Beleid voor het melden van productkwetsbaarheden

Toepassingsgebied

Dit meldingsbeleid voor productkwetsbaarheden („Beleid”) is van toepassing op mogelijke kwetsbaarheden op het gebied van cyberbeveiliging die van invloed zijn op Wabtec-producten en de componenten ervan, inclusief bijbehorende software, firmware en door Wabtec geleverde productgerelateerde digitale diensten.

Wabtec verwelkomt meldingen over producten, ongeacht of de melder een commerciële relatie heeft met Wabtec. Rapporten over producten die niet langer worden ondersteund, kunnen van geval tot geval worden beoordeeld. Acceptatie of evaluatie van een dergelijk rapport betekent niet dat Wabtec een patch, update of andere hersteloplossing voor een product zal leveren buiten de toepasselijke ondersteuningsperiode.

Dit beleid is bedoeld voor kwetsbaarheden in de cyberbeveiliging van producten. Algemene productondersteuning, problemen met de productkwaliteit zonder gevolgen voor cyberbeveiliging, garantieclaims en andere niet-beveiligingskwesties moeten worden gericht aan het toepasselijke klantenservicekanaal van Wabtec.

Het testen van systemen, netwerken, producten of omgevingen die eigendom zijn van of beheerd worden door klanten van Wabtec of andere derden is niet toegestaan op grond van dit beleid.

Veiligheidsonderzoek te goeder trouw

Wabtec ondersteunt te goeder trouw beveiligingsonderzoek dat bedoeld is om potentiële kwetsbaarheden op het gebied van cyberbeveiliging in Wabtec-producten te identificeren en op verantwoorde wijze te melden.

Als u beveiligingsonderzoek uitvoert in overeenstemming met dit beleid, te goeder trouw handelt om schade aan Wabtec, onze klanten en andere derden te voorkomen, en geïdentificeerde kwetsbaarheden onmiddellijk aan Wabtec meldt, zal Wabtec niet uitsluitend voor dat onderzoek juridische stappen tegen u ondernemen.

Deze verbintenis is alleen van toepassing op claims waarvan Wabtec de wettelijke bevoegdheid heeft om afstand te doen of te controleren. Het geeft geen toestemming voor toegang tot of testen van systemen, producten, netwerken of omgevingen die eigendom zijn van of beheerd worden door klanten of andere derden zonder hun toestemming, en het is niet bindend voor onafhankelijke derden of overheids- of wetshandhavingsinstanties.

U blijft verantwoordelijk voor de naleving van de toepasselijke wetgeving en voor het verkrijgen van de vereiste autorisatie van de eigenaar of exploitant van een systeem, product, netwerk of omgeving.

Als u niet zeker weet of bepaald onderzoek in overeenstemming is met dit beleid, neem dan contact op met Wabtec PSIRT voordat u verder gaat.

Regels voor betrokkenheid

Om verantwoord onderzoek te bevorderen en klanten, werknemers, activiteiten en andere derden van Wabtec te beschermen, moeten onderzoekers die deelnemen aan dit beleid:

• Te goeder trouw proberen om schade aan Wabtec, onze klanten, andere derden en het publiek te voorkomen;
• Voer alleen tests uit op producten, systemen en omgevingen waarvan u de eigenaar bent of waarvoor u de juiste autorisatie hebt;
• Vermijd het testen van diensten of infrastructuur van derden, waaronder productieomgevingen van klanten, tenzij u een aparte autorisatie hebt van de betreffende derde partij;
• Vermijd activiteiten die een negatieve invloed kunnen hebben op de veiligheid of beschikbaarheid van spoorweg-, doorvoer-, mijnbouw-, industriële of andere operationele omgevingen;
• Voorkom interferentie met rollend materieel, treinbesturing, signalering, remmen, communicatie of andere operationele of veiligheidsgerelateerde functies;
• Vermijd denial-of-service, uitputting van hulpbronnen, destructieve of verstorende tests;
• Vermijd fysieke beveiligingstests en social engineering, waaronder phishing;
• Vermijd de introductie van malware, ransomware, persistentiemechanismen of andere kwaadaardige functies;
• Vermijd het openen, wijzigen, verwijderen, downloaden of exfiltreren van gegevens die verder gaan dan het minimum dat nodig is om het bestaan en de mogelijke impact van een kwetsbaarheid aan te tonen;
• Stop met testen en stel Wabtec direct op de hoogte als u toegang krijgt tot gevoelige gegevens, inloggegevens, klantinformatie of functionaliteit die verder gaat dan nodig is om de kwetsbaarheid aan te tonen;
• Vermijd zijwaartse bewegingen of pogingen om permanente toegang tot stand te brengen nadat een kwetsbaarheid is aangetoond;
• Vermijd het uploaden van niet-openbare informatie over kwetsbaarheden, klantinformatie of andere gevoelige informatie naar openbare diensten of diensten van derden waar dit kan leiden tot ongeoorloofde openbaarmaking; en
• Coördineer de openbaarmaking van de gemelde kwetsbaarheid met Wabtec, zoals hieronder beschreven, maak met name geïdentificeerde kwetsbaarheden niet openbaar totdat Wabtec heeft bevestigd dat de geïdentificeerde kwetsbaarheid is hersteld.

