Política de relatórios de vulnerabilidades do produto

Escopo

Esta Política de Relatórios de Vulnerabilidades de Produtos (“Política”) se aplica a possíveis vulnerabilidades de segurança cibernética que afetam os produtos da Wabtec e seus componentes, incluindo software associado, firmware e serviços digitais relacionados a produtos fornecidos pela WABTEC.

A Wabtec agradece relatórios sobre produtos, independentemente de o repórter ter uma relação comercial com a Wabtec. Relatórios sobre produtos que não são mais suportados podem ser avaliados caso a caso. A aceitação ou avaliação de tal relatório não significa que a Wabtec fornecerá um patch, atualização ou outra remediação para um produto fora do período de suporte aplicável.

Esta política se destina às vulnerabilidades de segurança cibernética de produtos. O suporte geral do produto, problemas de qualidade do produto sem impacto na segurança cibernética, reclamações de garantia e outros assuntos não relacionados à segurança devem ser direcionados ao canal de suporte ao cliente aplicável da Wabtec.

O teste de sistemas, redes, produtos ou ambientes pertencentes ou operados por clientes da Wabtec ou outros terceiros não está autorizado por esta Política.

Pesquisa de segurança de boa fé

A Wabtec apóia pesquisas de segurança de boa fé destinadas a identificar e relatar com responsabilidade possíveis vulnerabilidades de segurança cibernética nos produtos da Wabtec.

Se você conduzir uma pesquisa de segurança em conformidade com esta Política, agir de boa fé para evitar danos à Wabtec, nossos clientes e outros terceiros e relatar imediatamente as vulnerabilidades identificadas à Wabtec, a Wabtec não iniciará uma ação legal contra você exclusivamente por essa pesquisa.

Este compromisso se aplica somente às reivindicações que a Wabtec tem autoridade legal para renunciar ou controlar. Ele não autoriza o acesso ou o teste de sistemas, produtos, redes ou ambientes de propriedade ou operados por clientes ou terceiros sem a permissão deles, e não vincula terceiros independentes ou autoridades governamentais ou policiais.

Você permanece responsável por cumprir as leis aplicáveis e obter qualquer autorização exigida do proprietário ou operador de um sistema, produto, rede ou ambiente.

Se você não tiver certeza se uma pesquisa específica é consistente com esta Política, entre em contato com a Wabtec PSIRT antes de continuar.

Regras de engajamento

Para promover pesquisas responsáveis e proteger os clientes, funcionários, operações e outros terceiros da Wabtec, os pesquisadores participantes desta Política devem:

• Fazer um esforço de boa fé para evitar danos à Wabtec, aos nossos clientes, a terceiros e ao público;
• Realizar testes somente em produtos, sistemas e ambientes que você possui ou para os quais você tem a autorização apropriada;
• Evite testar serviços ou infraestrutura de terceiros, incluindo ambientes de produção do cliente, a menos que você tenha autorização separada do terceiro aplicável;
• Evite qualquer atividade que possa afetar adversamente a segurança ou a disponibilidade de ambientes ferroviários, de trânsito, de mineração, industriais ou outros ambientes operacionais;
• Evite interferir no material circulante, no controle de trens, na sinalização, na frenagem, nas comunicações ou em outras funcionalidades operacionais ou relacionadas à segurança;
• Evite testes de negação de serviço, esgotamento de recursos, destrutivos ou disruptivos;
• Evite testes de segurança física e engenharia social, incluindo phishing;
• Evite a introdução de malware, ransomware, mecanismos de persistência ou outras funcionalidades maliciosas;
• Evite acessar, modificar, excluir, baixar ou extrair dados além do mínimo necessário para demonstrar a existência e o impacto potencial de uma vulnerabilidade;
• Pare de testar e notifique diretamente a Wabtec se você obtiver acesso a dados confidenciais, credenciais, informações de clientes ou funcionalidades além do necessário para demonstrar a vulnerabilidade;
• Evite movimentos laterais ou tentativas de estabelecer acesso contínuo após a demonstração de uma vulnerabilidade;
• Evite enviar informações de vulnerabilidade não públicas, informações de clientes ou outras informações confidenciais para serviços públicos ou de terceiros, quando isso possa resultar em divulgação não autorizada; e
• Coordene a divulgação da vulnerabilidade relatada com a Wabtec conforme descrito abaixo, em particular, não divulgue publicamente as vulnerabilidades identificadas até que a Wabtec confirme a remediação da vulnerabilidade identificada.

