Συντονισμένη αποκάλυψη ευπαθειών (CVD)

Η Warmup παρέχει ένα χώρο όπου άτομα ή οργανισμοί μπορούν να γνωστοποιούν με υπεύθυνο τρόπο τυχόν ευπάθειες που έχουν εντοπίσει σε οποιοδήποτε προϊόν της Warmup που περιλαμβάνει ψηφιακά στοιχεία. Η πλήρης διαδικασία CVD περιγράφεται με διαφάνεια σε αυτή τη σελίδα, από τη στιγμή της αναφοράς έως την επίλυση της ευπάθειας, κατά τη διάρκεια της οποίας η Warmup εργάζεται για την ανάπτυξη μιας λύσης για την ευπάθεια. 

Στη Warmup εκτιμούμε τη χρήση μιας διαδικασίας Συντονισμένης Αποκάλυψης Ευπαθειών για τη βελτίωση της ασφάλειας των συσκευών μας. Η παρούσα Πολιτική Συντονισμένης Αποκάλυψης Ευπαθειών (CVD) περιγράφει τη δομημένη διαδικασία μας για την ασφαλή και αξιόπιστη αναφορά πιθανών ευπαθειών σε εμάς. 

Σημείωση: Οι αναφορές στο πλαίσιο της διαδικασίας CVD της Warmup πρέπει να εστιάζονται αποκλειστικά σε προϊόντα της Warmup που διαθέτουν ψηφιακά στοιχεία. 

Πεδίο εφαρμογής 

Προϊόντα της Warmup με ψηφιακά στοιχεία που εμπίπτουν στο πεδίο εφαρμογής του Νόμου για την Κυβερνοανθεκτικότητα (Cyber Resilience Act, CRA), στα οποία εφαρμόζεται η διαδικασία CVD «
»: 

Ορισμοί 

Προμηθευτής: Η Warmup, ο οργανισμός που δημιούργησε ή συντηρεί το προϊόν που παρουσιάζει ευπάθεια και θα λάβει μέτρα αποκατάστασης.  

Ανακαλύπτης: Άτομο ή οργανισμός που εντόπισε μια πιθανή ευπάθεια. 

Ενεργά εκμεταλλευόμενο κενό ασφαλείας: Ευπάθεια για την οποία υπάρχουν αξιόπιστα στοιχεία ότι κάποιος κακόβουλος δράστης την έχει εκμεταλλευτεί σε ένα σύστημα χωρίς την άδεια του ιδιοκτήτη του συστήματος. 

Περιστατικό: Περιστατικό που επηρεάζει αρνητικά ή είναι ικανό να επηρεάσει αρνητικά την ικανότητα ενός προϊόντος με ψηφιακά στοιχεία να προστατεύει τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευτικότητα των δεδομένων ή των λειτουργιών.  

Σοβαρό συμβάν: Ένα περιστατικό που επηρεάζει αρνητικά τη διαθεσιμότητα, την αυθεντικότητα, την ακεραιότητα ή την εμπιστευτικότητα ευαίσθητων ή σημαντικών δεδομένων ή λειτουργιών ή οδηγεί στην εισαγωγή κακόβουλου κώδικα. 

Διαδικασία CVD 

Αυτή η ενότητα περιγράφει τη διαδικασία CVD, από την υποβολή της αναφοράς ευπάθειας ή συμβάντος έως την επίλυσή της. 

1. Μόλις υποβληθεί μια έγκυρη αναφορά ευπάθειας από έναν Finder, ο Finder θα λάβει ένα email επιβεβαίωσης από την Warmup ότι η αναφορά του έχει παραληφθεί.  

1. Στη συνέχεια, η Warmup θα αξιολογήσει την αναφορά ευπάθειας. Η ευπάθεια αξιολογείται και, ανάλογα με την εγκυρότητά της, είτε γίνεται αποδεκτή είτε απορρίπτεται. Σε κάθε περίπτωση, ο «Ανακαλύπτης» ενημερώνεται. 

