Bezpieczeństwo

Oświadczenie Cozyla dotyczące skoordynowanego ujawniania podatności

Ostatnia aktualizacja: 28 sierpnia 2024

Cozyla dokłada wszelkich starań, aby zapewnić bezpieczeństwo klientom korzystającym z jej produktów i usług.

 

Strategia bezpieczeństwa

Ponieważ informacje o podatnościach są dość wrażliwe, zdecydowanie zalecamy użycie naszego publicznego klucza PGP do szyfrowania i przesłania szczegółów technicznych podczas zgłaszania Cozyla potencjalnej podatności związanej z bezpieczeństwem.

 

Plik z kluczem publicznym PGP Cozyla

  1. Zaszyfruj wiadomości e-mail wysyłane na adres security@cozyla.com za pomocą naszego klucza publicznego PGP.
  2. Podaj nam wystarczające dane kontaktowe, takie jak nazwa organizacji i imię i nazwisko osoby kontaktowej, abyśmy mogli się z Tobą skontaktować.
  3. Przedstaw techniczny opis problemu lub podatności.

Podaj informacje o konkretnym testowanym produkcie, w tym jego nazwę i numer wersji.

  1. Aby pomóc nam zweryfikować problem, podaj dodatkowe informacje, w tym szczegóły dotyczące narzędzi użytych do przeprowadzenia testów oraz wszelkie istotne konfiguracje testowe.

 

Strategia aktualizacji serwisowych oprogramowania

Po zidentyfikowaniu podatności zaktualizuj oprogramowanie układowe w następujący sposób:

  1. Podatności zidentyfikowane przez użytkowników itp.
  2. Zweryfikuj zgłoszoną podatność.
  3. Opracowanie rozwiązania przez menedżera ds. technologii bezpieczeństwa i inżyniera oprogramowania.
  4. Przeprowadź testy kontroli jakości i walidacji rozwiązania.
  5. Jeśli wymagane jest uwierzytelnianie Google, odpowiednie komponenty zostaną przekazane do autoryzowanego laboratorium certyfikacyjnego Google w celu przeprowadzenia testów i uzyskania zatwierdzenia.
  6. Dostarcz rozwiązanie przez OTA.

 

Czas odpowiedzi

Po otrzymaniu zgłoszenia podatności potwierdzimy jego otrzymanie i prześlemy odpowiedź w ciągu około 7 dni roboczych. Obejmuje to potwierdzenie problemu i wstępne uwagi. Informacje o postępach w opracowywaniu i wdrażaniu poprawki będziemy przekazywać e-mailem tak szybko, jak to możliwe.

Po zweryfikowaniu luki ujawnimy szczegółowe informacje na temat problemu i sposobu jego rozwiązania zgodnie z następującym harmonogramem:

1. Luki krytyczne należy usunąć w ciągu 30 dni;
2. Luki o wysokim poziomie zagrożenia należy usunąć w ciągu 60 dni;
3. Luki o średnim poziomie zagrożenia należy usunąć w ciągu 90 dni;
4. Luki o niskim poziomie zagrożenia należy usunąć w ciągu większej liczby dni.

 

Uwagi

Nasze produkty otrzymują regularne aktualizacje zabezpieczeń, aby zapewnić ciągłą ochronę. Z góry określony okres wsparcia aktualizacjami zabezpieczeń kończy się rok po zakończeniu cyklu życia produktu (EOL), które następuje 3 lata po dacie produkcji produktu. datę produkcji. Produktu datę produkcji można znaleźć na opakowaniu produktu.

 

Plan reagowania na incydenty bezpieczeństwa

W przypadku wystąpienia incydentu bezpieczeństwa należy potraktować go jako sprawę najwyższej i pilnej wagi. CEO i CTO muszą zostać poinformowani o incydencie i uczestniczyć w jego obsłudze. Jeśli incydent dotyczy problemu związanego z konserwacją oprogramowania, zostanie on obsłużony zgodnie z procesem opisanym na tej stronie w sekcji „Strategia aktualizacji konserwacyjnych oprogramowania”. Należy niezwłocznie zorganizować spotkanie. Podczas spotkania należy zebrać informacje, wyjaśnić okoliczności incydentu oraz oszacować harmonogram jego usunięcia.

 

Uwaga

Jeśli zdecydujesz się udostępnić Cozyla jakiekolwiek informacje, zgadzasz się, że przekazane przez Ciebie informacje będą uznawane za niezastrzeżone i niepoufne oraz że Cozyla może wykorzystywać je w dowolny sposób, w całości lub w części, bez żadnych ograniczeń. Ponadto zgadzasz się, że przekazanie informacji nie tworzy żadnych praw po Twojej stronie ani żadnych zobowiązań po stronie Cozyla.