Pesquisas envolvendo funcionalidades relacionadas à segurança devem ser realizadas somente em um ambiente não operacional, adequadamente controlado e com todas as autorizações necessárias.

Geralmente fora do escopo

A Wabtec geralmente não trata as observações sobre as melhores práticas de segurança ou problemas de configuração sem um impacto demonstrável na segurança cibernética como vulnerabilidades de segurança cibernética do produto.

Os exemplos podem incluir:

• Divulgação informativa da versão sem impacto demonstrado na segurança;
• Cabeçalhos de segurança HTTP ausentes ou recomendados sem capacidade de exploração demonstrada;
• Vulnerabilidades teóricas sem um caminho de ataque confiável ou impacto na segurança;
• Descobertas que dependem exclusivamente de navegadores, sistemas operacionais ou plataformas de terceiros obsoletos ou incompatíveis;
• Problemas que exigem uma interação implausível do usuário sem impacto significativo na segurança; e
• Outras recomendações de configuração ou reforço de segurança que não criem risco material de confidencialidade, integridade, disponibilidade, privacidade, segurança ou operação.

Esta lista é ilustrativa em vez de exaustiva. A Wabtec pode avaliar qualquer relatório em que o repórter demonstre um impacto significativo na cibersegurança, segurança, privacidade ou operação.

Se você não tiver certeza se um problema está no escopo, recomendamos que você o denuncie.

O que acontece depois de você denunciar uma vulnerabilidade

O Wabtec PSIRT coordena o tratamento de possíveis vulnerabilidades de segurança cibernética de produtos relatadas. O processo geralmente consiste nas seguintes etapas.

1. Recebimento e triagem

O Wabtec PSIRT recebe e realiza uma análise inicial dos relatórios de vulnerabilidade.

O Wabtec PSIRT aceita relatórios a qualquer momento e se esforçará para confirmar o recebimento de um relatório de vulnerabilidade dentro de dois dias úteis.

Relatórios indicando um risco de segurança iminente, exploração ativa ou impacto significativo no cliente ou operacional serão priorizados para uma avaliação rápida.

2. Avaliação técnica

A Wabtec avalia possíveis vulnerabilidades relatadas e, conforme apropriado, trabalha com equipes relevantes de produtos, engenharia, cibersegurança, segurança, jurídicas e outras para:

• Valide e reproduza o problema relatado;
• Determinar os produtos e versões afetados;
• Avalie o potencial de cibersegurança, segurança, privacidade e impacto operacional;
• Avalie a capacidade de exploração e a severidade; e
• Determine se informações adicionais são exigidas do repórter.

A Wabtec pode entrar em contato com o repórter durante esse processo para obter informações técnicas adicionais ou esclarecimentos.

3. Remediação e mitigação

Para vulnerabilidades validadas, a Wabtec determinará medidas apropriadas de remediação ou mitigação de risco com base nas circunstâncias.

Dependendo da vulnerabilidade e do produto afetado, essas medidas podem incluir atualizações de software ou firmware, alterações de configuração, controles de compensação, soluções alternativas, orientação ao cliente ou outras medidas.

Os cronogramas de resposta e remediação variam de acordo com fatores, incluindo a gravidade e a complexidade da vulnerabilidade, produtos afetados, considerações de segurança, disponibilidade de mitigações, status do ciclo de vida do produto e a necessidade de coordenação com clientes, fornecedores, fornecedores de tecnologia, reguladores, CERTs, CSIRTs ou outras partes afetadas.

