Сигурност

Декларация на Cozyla за координирано разкриване на уязвимости

Последна актуализация: 28 авг. 2024 г.

Cozyla се ангажира да гарантира сигурността на клиентите, които използват нашите продукти и услуги.

 

Стратегия за сигурност

Тъй като информацията за уязвимости е сравнително чувствителна, настоятелно препоръчваме при съобщаване на Cozyla за потенциална уязвимост в сигурността да използвате нашия публичен PGP ключ за шифроване и да изпратите техническите подробности.

 

Файл с публичния PGP ключ на Cozyla

  1. Използвайте нашия публичен PGP ключ, за да шифровате всички имейли, изпращани до нас на адрес security@cozyla.com.
  2. Предоставете достатъчно информация за връзка с вас, например организацията ви и име за контакт, за да можем да се свържем с вас.
  3. Предоставете техническо описание на проблема или уязвимостта.

Предоставете информация за конкретния тестван продукт, включително името и номера на версията му.

  1. За да ни помогнете да проверим проблема, предоставете допълнителна информация, включително подробности за инструментите, използвани при тестването, и съответните тестови конфигурации.

 

Стратегия за поддръжка на софтуера

При установяване на уязвимост актуализирайте фърмуера, както следва:

  1. Уязвимости, установени от потребители и др.
  2. Проверка на докладваната уязвимост.
  3. Работа по корекцията от мениджъра по технологии за сигурност и софтуерния инженер.
  4. Извършване на QA/тестове за валидиране на корекцията.
  5. Ако е необходима автентикация с Google, съответните компоненти ще бъдат изпратени в упълномощена от Google независима сертификационна лаборатория за изпитване и одобрение.
  6. Предоставяне на корекцията чрез OTA.

 

Време за отговор

След като получим сигнал за уязвимост, ще потвърдим получаването му и ще изпратим известие с отговор в рамките на приблизително 7 работни дни. То включва потвърждение на проблема и първоначална обратна връзка. Ще ви информираме по имейл за напредъка по разработването и внедряването на корекцията възможно най-скоро.

След потвърждаване на уязвимост ще оповестим подробна информация за проблема и съответното му отстраняване в следните срокове:

1. Критичните уязвимости трябва да бъдат отстранени в рамките на 30 дни;
2. Уязвимостите с висока степен на сериозност трябва да бъдат отстранени в рамките на 60 дни;
3. Уязвимостите със средна степен на сериозност трябва да бъдат отстранени в рамките на 90 дни;
4. Уязвимостите с ниска степен на сериозност трябва да бъдат отстранени в рамките на повече дни.

 

Бележки

Нашите продукти получават редовни актуализации на сигурността, за да осигуряват непрекъсната защита. Предварително определеният период за поддръжка на актуализациите на сигурността изтича една година след края на жизнения цикъл на продукта (EOL), който настъпва 3 години след датата на производство на продукта. датата на производство. Продуктът датата на производство може да се види върху опаковката на продукта.

 

План за реакция при инциденти със сигурността

При възникване на инцидент със сигурността той трябва да се третира като спешен случай с най-висок приоритет. Изпълнителният директор и техническият директор трябва да бъдат уведомени за инцидента и да участват в обработването му. Ако инцидентът е свързан с поддръжката на софтуера, той ще бъде обработен съгласно процеса, описан в раздела „Стратегия за актуализации на софтуерната поддръжка“ на тази страница. Незабавно трябва да се проведе среща. На срещата трябва да се събере информация, да се изясни ситуацията около инцидента и да се определят прогнозните срокове за отстраняването му.

 

Известие

Ако решите да споделите информация с Cozyla, се съгласявате, че подадената от вас информация ще се счита за непатентована и поверителна и че Cozyla може да я използва по всякакъв начин, изцяло или частично, без никакви ограничения. Освен това се съгласявате, че подаването на информация не ви предоставя никакви права и не създава никакви задължения за Cozyla.