Zásady oznamování chyb zabezpečení

Závazek značky

Pro společnost Cybex GmbH je zajištění bezpečných a řádně zabezpečených produktů a služeb jednou ze základních priorit. Zavazujeme se chránit naše zákazníky, partnery, produkty a digitální služby před kybernetickými riziky a budovat vztahy založené na vzájemné důvěře.

Ochrana osobních údajů a bezpečnost digitálních produktů jsou proto pro společnost Cybex GmbH mimořádně důležité.

Vyzýváme zákazníky, partnery, výzkumné pracovníky pro oblast zabezpečení a další členy komunity v oblasti zabezpečení, aby v dobré víře hlásili veškeré potenciální kybernetické chyby zabezpečení, které zjistí v produktech, aplikacích, službách nebo digitální infrastruktuře Cybex.

Společnost Cybex GmbH si odpovědného hlášení chyb zabezpečení velmi váží. Hlášení od bezpečnostní komunity nám pomáhají odhalovat bezpečnostní slabiny, chránit naše zákazníky, zvyšovat bezpečnost a spolehlivost našich produktů a služeb a průběžně zdokonalovat naše procesy správy chyb zabezpečení.

Tyto zásady oznamování chyb zabezpečení popisují:

• produkty, systémy a služby, na které se tyto zásady vztahují;
• jak mají být potenciální chyby zabezpečení hlášeny;
• pravidla pro provádění bezpečnostního výzkumu v dobré víře;
• jak společnost Cybex zpracovává hlášení chyb zabezpečení;
• předpokládané lhůty pro reakci; a
• jak lze koordinovat zveřejňování chyb zabezpečení.

Tyto zásady jsou přezkoumávány nejméně jednou ročně a v případě potřeby mohou být aktualizovány tak, aby zohledňovaly změny našich produktů, služeb, bezpečnostních postupů nebo platných právních a regulatorních požadavků.

Rozsah působnosti

Tyto zásady se vztahují na kybernetické chyby zabezpečení ovlivňující produkty Cybex s digitálními prvky a podpůrné digitální služby, za které odpovídá společnost Cybex GmbH.

To podle konkrétního případu zahrnuje:

• mobilní aplikace Cybex,
• připojené produkty Cybex a související digitální funkce,
• software a firmware zařízení,
• Bluetooth a další digitální rozhraní,
• rozhraní API provozovaná společností Cybex,
• backendové služby a vzdálené zpracování dat podporující produkty Cybex,
• služby ověřování a správy účtů podporující produkty Cybex,
• komponenty hostované v cloudu a provozované jménem společnosti Cybex,
• webové aplikace a veřejně přístupné digitální služby Cybex a
• softwarové komponenty integrované do produktů Cybex, pokud by jejich chyba zabezpečení mohla ovlivnit bezpečnost produktu Cybex.

Mezi aktuálně veřejně přístupné domény Cybex patří:

• *.cybex-online.com
• *.goodbabyprod.com
• *.gb-online.com
• *.columbustp.com
• *.goodbaby.eu
• *.rollplay.com
• gbinternational.com.hk
• mycbx.com
• cybex.link
• cybex-online.com

Výše uvedený seznam nemá bránit hlášení chyb zabezpečení týkajících se jiných produktů Cybex s digitálními prvky. Pokud se domníváte, že jste odhalili chybu zabezpečení produktu nebo služby Cybex, která není výslovně uvedena výše, můžete ji přesto nahlásit prostřednictvím níže uvedených kanálů.

Pokud si nejste jisti, zda produkt, aplikace, služba nebo digitální aktivum spadá do rozsahu těchto zásad, kontaktujte nás prosím před provedením dalšího testování.

Systémy a komponenty třetích stran

Produkty a služby Cybex mohou integrovat služby, software, knihovny, cloudové platformy či jiné komponenty poskytované třetími stranami nebo na nich mohou být závislé.

Tyto zásady neopravňují k bezpečnostnímu testování infrastruktury, aplikací, účtů ani systémů provozovaných třetími stranami bez jejich svolení.

Chyby zabezpečení ovlivňující produkt Cybex, které mají původ v softwarové komponentě nebo závislosti třetí strany nebo s nimi souvisejí, však lze prostřednictvím tohoto procesu společnosti Cybex nahlásit.

V příslušných případech může společnost Cybex koordinovat nápravu s příslušným dodavatelem, poskytovatelem služeb, open-source projektem nebo jinou dotčenou stranou.

Bezpečný přístav

Společnost Cybex GmbH podporuje bezpečnostní výzkum prováděný v dobré víře a v souladu s těmito zásadami.

Společnost Cybex nezahájí ani nepodpoří právní kroky proti výzkumnému pracovníkovi v oblasti zabezpečení za výzkum prováděný v dobré víře a v souladu s těmito zásadami.