4. Divulgação coordenada

A Wabtec busca coordenar a divulgação das vulnerabilidades de segurança cibernética do produto de uma forma que ajude a proteger os clientes e outras partes afetadas.

Pedimos aos repórteres que mantenham a confidencialidade das informações de vulnerabilidade não públicas enquanto a Wabtec investiga o problema e, quando apropriado, desenvolve e coordena medidas de remediação ou mitigação.

A Wabtec procurará trabalhar de boa fé com o repórter para estabelecer um cronograma de divulgação apropriado, quando apropriado. O momento da divulgação pode levar em consideração fatores, incluindo:

• Gravidade e explorabilidade da vulnerabilidade;
• Evidência de exploração ativa ou iminente;
• Possíveis consequências operacionais ou de segurança;
• Disponibilidade e validação de medidas de remediação ou mitigação;
• Considerações de implantação para os clientes afetados;
• Coordenação com fornecedores e outras partes afetadas; e
• Requisitos legais e regulamentares aplicáveis

Os pesquisadores não devem divulgar publicamente os detalhes da vulnerabilidade antes de uma data de divulgação coordenada acordada, a menos que seja exigido pela lei aplicável.

5. Reconhecimento do repórter

Quando apropriado e com o consentimento do repórter, a Wabtec pode reconhecer o repórter em um comunicado de segurança publicado ou em outra comunicação de vulnerabilidade. Os repórteres também podem solicitar que sua identidade permaneça confidencial ou que não recebam reconhecimento público.

Avisos de segurança e notificações de clientes

Quando apropriado, a Wabtec pode publicar um comunicado de segurança ou fornecer outras notificações para ajudar os clientes afetados a entender e lidar com um risco de segurança cibernética identificado.

Dependendo das circunstâncias, um aviso ou notificação pode incluir:

• Uma descrição da vulnerabilidade;
• Produtos e versões afetados;
• Um identificador CVE e informações sobre a gravidade da vulnerabilidade, quando aplicável;
• Potencial impacto na segurança cibernética, operacional ou de segurança;
• Fatores atenuantes conhecidos ou soluções alternativas; e
• Patches, atualizações, alterações de configuração ou outras ações recomendadas disponíveis.

O momento, a forma e o conteúdo de uma notificação dependerão das circunstâncias da vulnerabilidade, incluindo segurança e proteção do cliente, risco de exploração, disponibilidade de remediação, produtos e clientes afetados, coordenação com terceiros e requisitos legais e regulatórios aplicáveis.

Quando apropriado, a Wabtec pode coordenar as informações de vulnerabilidade com CERTs, CSIRTs relevantes, outras autoridades governamentais, organizações do setor, fornecedores ou outras partes interessadas afetadas.

Sem recompensa ou compensação

A menos que a Wabtec concorde expressamente por escrito em contrário, esta Política não constitui um programa de recompensa por bugs e o envio de um relatório de vulnerabilidade não cria direito a compensação, reembolso ou outro pagamento.

Limitações da política

A participação neste programa de divulgação de vulnerabilidades não concede nenhum direito ou licença sobre a propriedade intelectual da Wabtec, exceto na medida limitada necessária para conduzir pesquisas permitidas por esta Política.

Nada nesta Política autoriza atividades que violem a lei aplicável ou os direitos de terceiros.

A Wabtec pode atualizar esta Política de tempos em tempos para refletir mudanças em seus produtos, processos de gerenciamento de vulnerabilidades, requisitos aplicáveis ou melhores práticas de segurança.

Entre em contato com a Wabtec PSIRT

As possíveis vulnerabilidades de segurança cibernética do produto devem ser relatadas à equipe de resposta a incidentes de segurança de produtos da Wabtec: PSIRT [at] Wabtec [dot] com

Para informações confidenciais sobre vulnerabilidades, use a chave pública PGP da Wabtec.