Onderzoek met betrekking tot veiligheidsgerelateerde functionaliteit mag alleen worden uitgevoerd in een adequaat gecontroleerde, niet-operationele omgeving en met alle vereiste autorisaties.

Over het algemeen buiten het bereik

Wabtec behandelt observaties over best practices op het gebied van beveiliging of configuratieproblemen zonder aantoonbare gevolgen voor de cyberbeveiliging over het algemeen niet als kwetsbaarheden in de cyberbeveiliging van producten.

Voorbeelden kunnen zijn:

• Openbaarmaking van informatieve versies zonder aantoonbare gevolgen voor de beveiliging;
• Ontbrekende of aanbevolen HTTP-beveiligingsheaders zonder aantoonbare exploiteerbaarheid;
• Theoretische kwetsbaarheden zonder een geloofwaardig aanvalspad of beveiligingsimpact;
• Bevindingen die uitsluitend afhankelijk zijn van verouderde of niet-ondersteunde browsers, besturingssystemen of platforms van derden;
• problemen waarvoor onwaarschijnlijke gebruikersinteractie vereist is zonder noemenswaardige gevolgen voor de beveiliging; en
• Andere aanbevelingen voor configuratie of versterking van de beveiliging die geen materieel risico op vertrouwelijkheid, integriteit, beschikbaarheid, privacy, veiligheid of operationeel risico met zich meebrengen.

Deze lijst is eerder illustratief dan volledig. Wabtec kan elk rapport evalueren waarin de verslaggever een zinvolle impact op het gebied van cyberbeveiliging, veiligheid, privacy of operationele impact aantoont.

Als u niet zeker weet of een probleem binnen de reikwijdte valt, raden we u aan dit te melden.

Wat gebeurt er nadat u een kwetsbaarheid hebt gemeld

Wabtec PSIRT coördineert de behandeling van gerapporteerde potentiële kwetsbaarheden in de cyberbeveiliging van producten. Het proces bestaat over het algemeen uit de volgende stappen.

1. Ontvangst en verzending

Wabtec PSIRT ontvangt en voert een eerste beoordeling uit van kwetsbaarheidsrapporten.

Wabtec PSIRT accepteert meldingen op elk moment en zal proberen de ontvangst van een kwetsbaarheidsrapport binnen twee werkdagen te bevestigen.

Rapporten die wijzen op een dreigend veiligheidsrisico, actieve exploitatie of aanzienlijke gevolgen voor de klant of de bedrijfsvoering, krijgen prioriteit voor een spoedige beoordeling.

2. Technische beoordeling

Wabtec evalueert mogelijke gemelde kwetsbaarheden en werkt waar nodig samen met relevante product-, engineering-, cyberbeveiligings-, veiligheids-, juridische en andere teams om:

• Het gemelde probleem valideren en reproduceren;
• Bepalen van de betrokken producten en versies;
• Evalueer mogelijke gevolgen voor cyberbeveiliging, veiligheid, privacy en operationele activiteiten;
• Evalueer de exploiteerbaarheid en ernst; en
• Bepaal of aanvullende informatie van de melder vereist is.

Wabtec kan tijdens dit proces contact opnemen met de melder voor aanvullende technische informatie of verduidelijking.

3. Sanering en mitigatie

Voor gevalideerde kwetsbaarheden zal Wabtec op basis van de omstandigheden passende herstel- of risicobeperkende maatregelen bepalen.

Afhankelijk van de kwetsbaarheid en het betreffende product kunnen deze maatregelen bestaan uit software- of firmware-updates, configuratiewijzigingen, compenserende controles, tijdelijke oplossingen, begeleiding van klanten of andere maatregelen.

De tijdlijnen voor respons en herstel variëren afhankelijk van factoren zoals de ernst en complexiteit van de kwetsbaarheid, de betrokken producten, veiligheidsoverwegingen, de beschikbaarheid van maatregelen, de status van de levenscyclus van producten en de noodzaak om te coördineren met klanten, leveranciers, technologieleveranciers, regelgevers, CERT's, CSIRT's of andere betrokken partijen.

