсы тек сол зерттеу үшін заңды шара бастамайды.

Бұл міндеттеме тек Wabtec компаниясынан бас тартуға немесе бақылауға заңды өкілеттікке ие болған талаптарға ғана қатысты. Ол клиенттерге немесе басқа үшінші тұлғаларға тиесілі немесе басқаратын жүйелерге, өнімдерге, желілерге немесе орталарға олардың рұқсатынсыз кіруге немесе тестілеуге рұқсат бермейді және тәуелсіз үшінші тұлғаларды немесе үкіметтік немесе құқық қорғау органдарын байланыстырмайды.

Сіз қолданыстағы заңдарды сақтауға және жүйенің, өнімнің, желінің немесе қоршаған ортаның иесінен немесе операторынан талап етілетін рұқсатты алуға жауапты боласыз.

Егер белгілі бір зерттеулердің осы Саясатқа сәйкес келетіні туралы белгісіз болсаңыз, жалғастырмас бұрын Wabtec PSIRT хабарласыңыз.

Жұмысқа қатысу ережелері

Жауапты зерттеулерге жәрдемдесу және Wabtec клиенттерін, қызметкерлерін, операцияларын және басқа үшінші тұлғаларды қорғау үшін осы Саясат бойынша қатысатын зерттеушілер:

• Wabtec, біздің клиенттерімізге, басқа үшінші тұлғаларға және жұртшылыққа зиян келтірмеу үшін адал күш салыңыз;
• Тек өзіңізге тиесілі немесе тиісті рұқсатыңыз бар өнімдерде, жүйелерде және орталарда тестілеуді жүргізіңіз;
• Қолданылатын үшінші тараптан бөлек рұқсатыңыз болмаса, үшінші тарап қызметтерін немесе инфрақұрылымды, соның ішінде тұтынушы өндірістік орталарын тестілеуден аулақ болыңыз;
• Теміржол, транзиттік, тау-кен, өнеркәсіптік немесе басқа пайдалану орталарының қауіпсіздігіне немесе қолжетімділігіне теріс әсер етуі мүмкін кез келген қызметтен аулақ болыңыз;
• Жылжымалы құрамға, пойызды басқаруға, сигнализацияға, тежеуге, байланысқа немесе басқа пайдалану немесе қауіпсіздікке байланысты функционалдылыққа кедергі жасаудан аулақ болыңыз;
• Қызметтен бас тартудан, ресурстарды сарқылудан, бұзатын немесе бұзатын тестілеуден аулақ болыңыз;
• Физикалық қауіпсіздікті тестілеуден және әлеуметтік инженерліктен, соның ішінде фишингтен аулақ болыңыз;
• Зиянды бағдарламаларды, ransomware, табандылық механизмдерін немесе басқа зиянды функцияларды енгізуден аулақ болыңыз;
• Осалдықтың бар екендігін және ықтималды әсерін көрсету үшін қажетті минимумнан тыс деректерге қол жеткізуден, өзгертуден, жоюдан, жүктеуден немесе эксфильтрлеуден аулақ болыңыз;
• Сезімтал деректерге, тіркелгі деректеріне, тұтынушы туралы ақпаратқа немесе осалдықты көрсету үшін қажет нәрселерден тыс функционалдылыққа қол жеткізсеңіз, тестілеуді тоқтатыңыз және Wabtec компаниясына тікелей хабарлаңыз;
• Бүйірлік қозғалыстан немесе осалдық көрсетілгеннен кейін үздіксіз қол жеткізуді орнату әрекеттерінен аулақ болыңыз;
• Жария емес осалдық туралы ақпаратты, тұтынушы туралы ақпаратты немесе басқа да құпия ақпаратты қоғамдық немесе үшінші тарап қызметтеріне жүктеуден аулақ болыңыз, егер бұл рұқсат етілмеген жария етуге әкелуі мүмкін; және
• Төменде сипатталғандай хабарланған осалдықты Wabtec-пен ашуды үйлестіріңіз, атап айтқанда, Wabtec анықталған осалдықты қалпына келтіруді растамайынша, анықталған осалдықтарды ашық түрде ашпаңыз.

Қауіпсіздікке байланысты функционалдылықты қамтитын зерттеулер тек тиісті бақыланатын, операциялық емес ортада және барлық қажетті рұқсаттармен орындалуы керек.

Әдетте ауқымнан тыс

Wabtec әдетте киберқауіпсіздікке дәлелденетін әсері жоқ қауіпсіздіктің озық тәжірибелеріне немесе конфигурация мәселелеріне қатысты бақылауларды өнімнің киберқауіпсіздік осалдықтары ретінде қарастырмайды.

