Zasady raportowania luk w zabezpieczeniach produktów

Zakres

Niniejsza Polityka zgłaszania luk w zabezpieczeniach produktów („Polity ka”) ma zastosowanie do potencjalnych luk w zabezpieczeniach cybernetycznych mających wpływ na produkty Wabtec i jego komponenty, w tym powiązane oprogramowanie, oprogramowanie układowe i usługi cyfrowe związane z produktami WABtec.

Wabtec z zadowoleniem przyjmuje raporty dotyczące produktów niezależnie od tego, czy reporter ma stosunki handlowe z Wabtec. Raporty dotyczące produktów, które nie są już obsługiwane, mogą być oceniane indywidualnie dla każdego przypadku. Akceptacja lub ocena takiego raportu nie oznacza, że firma Wabtec dostarczy poprawkę, aktualizację lub inne środki naprawcze dla produktu poza obowiązującym okresem wsparcia.

Niniejsza Polityka jest przeznaczona dla luk w zabezpieczeniach cyberbezpieczeństwa produktów. Ogólne wsparcie produktu, problemy z jakością produktu bez wpływu na bezpieczeństwo cybernetyczne, roszczenia gwarancyjne i inne kwestie niezwiązane z bezpieczeństwem powinny być kierowane do odpowiedniego kanału obsługi klienta Wabtec.

Testowanie systemów, sieci, produktów lub środowisk będących własnością klientów Wabtec lub innych stron trzecich lub obsługiwanych przez nich nie jest dozwolone przez niniejszą Politykę.

Badania bezpieczeństwa w dobrej wierze

Wabtec wspiera badania bezpieczeństwa w dobrej wierze, mające na celu identyfikację i odpowiedzialne zgłaszanie potencjalnych luk w zabezpieczeniach cybernetycznych w produktach Wabtec.

Jeśli przeprowadzasz badania bezpieczeństwa zgodnie z niniejszą Polityką, działasz w dobrej wierze, aby uniknąć szkód dla Wabtec, naszych klientów i innych stron trzecich oraz niezwłocznie zgłaszasz Wabtec zidentyfikowane luki w zabezpieczeniach, firma Wabtec nie wniesie przeciwko użytkownikowi działań prawnych wyłącznie w związku z tymi badaniami.

Zobowiązanie to dotyczy tylko roszczeń, które Wabtec ma prawo do zrzeczenia się lub kontroli. Nie zezwala na dostęp ani testowanie systemów, produktów, sieci lub środowisk będących własnością klientów lub innych stron trzecich lub obsługiwanych przez klientów lub innych stron trzecich bez ich zgody oraz nie wiąże niezależnych stron trzecich ani organów rządowych lub organów ścigania.

Użytkownik pozostaje odpowiedzialny za przestrzeganie obowiązujących przepisów prawa i uzyskanie wszelkich upoważnień wymaganych od właściciela lub operatora systemu, produktu, sieci lub środowiska.

Jeśli nie masz pewności, czy określone badania są zgodne z niniejszą Polityką, skontaktuj się z Wabtec PSIRT przed kontynuowaniem.

Zasady zaangażowania

Aby promować odpowiedzialne badania i chronić klientów, pracowników, operacje i inne osoby trzecie firmy Wabtec, badacze uczestniczący w ramach niniejszej Polityki muszą:

• Podejmować starania w dobrej wierze, aby uniknąć szkody dla Wabtec, naszych klientów, innych stron trzecich i opinii publicznej;
• przeprowadzać testy wyłącznie na produktach, systemach i środowiskach, które posiadasz lub dla których posiadasz odpowiednie zezwolenie;
• Unikaj testowania usług lub infrastruktury stron trzecich, w tym środowisk produkcyjnych klientów, chyba że masz oddzielną autoryzację od odpowiedniej strony trzeciej;
• Unikać wszelkich działań, które mogłyby niekorzystnie wpłynąć na bezpieczeństwo lub dostępność kolejowych, tranzytowych, górniczych, przemysłowych lub innych środowisk operacyjnych;
• Unikać zakłócania funkcjonowania taboru kolejowego, sterowania pociągu, sygnalizacji, hamowania, łączności lub innych funkcji operacyjnych lub związanych z bezpieczeństwem;
• Unikać odmowy korzystania z usługi, wyczerpania zasobów, destrukcyjnych lub destrukcyjnych testów;
• Unikaj testów bezpieczeństwa fizycznego i inżynierii społecznej, w tym phishingu;
• Unikaj wprowadzania złośliwego oprogramowania, oprogramowania ransomware, mechanizmów trwałości lub innych złośliwych funkcji;
• Unikać dostępu do danych, modyfikowania, usuwania, pobierania lub wyfiltrowania danych wykraczających poza minimum niezbędne do wykazania istnienia i potencjalnego wpływu luki w zabezpieczeniach;
• zaprzestanie testowania i bezpośrednio powiadamianie Wabtec, jeśli uzyskasz dostęp do poufnych danych, danych uwierzytelniających, informacji o klientach lub funkcji wykraczających poza to, co jest konieczne do wykazania luki w zabezpieczeniach;
• Unikać ruchu bocznego lub prób ustanowienia stałego dostępu po wykazaniu luki;
• Unikać przesyłania niepublicznych informacji o podatności, informacji o klientach lub innych poufnych informacji do usług publicznych lub zewnętrznych, w przypadku gdy może to spowodować nieautoryzowane ujawnienie; oraz
• Koordynuj ujawnianie zgłoszonej luki z firmą Wabtec, jak opisano poniżej, w szczególności nie ujawniaj publicznie zidentyfikowanych luk, dopóki firma Wabtec nie potwierdzi usunięcia zidentyfikowanej luki.

