Segurança

Declaração da Cozyla sobre a divulgação coordenada de vulnerabilidades

Última atualização: 28 ago. 2024

A Cozyla está empenhada em garantir a segurança dos clientes que utilizam os nossos produtos e serviços.

 

Estratégia de segurança

Uma vez que as informações sobre vulnerabilidades são relativamente sensíveis, recomendamos vivamente que, ao comunicar uma potencial vulnerabilidade de segurança à Cozyla, utilize a nossa chave pública PGP para encriptar e enviar os detalhes técnicos.

 

Ficheiro da chave pública PGP da Cozyla

  1. Utilize a nossa chave pública PGP para encriptar quaisquer mensagens de e-mail que nos envie para security@cozyla.com.
  2. Forneça-nos os seus dados de contacto, incluindo a organização e o nome do contacto, para que possamos entrar em contacto consigo.
  3. Forneça uma descrição técnica do problema ou da vulnerabilidade.

Forneça informações sobre o produto específico que testou, incluindo o nome do produto e o número da versão.

  1. Para nos ajudar a verificar o problema, forneça quaisquer informações adicionais, incluindo detalhes sobre as ferramentas utilizadas para realizar os testes e quaisquer configurações de teste relevantes.

 

Estratégia de atualização da manutenção do software

Quando for identificada uma vulnerabilidade, atualizar o firmware da seguinte forma:

  1. Vulnerabilidades identificadas por utilizadores, etc.
  2. Verificar a vulnerabilidade comunicada.
  3. Desenvolver uma resolução com o gestor de tecnologia de segurança e o engenheiro de software.
  4. Realizar testes de QA/validação da resolução.
  5. Se for necessária a autenticação da Google, os componentes relevantes serão enviados para um laboratório de certificação de terceiros autorizado pela Google para testes e aprovação.
  6. Disponibilizar a resolução por OTA.

 

Tempo de resposta

Após a receção de um relatório de vulnerabilidade, confirmaremos a sua receção e enviaremos uma notificação de resposta no prazo aproximado de 7 dias úteis. Esta incluirá a confirmação do problema e quaisquer comentários iniciais. As atualizações sobre o progresso do desenvolvimento e da implementação da correção serão comunicadas por e-mail com a maior brevidade possível.

Assim que uma vulnerabilidade for confirmada, divulgaremos informações detalhadas sobre o problema e a respetiva solução de acordo com o seguinte calendário:

1. As vulnerabilidades críticas devem ser corrigidas no prazo de 30 dias;
2. As vulnerabilidades altas devem ser corrigidas no prazo de 60 dias;
3. As vulnerabilidades médias devem ser corrigidas no prazo de 90 dias;
4. As vulnerabilidades baixas devem ser corrigidas no prazo de mais dias.

 

Notas

Os nossos produtos recebem atualizações de segurança regulares para garantir uma proteção contínua. O período de suporte predefinido para atualizações de segurança termina um ano após o produto atingir o fim de vida útil (EOL), o que ocorre 3 anos após a data de fabrico do produto data de fabrico. A A data de fabrico pode ser encontrada na embalagem do produto.

 

Plano de resposta a incidentes de segurança

Se ocorrer um incidente de segurança, este deve ser tratado como uma prioridade máxima e urgente. O CEO e o CTO devem ser informados do incidente e participar na sua gestão. Se o incidente estiver relacionado com a manutenção de software, será tratado de acordo com o processo da «Estratégia de atualização da manutenção de software» nesta página. Deve ser realizada uma reunião de imediato. A reunião deve recolher informações, esclarecer as circunstâncias do incidente e estimar os prazos para a sua resolução.

 

Aviso

Caso decida partilhar alguma informação com a Cozyla, concorda que as informações que enviar serão consideradas não proprietárias e não confidenciais e que a Cozyla poderá utilizá-las de qualquer forma, na totalidade ou em parte, sem qualquer restrição. Além disso, concorda que o envio de informações não lhe confere quaisquer direitos nem cria qualquer obrigação para a Cozyla.