Мысалдар мыналарды қамтуы мүмкін:

• Қауіпсіздікке әсер етпей ақпараттық нұсқаны ашу;
• Көрсетілген эксплуатациясыз жетіспейтін немесе ұсынылған HTTP қауіпсіздік тақырыптары;
• Сенімді шабуыл жолы немесе қауіпсіздік әсері жоқ теориялық осалдықтар;
• Тек ескірген немесе қолдау көрсетілмейтін үшінші тарап браузерлеріне, операциялық жүйелеріне немесе платформаларына байланысты нәтижелер;
• Қауіпсіздікке мағыналы әсерсіз пайдаланушының ықтималсыз өзара әрекеттесуін талап ететін мәселелер; және
• Материалдық құпиялылықты, тұтастықты, қолжетімділікті, құпиялылықты, қауіпсіздікті немесе операциялық тәуекелді жасамайтын басқа конфигурация немесе қауіпсіздікті қатайту ұсыныстары.

Бұл тізім толық емес, иллюстрациялық. Wabtec репортер мағыналы киберқауіпсіздік, қауіпсіздік, құпиялылық немесе операциялық әсерді көрсететін кез келген есепті бағалай алады.

Егер мәселенің ауқымы бар-жоғын белгісіз болсаңыз, бұл туралы хабарлауға шақырамыз.

Осал туралы хабарлағаннан кейін не болады

Wabtec PSIRT хабарланған әлеуетті өнімнің киберқауіпсіздік осалдықтарын өңдеуді үйлестіреді. Процесс әдетте келесі кезеңдерден тұрады.

1. Түбіртек және триаж

Wabtec PSIRT осалдық туралы есептерді бастапқы шолуды алады және орындайды.

Wabtec PSIRT есептерді кез келген уақытта қабылдайды және екі жұмыс күні ішінде осалдық туралы есепті алуды мойындауға тырысады.

Жеделдетілген бағалау үшін қауіпсіздік қаупін, белсенді пайдалануды немесе тұтынушыға немесе операциялық әсерді елеулі көрсететін есептер басымдыққа ие болады.

2. Техникалық бағалау

Wabtec әлеуетті хабарланған осалдықтарды бағалайды және тиісті жағдайда тиісті өнім, инженерия, киберқауіпсіздік, қауіпсіздік, құқықтық және басқа командалармен жұмыс істейді:

• Хабарланған мәселені растау және қайта шығару;
• Зақымдалған өнімдер мен нұсқаларды анықтаңыз;
• Әлеуетті киберқауіпсіздікті, қауіпсіздікті, құпиялылықты және операциялық әсерді бағалау;
• Пайдалану қабілеттілігі мен ауырлығын бағалау; және
• Репортерден қосымша ақпарат талап етілетінін анықтаңыз.

Wabtec қосымша техникалық ақпарат немесе түсініктеме алу үшін осы процесс кезінде репортерге хабарласа алады.

3. Қалпына келтіру және жұмсарту

Рұқсат етілген осалдықтар үшін Wabtec жағдайларға байланысты тиісті түзету немесе тәуекелді азайту шараларын анықтайды.

Осал және зардап шеккен өнімге байланысты бұл шаралар бағдарламалық жасақтаманы немесе микробағдарламаны жаңартуды, конфигурацияны өзгертуді, өтемді басқару элементтерін, шешімдерді, тұтынушыларға нұсқаулықты немесе басқа шараларды қамтуы мүмкін.

Жауап алу және түзету мерзімдері осалдықтың ауырлығы мен күрделілігіне, зардап шеккен өнімдерге, қауіпсіздік мәселелеріне, жеңілдетулердің болуына, өнімнің өмірлік циклінің күйіне және клиенттермен, жеткізушілермен, технологиялық провайдерлермен, реттеушілермен, CERT, CSIRT немесе басқа зардап шеккен тараптармен келісу қажеттілігіне байланысты өзгереді.

4. Үйлестірілген ашу

Wabtec тұтынушыларды және басқа зардап шеккен тараптарды қорғауға көмектесетін етіп өнімнің киберқауіпсіздік осалдықтарын ашуды үйлестіруге тырысады.

Біз журналистерден Wabtec мәселені зерттеп, қажет болған жағдайда түзету немесе жеңілдету шараларын әзірлейді және үйлестіретін кезде жария емес осалдық туралы ақпараттың құпиялылығын сақтауды сұраймыз.

