Pilz Product Security Incident Response Team (PSIRT)

Security-eksperterne i Pilz PSIRT analyserer, vurderer og bearbejder potentielt svage punkter i sikkerheden samt Security-hændelser i forbindelse med produkter og løsninger fra Pilz. Hvis et svagt punkt er blevet bekræftet, offentliggør Pilz PSIRT Security Advisories med anvisninger til afhjælpning af dette svage punkt.

Vi ønsker at opmuntre sikkerhedseksperter, uafhængige forskere, kunder og andre aktører til at informere os om sikkerhedsproblemer ved vores produkter og løsninger. Kun på denne måde har vi mulighed for sammen at diskutere og afstemme yderligere aktiviteter og forbedre vores produkters og løsningers Security. For ikke at bringe vores kunder og sagesløse i fare beder vi om en koordineret offentliggørelse af svage punkter med inddragelse af vores PSIRT.

Security-specialisterne i Pilz PSIRT bearbejder og vurderer alle meddelelser om mulige svage Security-punkter i Pilz-produkter. Hvis du har spørgsmål om Security, som angår vores produkter eller infrastruktur, eller ønsker at meddele sikkerhedshuller, bør du kontakte vores Security-eksperter i PSIRT. Kontakt PSIRT på tysk eller engelsk. Du vil typisk modtage en bekræftelse på modtagelsen inden for fire arbejdsdage (CET).

Du bedes meddele Security-problemer med vores produkter, løsninger og onlinetjenester til:

Kontaktoplysninger for PSIRT

PGP-Public-Key

Tilføj følgende oplysninger til din meddelelse:

1. Anmelderens navn
2. Kontaktoplysninger (e-mail, telefon)
3. Firmanavn
4. Det pågældende produkts navn og varenummer (hvis det er relevant)
5. Firmware- og/eller softwareversion
6. Beskrivelse af det svage punkts virkning
7. Beskrivelse af, hvordan det svage punkt kan udnyttes (send os venligst ikke uopfordret nogen exploit-kode)
8. Henvisning om, hvorvidt det svage punkt allerede er blevet offentliggjort (af dig eller andre)

Vi offentliggør vores sikkerhedsanvisninger i CSAF-standardformat (Common Security Advisory Framework). Dette maskinlæsbare format gør det muligt for virksomheder at behandle sikkerhedsoplysninger automatisk og reagere hurtigere på potentielle svage punkter.

Common Security Advisory Framework (CSAF)

I samarbejde med andre partnere leverer vi også vores Security Advisories via platformen hos VDE CERT. På den måde sikrer vi maksimal gennemsigtighed og sikker, standardiseret kommunikation.                                                                                                                                                                             

CERT@VDE

1. Analyse:

Vores PSIRT undersøger det meddelte svage punkt og beder om nødvendigt
om yderligere oplysninger fra personen, som indgav meddelelsen. Bemærk venligst, at undersøgelsen afhængigt af det svage punkts kompleksitet og produkttype kan vare fra nogle dage til flere uger. Uafhængigt af dette giver vi personen, som indgav meddelelsen, den første tilbagemelding senest efter 15 arbejdsdage.

2. Definition af modforanstaltninger:

Afhængigt af hvor alvorligt det svage punkt er og om nødvendigt andre omgivende forhold, forberedes der opdateringer. I tilfælde af et alvorligt svagt punkt forbereder Pilz en Security Advisory. Under processen informerer vi løbende personen, som indgav meddelelsen, om status.

3. Offentliggørelse:

Den færdige Security Advisory og om nødvendigt tilhørende sikkerhedsopdateringer til den pågældende firmware eller software offentliggøres her og stilles til rådighed for alle kunder som download. For at kunne downloade skal du logge på med dit brugernavn. Hvis du endnu ikke har en profil, kan du registrere dig gratis her. Bemærk venligst, at sikkerhedsopdateringer, afhængigt af hvor alvorligt det svage punkt er, eventuelt kun frigives i forbindelse med den produkttypiske release-cyklus.

En Security Advisory er en henvisning til et identificeret sikkerhedshul i et af vores produkter. Den indeholder som regel følgende:

• en detaljeret beskrivelse af det svage punkt,
• en vurdering ud fra CVSS-scoren af, hvor kritisk det svage punkt er,
• en oversigt over de produkter, det drejer sig om, og deres versionsnumre,
• anbefalede modforanstaltninger til afhjælpning af det svage punkt,
• og evt. en anerkendelse af de personer eller organisationer, der har gjort os opmærksomme på problemet.