A equipe de resposta a incidentes de segurança do produto (Product Security Incident Response Team, PSIRT) da Pilz

Os especialistas em Security da PSIRT da Pilz analisam, avaliam e processam as possíveis vulnerabilidades de segurança bem como os acontecimentos de Security nos produtos e nas soluções da Pilz. Se a vulnerabilidade for confirmada, as Security Advisories da PSIRT da Pilz divulgarão a informação com as orientações para solucioná-la.

Dessa forma, queremos encorajar especialistas em segurança, pesquisadores independentes, clientes e outras pessoas a nos notificarem caso encontrem problemas de segurança nos nossos produtos e nas nossas soluções. Apenas assim é possível discutir outras atividades, coordená-las e aprimorar os produtos e as soluções de Security. Para não colocar em risco os nossos clientes nem as pessoas não envolvidas, solicitamos a publicação coordenada das vulnerabilidades considerando a nossa PSIRT.

Os especialistas em Security da PSIRT da Pilz processam e avaliam todas as mensagens sobre possíveis vulnerabilidades da Security nos produtos da Pilz. Se você tem perguntas sobre a Security dos nossos produtos ou da nossa infraestrutura, ou caso deseje notificar brechas de segurança, entre em contato com os nossos especialistas de Security da PSIRT. Comunique-se com a PSIRT em alemão ou inglês. Normalmente, você receberá uma confirmação de recebimento dentro de quatro dias úteis (CET).

Informe os problemas de Security dos nossos produtos, soluções e serviços online:

Contato PSIRT

PGP-Public-Key

Na sua mensagem, inclua sempre as seguintes informações:

1. Nome de quem notificou
2. Dados de contato (e-mail, telefone)
3. Nome da empresa
4. Nome e número do item (se aplicável) do produto afetado
5. Versão do firmware ou do software
6. Descrição do impacto da vulnerabilidade
7. Descrição de como a vulnerabilidade pode ser explorada (não nos envie nenhum Exploit-Code sem que isso seja solicitado)
8. Aviso se a vulnerabilidade já foi divulgada (por você ou outro órgão)

Publicamos nossas instruções de segurança no formato padrão CSAF (Common Security Advisory Framework). Esse formato legível por máquina permite que as empresas processem as informações de segurança automaticamente e reajam mais rapidamente a possíveis vulnerabilidades.

Common Security Advisory Framework (CSAF)

Em cooperação com outros parceiros, também fornecemos nossos Security Advisories por meio da plataforma VDE CERT. Dessa forma, garantimos a máxima transparência e uma comunicação segura e padronizada.                                                                                                                                                                             

CERT@VDE

1. Analisar:

Nossa equipe PSIRT examina a vulnerabilidade notificada e solicita
mais informações à pessoa informante, se necessário. Observe que, dependendo da complexidade da vulnerabilidade e do tipo do produto, esse exame pode demorar alguns dias ou até semanas. Independentemente disso, enviamos um retorno ao solicitante pela primeira vez em, no máximo, 15 dias úteis.

2. Definir as medidas:

As atualizações são preparadas dependendo da gravidade da vulnerabilidade e de possíveis outras restrições. No caso de uma vulnerabilidade grave, a Pilz prepara uma Security Advisory. Notificamos o solicitante regularmente sobre o estado durante o processo.

3. Publicar:

A Security Advisory pronta e as atualizações de segurança relacionadas aos firmware ou software afetados são publicados aqui e ficam disponíveis para download para todos os clientes. Para fazer o download, é preciso entrar com o seu nome de usuário. Se você ainda não tiver um perfil, registre-se gratuitamente aqui. Observe que, dependendo da gravidade da vulnerabilidade, é possível que as atualizações de segurança sejam liberadas somente no âmbito do ciclo de publicação típico do produto.

Uma Security Advisory é uma notificação sobre uma vulnerabilidade identificada em um de nossos produtos. Geralmente, isso inclui:

• uma descrição detalhada da vulnerabilidade,
• uma avaliação da criticidade de acordo com CVSS-Scores,
• uma visão geral dos produtos afetados, assim como números de versão,
• medidas recomendadas para a correção da vulnerabilidade,
• e, se for o caso, um reconhecimento das pessoas ou organizações que nos alertaram sobre o problema.