Het Product Security Incident Response Team (PSIRT) van Pilz

De Security-experts van het PSIRT van Pilz analyseren, beoordelen en behandelen potentiële kwetsbaarheden in de beveiliging alsmede Security-incidenten met betrekking tot producten en oplossingen van Pilz. Als een kwetsbaarheid is bevestigd, publiceert het PSIRT van Pilz Security Advisories met instructies voor het verhelpen van deze kwetsbaarheid.

Wij willen veiligheidsexperts, onafhankelijke onderzoekers, klanten en andere betrokkenen stimuleren om veiligheidsproblemen met onze producten en oplossingen aan ons te melden. Alleen zo kunnen wij verdere activiteiten samen bespreken en met elkaar afstemmen en de Security van onze producten en oplossingen verbeteren. Om onze klanten en niet-betrokkenen niet in gevaar te brengen, verzoeken wij om een gecoördineerde publicatie van kwetsbaarheden, waarbij ons PSIRT wordt betrokken.

De Security-specialisten van het PSIRT van Pilz behandelen en beoordelen alle meldingen over mogelijke Security-kwetsbaarheden in producten van Pilz. Als u vragen over de Security van onze producten of infrastructuur hebt of als u beveiligingslekken wilt melden, neemt u contact op met onze Security-experts van het PSIRT. Informeer het PSIRT in het Duits of Engels. Normaal gesproken ontvangt u binnen vier werkdagen (CET) een ontvangstbevestiging.

Geef Security-problemen met onze producten, oplossingen en online diensten door aan:

PSIRT contact

PGP-Public-Key

Voeg de volgende informatie toe aan uw melding:

1. Naam van de melder
2. Contactgegevens (e-mail, telefoon)
3. Bedrijfsnaam
4. Benaming en artikelnummer (indien van toepassing) van het betreffende product
5. Firmware- of softwareversie
6. Beschrijving van het effect van de kwetsbaarheid
7. Beschrijving van hoe de kwetsbaarheid kan worden misbruikt (stuur ons niet ongevraagd een exploitcode)
8. Informatie over de vraag of de kwetsbaarheid al is gepubliceerd (door u of een andere instantie)

We publiceren onze veiligheidsaanwijzingen in het CSAF-standaardformaat (Common Security Advisory Framework). Dit machineleesbare formaat stelt bedrijven in staat om veiligheidsinformatie automatisch te verwerken en sneller te reageren op mogelijke kwetsbaarheden.

Common Security Advisory Framework (CSAF)

In samenwerking met andere partners stellen we onze Security Advisories ook beschikbaar via het platform van VDE CERT. Op deze manier zorgen we voor maximale transparantie en veilige, gestandaardiseerde communicatie.                                                                                                                                                                             

CERT@VDE

1. Analyseren:

Ons PSIRT onderzoekt de gemelde kwetsbaarheid en zal de melder indien nodig om meer informatie vragen. Houd er rekening mee dat het onderzoek afhankelijk van de complexiteit van de kwetsbaarheid en het soort product enkele dagen tot weken kan duren. Los daarvan geven wij uiterlijk na 15 werkdagen een eerste reactie aan de melder.

2. Maatregelen definiëren:

afhankelijk van de ernst van de zwakke plek en evt. andere randvoorwaarden worden updates voorbereid. In het geval van een ernstige kwetsbaarheid bereidt Pilz een Security Advisory voor. Tijdens het proces informeren wij de melder regelmatig over de status.

3. Publiceren:

De voltooide Security Advisory en eventueel bijbehorende veiligheidsupdates van de betreffende firmware of software worden hier gepubliceerd en kunnen door elke klant worden gedownload. Voor het downloaden moet u inloggen met uw gebruikersnaam. Als u nog geen profiel hebt, kunt u zich hier gratis registreren. Let op: beveiligingsupdates worden afhankelijk van de ernst van een kwetsbaarheid eventueel alleen in het kader van de productspecifieke releasecyclus vrijgegeven.

Een Security Advisory is een indicatie van een geïdentificeerd beveiligingslek in een van onze producten. Hierbij gaat het meestal om:

• een gedetailleerde beschrijving van de kwetsbaarheid,
• een beoordeling van de ernst ervan op basis van de CVSS-score,
• een overzicht van de betreffende producten en het versienummer,
• aanbevolen maatregelen om de kwetsbaarheid op te lossen,
• en, indien van toepassing, erkenning van de personen of organisaties die het probleem onder onze aandacht hebben gebracht.