Đạo luật về Khả năng chống chịu trước các cuộc tấn công mạng của Liên minh châu Âu (CRA)
Báo cáo lỗ hổng bảo mật
Các thiết bị của chúng tôi bảo vệ con người tại những nơi nguy hiểm nhất mà họ từng phải làm việc. Điều này chỉ đúng khi các sản phẩm và hệ thống đằng sau chúng được đảm bảo an toàn. Nếu quý vị cho rằng đã phát hiện ra lỗ hổng bảo mật trong sản phẩm, phần cứng, phần mềm nhúng hoặc phần mềm của Crowcon, xin vui lòng thông báo ngay cho chúng tôi thông qua quy trình Tiết lộ Lỗ hổng Bảo mật Có phối hợp (CVD) dưới đây.
Quy trình này được xây dựng dựa trên Đạo luật về Khả năng chống chịu mạng của Liên minh Châu Âu (EU Cyber Resilience Act) và các tiêu chuẩn ngành về công bố và xử lý lỗ hổng bảo mật (ISO/IEC 29147 và 30111). Việc báo cáo giúp chúng tôi đảm bảo an toàn cho mọi khách hàng đang sử dụng thiết bị của chúng tôi, đồng thời giúp chúng tôi tuân thủ các nghĩa vụ theo luật pháp của Liên minh Châu Âu.
Cách báo cáo lỗ hổng bảo mật
Hãy điền vào mẫu đơn này với càng nhiều thông tin chi tiết càng tốt.
1. Xác định sản phẩm
- Tên sản phẩm và số model
- Số sê-ri sản phẩm (nếu có)
- Phiên bản firmware hoặc phần mềm
- Ngày mua (tùy chọn)
2. Chi tiết về lỗ hổng bảo mật
- Loại lỗ hổng bảo mật (ví dụ: tấn công chèn mã từ trang web khác, tràn bộ đệm, vượt qua xác thực, can thiệp vào phần mềm nhúng)
- Mô tả vấn đề
3. Tác động
- Bạn đánh giá rủi ro đó là gì?
- Cho dù hiện tại nó có đang bị khai thác hay không
4. Thông tin liên hệ của bạn
- Tên (không bắt buộc)
- Địa chỉ email
- Cách liên hệ với quý khách mà chúng tôi ưu tiên (không bắt buộc)
- Tên công ty
- Quốc gia
Xin vui lòng không công bố lỗ hổng bảo mật này ra công chúng cho đến khi chúng tôi có đủ thời gian hợp lý để khắc phục. Chúng tôi cam kết sẽ hợp tác với quý vị theo lộ trình tiêu chuẩn của CVD.
Chúng ta sẽ làm gì
- Chúng tôi sẽ xác nhận đã nhận được báo cáo của quý vị trong vòng 3 ngày làm việc.
- Hãy điều tra vấn đề này và ưu tiên khắc phục dựa trên mức độ nghiêm trọng.
- Chúng tôi sẽ liên tục cập nhật thông tin cho quý vị trong quá trình xử lý vấn đề này.
- Sẽ phối hợp với quý vị về thời điểm công bố thông tin ra công chúng ngay khi bản sửa lỗi đã sẵn sàng.
- Hãy đăng tải một thông báo hướng dẫn dành cho các khách hàng bị ảnh hưởng, nêu rõ những thay đổi và những việc họ cần thực hiện.
Nếu một lỗ hổng bảo mật đang bị khai thác tích cực, hoặc có liên quan đến một sự cố ảnh hưởng nghiêm trọng đến an ninh sản phẩm, Đạo luật Khả năng phục hồi mạng (Cyber Resilience Act) yêu cầu chúng tôi phải thông báo cho ENISA và CSIRT quốc gia có liên quan.