EU:n kyberkestävyyslaki (CRA)
Haavoittuvuuksien ilmoittaminen
Laitteemme suojaavat ihmisiä joissakin kaikkein vaarallisimmista työpaikoista, joissa he joutuvat työskentelemään. Tämä pätee kuitenkin vain, jos niiden taustalla olevat tuotteet ja järjestelmät ovat turvallisia. Jos epäilet löytäneesi tietoturva-aukon Crowconin tuotteessa, laitteistossa, laiteohjelmistossa tai ohjelmistossa, ilmoita siitä meille välittömästi alla kuvatun koordinoidun tietoturva-aukkojen ilmoitusmenettelyn (CVD) kautta.
Tämä prosessi perustuu EU:n kyberkestävyyslakiin sekä haavoittuvuuksien ilmoittamista ja käsittelyä koskeviin alan standardeihin (ISO/IEC 29147 ja 30111). Ilmoitukset auttavat meitä varmistamaan, että kaikki laitteitamme käyttävät asiakkaat voivat toimia turvallisesti, ja varmistavat, että noudatamme EU-lainsäädännön mukaisia velvoitteitamme.
Kuinka ilmoittaa tietoturva-aukosta
Täytä lomake mahdollisimman yksityiskohtaisesti.
1. Tuotteen tunnistetiedot
- Tuotteen nimi ja mallinumero
- Tuotteen sarjanumero (jos sellainen on)
- Laiteohjelmiston tai ohjelmiston versio
- Ostopäivä (valinnainen)
2. Haavoittuvuuden tiedot
- Haavoittuvuuden tyyppi (esimerkiksi: sivustojen välinen skriptaus, puskurin ylivuoto, todennuksen ohitus, laiteohjelmiston väärentäminen)
- Ongelman kuvaus
3. Vaikutus
- Mikä on mielestäsi riski?
- Riippumatta siitä, hyödynnetäänkö sitä tällä hetkellä
4. Yhteystietosi
- Nimi (valinnainen)
- Sähköpostiosoite
- Miten haluatte, että otamme teihin yhteyttä (valinnainen)
- Yrityksen nimi
- Maa
Älkää paljastako haavoittuvuutta julkisesti, ennen kuin meillä on ollut kohtuullisesti aikaa korjata se. Olemme sitoutuneet tekemään yhteistyötä kanssanne CVD-menettelyn vakiomenettelyn mukaisesti.
Mitä aiomme tehdä
- Vahvista vastaanottaneesi ilmoituksesi 3 työpäivän kuluessa.
- Tutki asiaa ja aseta korjaus tärkeysjärjestykseen vakavuuden perusteella.
- Pidämme sinut ajan tasalla, kun etenemme asiassa.
- Sovimme kanssasi julkistamisen ajankohdasta, kun korjaus on valmis.
- Julkaise asianomaisille asiakkaille tiedote, jossa kerrotaan, mitä on muuttunut ja mitä heidän tulee tehdä.
Jos haavoittuvuutta hyödynnetään aktiivisesti tai se liittyy tapahtumaan, joka vaikuttaa vakavasti tuotteen tietoturvaan, kyberkestävyyslain mukaan meidän on ilmoitettava asiasta ENISA:lle ja asianomaiselle kansalliselle CSIRT-yksikölle.