4. Gecoördineerde openbaar

Wabtec probeert de openbaarmaking van kwetsbaarheden in de cyberbeveiliging van producten te coördineren op een manier die klanten en andere betrokken partijen helpt beschermen.

We vragen verslaggevers om de vertrouwelijkheid van niet-openbare informatie over kwetsbaarheden te bewaren, terwijl Wabtec het probleem onderzoekt en, waar nodig, herstel- of mitigatiemaatregelen ontwikkelt en coördineert.

Wabtec zal proberen te goeder trouw met de melder samen te werken om, indien van toepassing, een passend tijdschema voor openbaarmaking vast te stellen. Bij het tijdstip van openbaarmaking kan rekening worden gehouden met factoren zoals:

• ernst van de kwetsbaarheid en exploiteerbaarheid;
• Bewijs van actieve of dreigende uitbuiting;
• Potentiële gevolgen voor de veiligheid of de werking;
• beschikbaarheid en validatie van herstel- of mitigerende maatregelen;
• Overwegingen bij de implementatie voor betrokken klanten;
• Coördinatie met leveranciers en andere betrokken partijen; en
• Toepasselijke wettelijke en reglementaire vereisten

Onderzoekers mogen kwetsbaarheidsgegevens niet openbaar maken vóór een overeengekomen gecoördineerde openbaarmakingsdatum, tenzij anders vereist door de toepasselijke wetgeving.

5. Erkenning van de verslaggever

Waar nodig en met toestemming van de melder kan Wabtec de melder erkennen in een gepubliceerd beveiligingsadvies of andere communicatie over kwetsbaarheden. Verslaggevers kunnen ook vragen dat hun identiteit vertrouwelijk blijft of dat ze geen publieke erkenning krijgen.

Beveiligingsadviezen en meldingen van klanten

Waar nodig kan Wabtec een beveiligingsadvies publiceren of andere meldingen geven om getroffen klanten te helpen een geïdentificeerd cyberbeveiligingsrisico te begrijpen en aan te pakken.

Afhankelijk van de omstandigheden kan een advies of kennisgeving het volgende omvatten:

• Een beschrijving van de kwetsbaarheid;
• Betrokken producten en versies;
• Een CVE-identificator en informatie over de ernst van de kwetsbaarheid, indien van toepassing;
• Potentiële gevolgen voor cyberbeveiliging, operationele of veiligheid;
• Bekende verzachtende factoren of tijdelijke oplossingen; en
• Beschikbare patches, updates, configuratiewijzigingen of andere aanbevolen acties.

Het tijdstip, de vorm en de inhoud van een melding zijn afhankelijk van de omstandigheden van de kwetsbaarheid, waaronder de veiligheid en beveiliging van de klant, het exploitatierisico, de beschikbaarheid van herstelmaatregelen, de betrokken producten en klanten, coördinatie met derden en toepasselijke wet- en regelgeving.

Waar nodig kan Wabtec informatie over kwetsbaarheden coördineren met relevante CERT's, CSIRT's, andere overheidsinstanties, brancheorganisaties, leveranciers of andere betrokken belanghebbenden.

Geen premie of vergoeding

Tenzij Wabtec uitdrukkelijk schriftelijk anders instemt, vormt dit beleid geen bug bounty-programma, en het indienen van een kwetsbaarheidsrapport geeft geen recht op compensatie, terugbetaling of andere betaling.

Beleidsbeperkingen

Deelname aan dit programma voor het openbaar maken van kwetsbaarheden verleent geen enkel recht of licentie op het intellectuele eigendom van Wabtec, behalve voor zover dat nodig is om onderzoek uit te voeren dat volgens dit beleid is toegestaan.

Niets in dit beleid staat activiteiten toe die in strijd zijn met de toepasselijke wetgeving of de rechten van derden.

Wabtec kan dit beleid van tijd tot tijd bijwerken om wijzigingen in zijn producten, processen voor kwetsbaarheidsbeheer, toepasselijke vereisten of beste beveiligingspraktijken weer te geven.

Contact opnemen met Wabtec PSIRT

Potentiële kwetsbaarheden in de cyberbeveiliging van producten moeten worden gemeld aan het Wabtec Product Security Incident Response Team: PSIRT [at] Wabtec [dot] com

Gebruik voor gevoelige informatie over kwetsbaarheden de openbare PGP-sleutel van Wabtec.