Badania obejmujące funkcje związane z bezpieczeństwem powinny być prowadzone wyłącznie w odpowiednio kontrolowanym, nieoperacyjnym środowisku i przy wszystkich wymaganych zezwoleniach.

Ogólnie poza zakresem

Wabtec generalnie nie traktuje obserwacji dotyczących najlepszych praktyk bezpieczeństwa lub problemów konfiguracyjnych bez widocznego wpływu na cyberbezpieczeństwo jako luki w zabezpieczeniach produktów.

Przykłady mogą obejmować:

• Ujawnienie wersji informacyjnej bez wykazanego wpływu na bezpieczeństwo;
• Brakujące lub zalecane nagłówki zabezpieczeń HTTP bez wykazanej możliwości wykorzystania;
• Teoretyczne luki w zabezpieczeniach bez wiarygodnej ścieżki ataku lub wpływu na bezpieczeństwo;
• ustalenia, które zależą wyłącznie od przestarzałych lub nieobsługiwanych przeglądarek, systemów operacyjnych lub platform stron trzecich;
• zagadnienia wymagające nieprawdopodobnej interakcji użytkownika bez znaczącego wpływu na bezpieczeństwo; oraz
• Inne zalecenia dotyczące konfiguracji lub utrwalania bezpieczeństwa, które nie powodują poufności, integralności, dostępności, prywatności, bezpieczeństwa lub ryzyka operacyjnego.

Ta lista jest raczej ilustracyjna niż wyczerpująca. Wabtec może ocenić każdy raport, w którym reporter wykazuje znaczący wpływ na cyberbezpieczeństwo, bezpieczeństwo, prywatność lub operacyjny.

Jeśli nie masz pewności, czy problem jest objęty zakresem, zachęcamy do zgłoszenia go.

Co się dzieje po zgłoszeniu luki

Wabtec PSIRT koordynuje obsługę zgłoszonych potencjalnych luk w zabezpieczeniach związanych z cyberbezpieczeństwem produktów. Proces składa się na ogół z następujących etapów.

1. Odbiór i wyznaczenie

Wabtec PSIRT otrzymuje i przeprowadza wstępny przegląd raportów o podatności na zagrożenia.

Wabtec PSIRT przyjmuje raporty w dowolnym momencie i dołoży wszelkich starań, aby potwierdzić otrzymanie raportu o podatności w ciągu dwóch dni roboczych.

Raporty wskazujące na bezpośrednie zagrożenie dla bezpieczeństwa, aktywną eksploatację lub znaczący wpływ na klienta lub operacyjny będą traktowane priorytetowo do przyspieszonej oceny.

2. Ocena techniczna

Wabtec ocenia potencjalne zgłoszone luki w zabezpieczeniach i, w stosownych przypadkach, współpracuje z odpowiednimi zespołami produktowymi, inżynieryjnymi, cyberbezpieczeństwem, bezpieczeństwem, prawem i innymi w celu:

• Zweryfikować i odtworzyć zgłoszony problem;
• Określ produkty i wersje, których dotyczy problem;
• Ocena potencjalnego cyberbezpieczeństwa, bezpieczeństwa, prywatności i wpływu operacyjnego;
• Ocena możliwości eksploatacji i nasilenia; oraz
• Określ, czy od reportera wymagane są dodatkowe informacje.

Podczas tego procesu Wabtec może skontaktować się z reporterem w celu uzyskania dodatkowych informacji technicznych lub wyjaśnień.

3. Środki zaradcze i łagodzenie

W przypadku sprawdzonych luk w zabezpieczeniach firma Wabtec określi odpowiednie środki zaradcze lub ograniczające ryzyko w oparciu o okoliczności.

W zależności od luki i produktu, którego dotyczy problem, środki te mogą obejmować aktualizacje oprogramowania lub oprogramowania układowego, zmiany konfiguracji, kontrolki kompensacyjne, obejścia, wskazówki dla klientów lub inne środki.