Wabtec тиісті жағдайда ашудың тиісті уақыт кестесін орнату үшін репортермен адал жұмыс істеуге тырысады. Жария ету мерзімі мыналарды қамтитын факторларды ескеруі мүмкін:

• Осал дәрежесі мен пайдалану қабілеті;
• Белсенді немесе жақын пайдаланудың дәлелі;
• Ықтималды қауіпсіздік немесе пайдалану салдары;
• Емдеу немесе жеңілдету шараларының болуы және валидациясы;
• Зардап шеккен клиенттер үшін орналастыру мәселелері;
• Жеткізушілермен және басқа да зардап шеккен тараптармен келісу; және
• Қолданылатын құқықтық және нормативтік талаптар

Егер қолданыстағы заңда өзгеше талап етілмесе, зерттеушілер келісілген келісілген жариялау күніне дейін осалдық мәліметтерін жария етпеуі керек.

5. Репортерді тану

Қажет болған жағдайда және репортердің келісімімен Wabtec журналисті жарияланған қауіпсіздік жөніндегі кеңесте немесе басқа осалдық туралы хабарламада мойындауы мүмкін. Журналистер сонымен қатар олардың жеке басының құпия сақталуын немесе қоғамдық мойындамауын сұрай алады.

Қауіпсіздік бойынша кеңестер және тұтынушыларға арналған хабарламалар

Қажет болған жағдайда Wabtec зардап шеккен клиенттерге анықталған киберқауіпсіздік тәуекелін түсінуге және шешуге көмектесу үшін қауіпсіздік бойынша кеңес жариялай алады немесе басқа хабарландырулар бере алады.

Жағдайларға байланысты кеңес беру немесе хабарлама мыналарды қамтуы мүмкін:

• Осал тұсының сипаттамасы;
• Зардап шеккен өнімдер мен нұсқалар;
• CVE идентификаторы және осалдықтың ауырлығы туралы ақпарат, қажет болған жағдайда;
• Ықтималды киберқауіпсіздік, операциялық немесе қауіпсіздік әсері;
• Белгілі жеңілдететін факторлар немесе шешімдер; және
• Қол жетімді патчтар, жаңартулар, конфигурация өзгерістері немесе басқа ұсынылған әрекеттер.

Хабарламаның мерзімі, нысаны және мазмұны осалдықтың мән-жайына, соның ішінде клиенттердің қауіпсіздігі мен қауіпсіздігіне, пайдалану тәуекеліне, қалпына келтірудің қолжетімділігіне, зардап шеккен өнімдер мен тұтынушыларға, үшінші тұлғалармен келісімге және қолданылатын құқықтық және нормативтік талаптарға байланысты болады.

Қажет болған жағдайда Wabtec осалдық туралы ақпаратты тиісті CERT, CSIRT, басқа мемлекеттік органдармен, салалық ұйымдармен, жеткізушілермен немесе басқа зардап шеккен мүдделі тараптармен үйлестіруі мүмкін.

Жарапат немесе өтемақы жоқ

Егер Wabtec жазбаша түрде басқаша келіспесе, осы Саясат қателерді сыйлау бағдарламасы болып табылмайды және осалдық туралы есепті ұсыну өтемақы, өтемақы немесе басқа төлемге құқық тудырмайды.

Саясат шектеулері

Осы осалдықты ашу бағдарламасына қатысу Wabtec зияткерлік меншігіне осы Саясатпен рұқсат етілген зерттеулер жүргізу үшін қажетті шектеулі дәрежеден басқа ешқандай құқық немесе лицензия бермейді.

Осы Саясатта ештеңе қолданыстағы заңды немесе үшінші тараптың құқықтарын бұзатын әрекетке рұқсат бермейді.

Wabtec өз өнімдеріндегі өзгерістерді, осалдықты басқару процестерін, қолданылатын талаптарды немесе қауіпсіздіктің озық тәжірибелерін көрсету үшін осы Саясатты мезгіл-мезгіл жаңартып отыруы мүмкін.

Wabtec PSIRT хабарласыңыз

Әлеуетті өнімнің киберқауіпсіздік осалдықтары Wabtec Өнімнің қауіпсіздігі оқиғаларына жауап беру тобына хабарлануы керек: PSIRT [at] Wabtec [dot] com

Сезімтал осалдық туралы ақпарат алу үшін Wabtec-тің жалпыға ортақ PGP кілтін пайдаланыңыз.