Divulgação Coordenada de Vulnerabilidades (CVD)
A Warmup disponibiliza um espaço para que indivíduos ou organizações divulguem de forma responsável uma vulnerabilidade que tenham encontrado em qualquer produto da Warmup com elementos digitais. O processo completo de CVD é descrito de forma transparente nesta página, desde o momento da notificação até à resolução da vulnerabilidade, durante o qual a Warmup trabalha para desenvolver uma solução para a mesma.
Na Warmup, valorizamos a utilização de um processo de Divulgação Coordenada de Vulnerabilidades para melhorar a segurança dos nossos dispositivos. Esta Política de Divulgação Coordenada de Vulnerabilidades (CVD) descreve o nosso processo estruturado para nos comunicar potenciais vulnerabilidades de forma segura e protegida.
Nota: As comunicações ao Processo CVD da Warmup devem centrar-se exclusivamente em produtos da Warmup com elementos digitais.
Âmbito
Produtos da Warmup com elementos digitais abrangidos pela Lei de Resiliência Cibernética (CRA), aos quais se aplica o nosso processo de CVD:
|
Produtos Conectados |
Serviços relacionados |
|
Warmup 7iE |
Aplicação MyHeating |
|
Warmup Element |
Portal MyWarmup |
|
Warmup 6iE mini |
Servidor |
Definições
Fornecedor: Warmup, a organização que criou ou mantém o produto vulnerável e que tomará medidas de correção.
Descobridor: Indivíduo ou organização que identificou uma potencial vulnerabilidade.
Vulnerabilidade ativamente explorada: Uma vulnerabilidade para a qual existem provas fiáveis de que um agente malicioso a explorou num sistema sem a autorização do proprietário do sistema.
Incidente: Um incidente que afeta negativamente ou é suscetível de afetar negativamente a capacidade de um produto com elementos digitais de proteger a disponibilidade, autenticidade, integridade ou confidencialidade de dados ou funções.
Incidente grave: Um incidente que afeta negativamente a disponibilidade, autenticidade, integridade ou confidencialidade de dados ou funções sensíveis ou importantes, ou que conduz à introdução de código malicioso.
Processo CVD
Esta secção descreve o processo CVD, desde o envio do relatório de vulnerabilidade ou incidente até à sua resolução.
- Assim que um relatório de vulnerabilidade válido for enviado por um Descobridor, este receberá um e-mail de confirmação da Warmup a informar que o seu relatório foi recebido.
- Em seguida, a Warmup avaliará o relatório de vulnerabilidade. A vulnerabilidade é avaliada e, consoante a sua validade, é aceite ou rejeitada. Em qualquer dos casos, o Descobridor é notificado.
- Se o relatório de vulnerabilidade for considerado válido, a Warmup dará início aos trabalhos para criar uma solução. A solução é preparada e adotada, e o Descobridor é informado por e-mail sobre o conteúdo da solução e de que esta foi implementada.
- A Warmup tem como objetivo resolver todas as vulnerabilidades válidas no prazo de 90 dias após a sua comunicação, embora possa demorar mais tempo no caso de correções complexas.
Aviso Legal do CVD
Uma vez que o Processo de Divulgação Coordenada de Vulnerabilidades (CVD) da Warmup foi concebido para beneficiar a segurança dos produtos da Warmup, a Warmup não garante nem assume qualquer responsabilidade pelas obrigações decorrentes deste processo, nem pelos resultados da «Resolução de Vulnerabilidades», nem por quaisquer outras atividades ou marcos estabelecidos pela Warmup. Cada beneficiário desta atividade participará nesta iniciativa sem se basear em qualquer declaração e/ou garantia das outras partes, sendo que todas essas declarações e/ou garantias são, na medida máxima permitida pela legislação aplicável, por este meio excluídas.
A vulnerabilidade será tratada de acordo com o Processo CVD da Warmup. As comunicações ao Processo CVD da Warmup devem centrar-se exclusivamente nos produtos da Warmup que incluam elementos digitais. As comunicações fora deste âmbito não serão tratadas pela Warmup.
As comunicações ao Processo CVD da Warmup não geram qualquer compensação financeira para o Descobridor.
Responsabilidades do Descobridor
Ao enviar um relatório de vulnerabilidade, o Descobridor (pessoa ou organização que tenha encontrado uma potencial vulnerabilidade) compromete-se a:
- Partilhar as descobertas com a Warmup apenas através do formulário de relatório de vulnerabilidade.
- Fornecer uma Prova de Conceito e/ou informações suficientes para permitir a reprodução da vulnerabilidade. Isto permite que o relatório de vulnerabilidade seja verificado e que sejam propostas possíveis correções.
- Enviar vulnerabilidades relativas apenas a produtos da Warmup com elementos digitais.
A Warmup solicita também que o Descobridor se comprometa a não divulgar a vulnerabilidade a outras pessoas até que esta tenha sido resolvida pela Warmup, a não utilizar a vulnerabilidade para fins de exploração para além do mínimo necessário para demonstrar a vulnerabilidade à Warmup e a não tirar partido da vulnerabilidade para obter ganhos financeiros. Na medida do possível, estas resoluções ocorrerão no prazo de 90 dias, uma vez que a vulnerabilidade tenha sido avaliada como válida, de acordo com os prazos do processo CVD da Warmup.
Responsabilidades da Warmup
A Warmup irá:
- Tratar os relatórios enviados de forma confidencial. A Warmup não partilhará os dados do Descobridor com terceiros sem a autorização deste. No entanto, se a vulnerabilidade constituir uma vulnerabilidade ativamente explorada ou um incidente grave, somos obrigados, ao abrigo da CRA, a comunicá-la às autoridades nacionais relevantes da UE (por exemplo, ENISA, CSIRTs) no prazo de 24 horas após tomarmos conhecimento da mesma.
- Aceitar relatórios de Descobridores anónimos. No entanto, os Descobridores que participem de forma anónima aceitam que a Warmup possa não conseguir contactá-los sobre assuntos relacionados, entre outros, com: a vulnerabilidade, o progresso na resolução da vulnerabilidade e a publicação da vulnerabilidade.
- Confirmar a receção do relatório de vulnerabilidade enviado pelo Descobridor no prazo de 7 dias após o seu envio, caso o Descobridor não seja anónimo.
- Manter o Descobridor informado sobre o progresso ao longo de todo o processo, exceto quando tal não for possível devido ao facto de o Descobridor atuar de forma anónima.
- Procurar resolver vulnerabilidades válidas no prazo de 90 dias. No entanto, poderá haver casos em que uma resolução rápida ou qualquer resolução não seja uma opção viável, por diversas razões.
Comunicar uma vulnerabilidade
Como comunicar uma vulnerabilidade (Ponto Único de Contacto) Para garantir que pode comunicar connosco de forma direta e rápida, a Warmup criou um Ponto Único de Contacto (SPOC) dedicado. Este canal é gerido pelo nosso Gestor de Comunicações e pela nossa equipa interna de triagem.
Se acredita ter descoberto uma vulnerabilidade de segurança num produto ou serviço da Warmup, contacte-nos imediatamente através de:
NOTA: Recomendamos a utilização do formulário Web, uma vez que este contém campos para todas as informações pertinentes de que necessitamos.
Se preferir, também pode comunicar-nos vulnerabilidades de forma indireta ou anónima, através da sua Equipa Nacional de Resposta a Incidentes de Segurança Informática (CSIRT)
CERT-Bund
www.bsi.bund.de
certbund@bsi.bund.de
