PSIRT (Pilz Product Security Incident Response Team)

Security-experterna i Pilz PSIRT analyserar, bedömer och hanterar potentiella svaga punkter i fråga om säkerhet och security-incidenter som rör produkter och lösningar från Pilz. Om en svag punkt kan bekräftas publicerar Pilz PSIRT Security Advisories med anvisningar om hur den svaga punkten kan åtgärdas.

Vi vill uppmuntra säkerhetsexperter, oberoende forskare, kunder och andra aktörer att rapportera säkerhetsproblem hos våra produkter och lösningar. Då kan vi diskutera hur vi ska gå vidare, stämma av arbetet och förbättra security för våra produkter och lösningar. För att undvika risker för våra kunder och andra parter vill vi att svaga punkter ska publiceras på ett koordinerat sätt genom vårt PSIRT.

Security-specialisterna i Pilz PSIRT hanterar och utvärderar alla rapporter om möjliga svaga punkter i fråga om security i Pilz produkter. Om du har frågor om security som rör våra produkter eller vår infrastruktur, eller vill rapportera säkerhetsbrister, kan du kontakta våra security-experter i PSIRT. Skriv ditt meddelande till PSIRT på tyska eller engelska. En bekräftelse om att vi tagit emot det kommer i regel inom fyra arbetsdagar (svensk tid).

Rapportera security-problem med våra produkter, lösningar och onlinetjänster till:

PSIRT-kontakt

PGP-Public-Key

Bifoga följande information i din rapport:

1. Namnet på den som rapporterar
2. Kontaktuppgifter (e-postadress, telefonnummer)
3. Företagsnamn
4. Beteckning och artikelnummer för den (i tillämpliga fall) berörda produkten
5. Firmware- respektive programvaruversion
6. En beskrivning av den svaga punktens påverkan
7. En beskrivning av hur den svaga punkten kan utnyttjas (skicka inte någon Exploit-Code till oss på eget bevåg)
8. Information om huruvida den svaga punkten redan har publicerats (av dig eller någon annan)

Vi publicerar våra säkerhetsmeddelanden i standardformatet CSAF (Common Security Advisory Framework). Det maskinläsbara formatet gör det möjligt för företag att bearbeta säkerhetsinformation automatiskt och reagera snabbare på potentiella sårbarheter.

Common Security Advisory Framework (CSAF)

I samarbete med andra partner publicerar vi även våra Security Advisories på plattformet VDE CERT. På så sätt säkerställer vi maximal transparens och en standardiserad kommunikation med hög säkerhet.                                                                                                                                                                             

CERT@VDE

1. Analysera:

PSIRT undersöker den svaga punkten som anmälts och begär vid behov
mer information från rapportören. Observera att undersökningen kan ta från några dagar till flera veckor, beroende på hur komplex den svaga punkten är samt den berörda produkttypen. Oavsett detta skickar vi det första svaret till rapportören senast 15 arbetsdagar efter den första återkopplingen.

2. Definition av åtgärder:

Beroende på hur allvarlig den svaga punkten är och eventuella andra randvillkor tar vi fram uppdateringar. Vid en mycket allvarlig svag punkt tar Pilz fram en Security Advisory. Under processen informerar vi regelbundet rapportören om statusen.

3. Publicering:

När en Security Advisory är färdig publiceras den här, tillsammans med eventuella tillhörande säkerhetsuppdateringar som berör firmware, och blir tillgänglig för alla kunder att ladda ner. För att ladda ner material måste du logga in med ditt användarnamn. Om du inte har någon profil ännu kan du registrera dig kostnadsfritt här. Observera att beroende på hur allvarlig den svaga punkten är kan säkerhetsuppdateringar i förekommande fall endast publiceras som en del av produktens utgivningscykel.

En Security Advisory innehåller information om en identifierad säkerhetsbrist i en av våra produkter. Den innehåller i regel:

• en detaljerad beskrivning av den svaga punkten
• en bedömning av hur kritisk den svaga punkten är med hjälp av en CVSS-score
• en översikt över den berörda produkten och dess versionsnummer
• rekommenderade åtgärder för att åtgärda den svaga punkten
• och eventuellt ett erkännande av de personer eller den organisation som uppmärksammade oss om problemet.