1. Εάν η αναφορά ευπάθειας αξιολογηθεί ως έγκυρη, η Warmup θα ξεκινήσει τις εργασίες για τη δημιουργία μιας λύσης. Η λύση προετοιμάζεται και υιοθετείται, και ο Finder ενημερώνεται μέσω email για το περιεχόμενο της λύσης και για το γεγονός ότι αυτή έχει εφαρμοστεί. 

1. Η Warmup στοχεύει στην επίλυση όλων των έγκυρων ευπαθειών εντός 90 ημερών από την αναφορά τους, αν και για περίπλοκες διορθώσεις μπορεί να χρειαστεί περισσότερος χρόνος. 

Νομική γνωστοποίηση CVD 

Δεδομένου ότι η Διαδικασία Συντονισμένης Αποκάλυψης Ευπαθειών (CVD) της Warmup έχει σχεδιαστεί προς όφελος της ασφάλειας των προϊόντων της Warmup, η Warmup δεν εγγυάται ούτε αναλαμβάνει καμία ευθύνη για τις υποχρεώσεις της παρούσας διαδικασίας, ή για τα αποτελέσματα της «Επίλυσης Ευπαθειών», καθώς και για οποιεσδήποτε άλλες δραστηριότητες ή ορόσημα που ορίζονται από την Warmup. Κάθε δικαιούχος της παρούσας δραστηριότητας θα συμμετάσχει στην παρούσα προσφορά χωρίς να βασίζεται σε οποιαδήποτε δήλωση ή/και εγγύηση των άλλων μερών και όλες οι εν λόγω δηλώσεις ή/και εγγυήσεις αποκλείονται, στο μέγιστο βαθμό που επιτρέπεται από την ισχύουσα νομοθεσία. 

Η ευπάθεια θα αντιμετωπιστεί σύμφωνα με τη Διαδικασία CVD της Warmup. Οι αναφορές στο πλαίσιο της Διαδικασίας CVD της Warmup πρέπει να εστιάζονται αποκλειστικά σε προϊόντα της Warmup που περιλαμβάνουν ψηφιακά στοιχεία. Αναφορές εκτός αυτού του πεδίου εφαρμογής δεν θα εξετάζονται από την Warmup.  

Οι γνωστοποιήσεις στη διαδικασία CVD της Warmup δεν συνεπάγονται καμία οικονομική αποζημίωση για τον «Finder». 

Ευθύνες του Finder 

Κατά την υποβολή αναφοράς ευπάθειας, ο «Ανακαλύπτης» (άτομο ή οργανισμός που εντόπισε μια πιθανή ευπάθεια) δεσμεύεται: 

• Να κοινοποιεί τα ευρήματά του στη Warmup αποκλειστικά μέσω της φόρμας αναφοράς ευπάθειας. 

• Να παρέχει απόδειξη εγκυρότητας (Proof-of-Concept) και/ή επαρκείς πληροφορίες που να επιτρέπουν την αναπαραγωγή της ευπάθειας. Αυτό επιτρέπει την επαλήθευση της αναφοράς ευπάθειας και τη διατύπωση προτάσεων για πιθανές διορθώσεις. 

• Να υποβάλλει ευπάθειες που αφορούν αποκλειστικά προϊόντα της Warmup με ψηφιακά στοιχεία. 

Η Warmup ζητά επίσης από τον «Ανακαλύπτη» να δεσμευτεί να μην αποκαλύψει την ευπάθεια σε τρίτους έως ότου επιλυθεί από την Warmup, να μην εκμεταλλευτεί την ευπάθεια πέραν του ελάχιστου απαραίτητου για την επίδειξή της στην Warmup και να μην αξιοποιήσει την ευπάθεια για οικονομικό όφελος. Στο μέτρο του δυνατού, οι εν λόγω επιλύσεις θα πραγματοποιηθούν εντός 90 ημερών, εφόσον η ευπάθεια έχει αξιολογηθεί ως έγκυρη, σύμφωνα με τα χρονοδιαγράμματα της διαδικασίας CVD της Warmup. 

