Zespół reagowania na incydenty związane z bezpieczeństwem produktów Pilz (PSIRT)

Eksperci ds. bezpieczeństwa z zespołu PSIRT analizują i oceniają potencjalne słabe punkty oraz incydenty związane z bezpieczeństwem produktów i rozwiązań firmy Pilz, a także zarządzają nimi. Gdy wykrycie luki bezpieczeństwa zostanie potwierdzone, firma Pilz publikuje notę bezpieczeństwa z uwagami, jak wyeliminować problem.

Chcemy zachęcić ekspertów ds. bezpieczeństwa, niezależnych badaczy, klientów i inne strony do zgłaszania nam wszelkich problemów związanych z bezpieczeństwem naszych produktów i rozwiązań. Tylko w ten sposób możemy wspólnie omawiać dalsze działania, koordynować je i poprawiać bezpieczeństwo naszych produktów i rozwiązań. Aby zagwarantować bezpieczeństwo u naszych klientów i wszelkich niepowiązanych stron trzecich prosimy o skoordynowaną publikację luk bezpieczeństwa i zaangażowanie naszego zespołu PSIRT.

Specjaliści z zespołu PSIRT zapoznają się z każdym zgłoszeniem dotyczącym luk w zabezpieczeniach produktów i dokonują jego oceny. W razie jakichkolwiek pytań dotyczących bezpieczeństwa naszych produktów lub infrastruktury lub w celu zgłoszenia luk w zabezpieczeniach prosimy o kontakt z naszymi pracownikami. Komunikacja z PSIRT odbywa się w języku niemieckim lub angielskim. Potwierdzenie otrzymania zgłoszenia zostanie przekazane zazwyczaj w ciągu czterech dni roboczych (CET).

Prosimy o zgłaszanie wszelkich problemów związanych z bezpieczeństwem naszych produktów, rozwiązań i usług online do:

Zespół PSIRT

Klucz publiczny PGP

Prosimy o podanie w zgłoszeniu następujących informacji:

1. Imię i nazwisko osoby dokonującej zgłoszenia
2. Dane kontaktowe (e-mail, telefon)
3. Nazwa firmy
4. Nazwa i numer artykułu (jeśli jest dostępny) produktu, którego dotyczy problem
5. Wersja oprogramowania
6. Opis skutków istnienia słabego punktu
7. Wskazanie możliwego sposobu wykorzystania luki bezpieczeństwa (nie należy przesyłać kodu Exploit bez naszej zgody)
8. Informacja, czy luką bezpieczeństwa została już opublikowana (przez samego zgłaszającego lub kogoś innego)

Publikujemy nasze noty bezpieczeństwa (ostrzeżenia o lukach w zabezpieczeniach) w standardowym formacie CSAF (Common Security Advisory Framework). Ten nadający się do odczytu maszynowego format umożliwia firmom automatyczne przetwarzanie informacji dotyczących bezpieczeństwa i szybszego reagowanie na potencjalne luki w zabezpieczeniach.

Common Security Advisory Framework (CSAF)

We współpracy z innymi partnerami udostępniamy również nasze Noty bezpieczeństwa za pośrednictwem platformy CERT VDE. W ten sposób zapewniamy maksymalną przejrzystość i bezpieczną, ustandaryzowaną komunikację.                                                                                                                                                                             

CERT@VDE

1. Analiza:

Nasz zespół PSIRT bada każdą zgłoszoną lukę bezpieczeństwa, a w razie potrzeby
zwraca się do zgłaszającego o dodatkowe informacje. Należy pamiętać, że badanie może trwać od kilku dni do kilku tygodni w zależności od stopnia złożoności problemu i rodzaju produktu. Niemniej jednak, informację zwrotną dotycząca rozwiązania przekażemy zgłaszającemu najpóźniej po 15 dniach roboczych.

2. Określenie środków:

W zależności od powagi problemu i (w stosownych przypadkach) innych warunków brzegowych, zostaną przygotowywane aktualizacje. W przypadku poważnego problemu związanego z luką bezpieczeństwa firma Pilz przygotuje notę bezpieczeństwa. W trakcie tego procesu regularnie informujemy zgłaszającego o statusie sprawy.

3. Publikacja:

Ostateczna nota bezpieczeństwa i wszelkie związane z nią poprawki bezpieczeństwa oprogramowania sprzętowego zostaną opublikowane tutaj i będą dostępne do pobrania dla każdego klienta. Aby je pobrać, należy się zalogować. Jeśli nie posiadasz jeszcze konta, możesz zarejestrować się tutaj bezpłatnie. Należy pamiętać, że w zależności od powagi problemu związanego z luką bezpieczeństwa poprawki bezpieczeństwa mogą być wydawane wyłącznie w ramach typowego cyklu produktu.

Nota bezpieczeństwa to informacja o stwierdzonej luce w zabezpieczeniach naszego produktu. Obejmuje ona zwykle:

• szczegółowy opis luki bezpieczeństwa,
• ocenę jego powagi na podstawie wskaźnika CVSS,
• przegląd produktów, których problem dotyczy, wraz z numerami wersji,
• zalecane środki mające na celu usunięcie luki bezpieczeństwa
• oraz (w stosownych przypadkach) wskazanie nazwisk osób lub nazw organizacji, które zgłosiły problem.