Terminy reagowania i naprawy różnią się w zależności od czynników, takich jak dotkliwość i złożoność luki, produkty, których dotyczy problem, względy bezpieczeństwa, dostępność środków ograniczających, stan cyklu życia produktu oraz potrzeba koordynacji z klientami, dostawcami, dostawcami technologii, organami regulacyjnymi, CERT, CSIRT lub innymi zainteresowanymi stronami.

4. Skoordynowane ujawnienie

Wabtec stara się koordynować ujawnianie luk w zabezpieczeniach związanych z cyberbezpieczeństwem produktów w sposób, który pomaga chronić klientów i inne strony dotknięte chorobą.

Prosimy dziennikarzy o zachowanie poufności niepublicznych informacji o podatności na zagrożenia, podczas gdy Wabtec bada problem i, w stosownych przypadkach, opracowuje i koordynuje środki zaradcze lub łagodzące.

Wabtec będzie starał się współpracować w dobrej wierze z reporterem w celu ustalenia odpowiedniego harmonogramu ujawniania informacji, w stosownych przypadkach. Czas ujawniania informacji może uwzględniać czynniki, w tym:

• Poważność podatności i możliwość wykorzystania;
• dowody aktywnej lub nieuchronnej eksploatacji;
• Potencjalne konsekwencje bezpieczeństwa lub operacyjne;
• Dostępność i walidacja środków zaradczych lub łagodzących;
• Uwagi dotyczące wdrażania dla klientów, których dotyczy problem;
• koordynacja z dostawcami i innymi zainteresowanymi stronami; oraz
• Obowiązujące wymogi prawne i regulacyjne

Naukowcy nie powinni publicznie ujawniać szczegółów podatności przed uzgodnioną skoordynowaną datą ujawnienia, chyba że obowiązujące prawo wymaga inaczej.

5. Uznanie reportera

W stosownych przypadkach i za zgodą reportera, Wabtec może potwierdzić reportera w opublikowanym doradztwie dotyczącym bezpieczeństwa lub innym komunikacie dotyczącym luk w zabezpieczeniach. Reporterzy mogą również zażądać, aby ich tożsamość pozostała poufna lub aby nie otrzymali publicznego uznania.

Porady dotyczące bezpieczeństwa i powiadomienia klientów

W stosownych przypadkach firma Wabtec może opublikować poradę dotyczącą bezpieczeństwa lub przekazać inne powiadomienia, aby pomóc klientom, których dotyczy problem, zrozumieć i rozwiązać zidentyfikowane ryzyko cyberbezpieczeństwa.

W zależności od okoliczności, doradztwo lub powiadomienie może obejmować:

• opis podatności;
• Dotknięte produkty i wersje;
• Identyfikator CVE i informacje o stopniu dotkliwości podatności, w stosownych przypadkach;
• Potencjalny wpływ na bezpieczeństwo cybernetyczne, operacyjny lub wpływ na bezpieczeństwo;
• Znane czynniki łagodzące lub obejścia; oraz
• Dostępne poprawki, aktualizacje, zmiany konfiguracji lub inne zalecane działania.

Czas, forma i treść powiadomienia będą zależeć od okoliczności luki, w tym od bezpieczeństwa i bezpieczeństwa klientów, ryzyka eksploatacji, dostępności środków naprawczych, produktów i klientów, których dotyczy problem, koordynacji z osobami trzecimi oraz mających zastosowanie wymogów prawnych i regulacyjnych.

W stosownych przypadkach firma Wabtec może koordynować informacje o podatności na zagrożenia z odpowiednimi CERT, CSIRT, innymi organami rządowymi, organizacjami branżowymi, dostawcami lub innymi zainteresowanymi stronami.

Brak nagrody ani rekompensaty

O ile Wabtec wyraźnie nie zgodzi się inaczej na piśmie, niniejsza Polityka nie stanowi programu nagród za błędy, a złożenie raportu o podatności na zagrożenia nie stwarza prawa do odszkodowania, zwrotu kosztów lub innej płatności.

Ograniczenia zasad

Uczestnictwo w tym programie ujawniania luk w zabezpieczeniach nie daje żadnych praw ani licencji na własność intelektualną Wabtec, z wyjątkiem ograniczonego zakresu niezbędnego do przeprowadzenia badań dozwolonych przez niniejszą Politykę.

Żadne z postanowień niniejszej Polityki nie zezwala na działania, które naruszają obowiązujące prawo lub prawa osób trzecich.

Wabtec może od czasu do czasu aktualizować niniejszą Politykę w celu uwzględnienia zmian w swoich produktach, procesach zarządzania lukami w zabezpieczeniach, mających zastosowanie wymagań lub najlepszych praktyk w zakresie bezpieczeństwa.

Skontaktuj się z Wabtec PSIRT

Potencjalne luki w zabezpieczeniach cybernetycznych produktów należy zgłosić zespołowi reagowania na incydenty bezpieczeństwa produktu Wabtec: PSIRT [at] Wabtec [dot] com

Aby uzyskać poufne informacje o podatności, należy użyć publicznego klucza PGP firmy Wabtec.