Ευθύνες της Warmup 

Η Warmup θα: 

• Να χειρίζεται τις υποβαλλόμενες αναφορές με εμπιστευτικότητα. Η Warmup δεν θα κοινοποιήσει τα στοιχεία του Ανακαλύπτη σε τρίτους χωρίς την εξουσιοδότησή του. Ωστόσο, εάν η ευπάθεια αποτελεί ευπάθεια που εκμεταλλεύεται ενεργά ή σοβαρό περιστατικό, είμαστε υποχρεωμένοι βάσει του CRA να την αναφέρουμε στις αρμόδιες εθνικές αρχές της ΕΕ (π.χ. ENISA, CSIRTs) εντός 24 ωρών από τη στιγμή που θα λάβουμε γνώση της. 

• Να δέχεται αναφορές από ανώνυμους Ανακαλύπτες. Ωστόσο, οι Ανακαλύπτες που συμμετέχουν ανώνυμα αποδέχονται ότι η Warmup ενδέχεται να μην είναι σε θέση να επικοινωνήσει μαζί τους σχετικά με θέματα που αφορούν, μεταξύ άλλων: την ευπάθεια, την πρόοδο προς την επίλυση της ευπάθειας, τη δημοσιοποίηση της ευπάθειας. 

• Να επιβεβαιώνουμε την αναφορά ευπάθειας που υποβάλλεται από τον ανακαλύπτη εντός 7 ημερών από την υποβολή της, εφόσον ο ανακαλύπτης δεν είναι ανώνυμος. 

• Να ενημερώνει τον «Ανακαλύπτη» για την πρόοδο καθ’ όλη τη διάρκεια της διαδικασίας, εκτός εάν αυτό δεν είναι δυνατό λόγω της ανωνυμίας του «Ανακαλύπτη». 

• Στοχεύουμε στην επίλυση έγκυρων ευπαθειών εντός 90 ημερών. Ωστόσο, ενδέχεται να υπάρχουν περιπτώσεις όπου η ταχεία επίλυση ή οποιαδήποτε επίλυση δεν αποτελεί εφικτή επιλογή, για διάφορους λόγους. 

Αναφορά ευπάθειας

Πώς να αναφέρετε μια ευπάθεια (Ενιαίο Σημείο Επικοινωνίας) Για να διασφαλίσουμε ότι μπορείτε να επικοινωνείτε μαζί μας άμεσα και γρήγορα, η Warmup έχει δημιουργήσει ένα ειδικό Ενιαίο Σημείο Επικοινωνίας (SPOC). Αυτό το κανάλι διαχειρίζεται ο Διευθυντής Επικοινωνίας μας και η εσωτερική ομάδα αξιολόγησης. 

Εάν πιστεύετε ότι έχετε εντοπίσει μια ευπάθεια ασφαλείας σε κάποιο προϊόν ή υπηρεσία της Warmup, παρακαλούμε επικοινωνήστε μαζί μας αμέσως μέσω: 

• Ηλεκτρονική φόρμα 

• Ηλεκτρονικό ταχυδρομείο: smartdevices@warmup.com; technicaloperations@warmup.com 

ΣΗΜΕΙΩΣΗ: Συνιστούμε τη χρήση της ηλεκτρονικής φόρμας, καθώς περιέχει πεδία για όλες τις σχετικές πληροφορίες που χρειαζόμαστε. 

Εάν προτιμάτε, μπορείτε επίσης να μας αναφέρετε ευπάθειες έμμεσα ή ανώνυμα, μέσω της εθνικής σας Ομάδας Αντιμετώπισης Περιστατικών Ασφάλειας Υπολογιστών (CSIRT) 

CERT-Bund
www.bsi.bund.de
certbund@bsi.bund.de