Zasady ujawniania luk w zabezpieczeniach 70mai

Firma 70mai przykłada ogromną wagę do tworzenia produktów i usług spełniających najwyższe standardy bezpieczeństwa w celu ochrony naszych klientów i ich danych. Będziemy wdzięczni za informacje o ewentualnych lukach w zabezpieczeniach od analityków, naukowców i innych osób ze społeczności zajmującej się bezpieczeństwem.

Zespół do spraw zabezpieczeń 70mai jest gotowy do współpracy z osobami zgłaszającymi luki w zabezpieczeniach i stara się sprawdzać wszystkie istotne zgłoszenia.

Kiedy należy kontaktować się z zespołem reagowania na incydenty związane z zabezpieczeniami produktu

Analitycy i użytkownicy mogą zgłaszać 70mai luki w zabezpieczeniach lub błędy za pośrednictwem witryny: https://www.70mai.com/contact-us/ lub poprzez wysłanie wiadomości e-mail na adres: security@70mai.com.

Polityka reagowania na incydenty

Polityka reagowania na incydenty wygląda następująco:

1. Dedykowany zespół obsługi klienta będzie codziennie monitorował informacje na stronie kontaktowej i informował zespół do spraw zabezpieczeń 70mai, jeśli zostanie znaleziony wpis związany z zabezpieczeniami. Równocześnie zespół do spraw zabezpieczeń będzie codziennie monitorować adres security@70mai.com.

2. Zespół do spraw zabezpieczeń określa powagę incydentu i informuje PM (menedżera programu)

3. Oceniając luki w zabezpieczeniach 70mai postępuje zgodnie z najlepszymi praktykami branży i kategoryzuje potencjalną szkodliwość luki jako wysoką, średnią lub niską.

4. W zależności od powagi incydentu podejmowane będą następujące kroki:
a) wysoka szkodliwość: PM niezwłocznie zwołuje spotkanie z SZEFAMI działu technicznego, zespołu do spraw zabezpieczeń i zaangażowanymi inżynierami. W trakcie spotkania opracowywany jest plan naprawczy. Działania naprawcze związane ze środowiskiem chmury zostaną podjęte natychmiast. Aplikacja i oprogramowanie układowe zostaną naprawione tak szybko, jak to możliwe, a aktualizacja OTA zostanie wysłana do użytkowników do czasu podanego w powyższej tabeli.
b) średnia szkodliwość: PM zwołuje spotkanie z zespołem do spraw zabezpieczeń i zaangażowanymi inżynierami. W trakcie spotkania opracowywany jest plan naprawczy. Naprawa/aktualizacja OTA zostanie wykonana do czasu podanego w powyższej tabeli.
c) niska szkodliwość: PM omówi problem z zespołem do spraw zabezpieczeń i zaangażowanymi inżynierami oraz sporządzi plan naprawczy. Odpowiednia poprawka/OTA zostanie przygotowana w czasie wskazanym w powyższej tabeli. Zespół ds. zabezpieczeń powiadomi avs-security@amazon.com o incydencie w ciągu 24 godzin, a wstępny raport zawierający opis incydentu i wagę jego szkodliwości zostanie załączony do wiadomości e-mail. Kolejny raport zawierający plan rozwiązywania problemów i odpowiedni harmonogram wydań/OTA zostanie jak najszybciej wysłany na adres avs-security@amazon.com.

Otrzymywanie od 70mai informacji na temat zabezpieczeń

Porady związane z zabezpieczeniami

W większości przypadków informację publikujemy, gdy jesteśmy w stanie znaleźć praktyczne obejście lub sposób naprawy danej luki w zabezpieczeniach, chociaż mogą się zdarzyć przypadki, w których opublikujemy informację w przypadku braku obejścia, jeśli luka w zabezpieczeniach stanie się powszechnie znana w środowisku zajmującym się zabezpieczeniami.

Informacje o wersji (readme lub historia zmian)

Dane zawarte w informacjach o wersji na temat aktualizacji zabezpieczeń będą odwoływać się do CVE lub wewnętrznego numeru śledzenia. Jeśli zostaną nadane, oba są uwzględnione w naszych opublikowanych poradnikach na temat zabezpieczeń. Jeśli firma 70mai uzna, że w najlepszym interesie klienta leży jak najszybsza aktualizacja, środek zaradczy może zostać udostępniony przed opublikowaniem poradnika dotyczącego zabezpieczeń. Po opublikowaniu poradnika informacje o luce można znaleźć, odwołując się do numeru śledzenia z informacji o wersji.

Dane zawarte w informacji o wersji związanej z usuwaniem luk w zabezpieczeniach w środowisku open source będą obejmować opublikowane CVE.

70mai nie publikuje poradników bezpieczeństwa dotyczących luk w zabezpieczeniach open source.

Materiały dodatkowe

Jeśli dostępne są dodatkowe informacje na temat luki w zabezpieczeniach, w poradniku zostaną podane stosowne odnośniki. Obejmuje to linki do CVE lub cytaty z blogów lub artykułów.

Podziękowanie

Zazwyczaj staramy się wyrazić uznanie dla analityka lub osoby, która znalazła lukę w zabezpieczeniach i, za zgodą, publikujemy dane takiej osoby.

Historia poprawek

W przypadku aktualizacji poradnika historia poprawek zawiera dane na temat zakresu i czasu wprowadzenia zmian.

Dokładamy wszelkich starań, aby jak najszybciej usunąć luki w obsługiwanych produktach. Jednak żaden poziom odpowiedzi nie ma zastosowania do żadnego konkretnego problemu lub klasy problemów ze względu na takie czynniki, jak złożoność poprawek, testowanie jakości, embarga i koordynację między dostawcami.