Tato ochrana se vztahuje na případy, kdy výzkumný pracovník:

• vynaloží přiměřené úsilí na dodržování těchto zásad,
• jedná za účelem zjištění a nahlášení kybernetické chyby zabezpečení,
• zabraňuje zbytečnému poškození společnosti Cybex, jejích zákazníků, zaměstnanců, partnerů a třetích stran;
• úmyslně nepřistupuje k údajům, neuchovává je, nemění, neničí ani nezveřejňuje nad rámec toho, co je přiměřeně nezbytné k prokázání chyby zabezpečení, a
• bez zbytečného odkladu nahlásí tuto chybu zabezpečení společnosti Cybex.

Bezpečný přístav se neuplatňuje v případech, kdy jsou zjevné škodlivé, podvodné, trestné nebo zpravodajské úmysly.

Pokud třetí strana zahájí právní kroky proti výzkumnému pracovníkovi, který postupoval v souladu s těmito zásadami, může společnost Cybex v příslušných případech a v mezích zákona potvrdit, že výzkumný pracovník svou činnost vykonával v souladu s těmito zásadami.

Tyto zásady neposkytují oprávnění k porušování platných právních předpisů.

Výzkumným pracovníkům, kteří si nejsou jisti, zda je určitá výzkumná činnost povolena, doporučujeme před jejím zahájením kontaktovat společnost Cybex.

Pravidla bezpečnostního výzkumu

Při provádění bezpečnostního výzkumu podle těchto zásad se od výzkumných pracovníků očekává, že budou jednat odpovědně a minimalizovat jakýkoli potenciální dopad na společnost Cybex, její zákazníky a třetí strany.

Výzkumní pracovníci by měli:

• omezovat výzkum na produkty, systémy a služby spadající do rozsahu těchto zásad,
• kdykoli je to možné, používat pouze účty, zařízení a data, která vlastní nebo k jejichž používání mají výslovné oprávnění,
• provádět pouze minimální rozsah testování nezbytný k ověření a prokázání potenciální chyb zabezpečení,
• testování ukončit, pokud by mohlo negativně ovlivnit dostupnost, bezpečnost, důvěrnost nebo integritu produktu, služby, systému či zákaznických dat,
• vyhnout se úmyslnému přístupu k osobním údajům jiných uživatelů,
• okamžitě ukončit testování a informovat společnost Cybex, pokud neúmyslně získají přístup k citlivým nebo osobním údajům,
• nekopírovat, nestahovat, neuchovávat ani nepřenášet data nad rámec toho, co je nezbytné k prokázání chyby zabezpečení,
• nezajišťovat si trvalý přístup ani neudržovat neoprávněný přístup,
• nepřecházet laterálně do dalších systémů;
• nenahrávat neoprávněný kód ani malware,
• neupravovat ani neodstraňovat zákaznické, obchodní, konfigurační nebo produkční údaje,
• neprovádět útoky typu DoS či DDoS,
• neprovádět phishing, rozesílání spamu, sociální inženýrství ani útoky na fyzické zabezpečení;
• neprovádět útoky hrubou silou ani „password-spraying“, které by mohly ovlivnit uživatelské účty nebo dostupnost služeb,
• netestovat systémy provozované třetími stranami, pokud k tomu není uděleno samostatné oprávnění příslušnou třetí stranou,
• zjištěné chyby zabezpečení neprodleně nahlásit prostřednictvím oficiálních kanálů společnosti Cybex a
• spolupracovat se společností Cybex, pokud jsou k ověření nebo nápravě nahlášené chyby zabezpečení přiměřeně potřebné další informace.

Samotné automatizované bezpečnostní skenování zpravidla nestačí jako podklad pro hlášení chyby zabezpečení. Zjištění z automatizovaných nástrojů by měla být doplněna dostatečnými důkazy a technickým kontextem, aby společnost Cybex mohla daný problém pochopit a reprodukovat.

Koordinované zveřejňování chyb zabezpečení

Společnost Cybex podporuje koordinované zveřejňování chyb zabezpečení (CVD).

Žádáme bezpečnostní výzkumné pracovníky, aby před veřejným zveřejněním podrobných informací o chybě zabezpečení poskytli společnosti Cybex přiměřenou možnost takovou chybu prošetřit, napravit či zmírnit její dopady a v případě potřeby poskytnout dotčeným uživatelům bezpečnostní aktualizace.

Výzkumní pracovníci by měli se společností Cybex koordinovat načasování a obsah zveřejnění.

Společnost Cybex nebude po výzkumných pracovnících postupujících v souladu s těmito zásadami požadovat uzavření dohody o mlčenlivosti jako podmínku pro nahlášení chyby zabezpečení.

Společnost Cybex bude v dobré víře spolupracovat s oznamovatelem na stanovení vhodného harmonogramu zveřejnění s přihlédnutím k následujícím faktorům:

• závažnost chyby zabezpečení,
• zneužitelnost,
• důkazy o zneužívání,
• možné dopady na bezpečnost,
• dotčené produkty a jejich verze,
• počet potenciálně dotčených uživatelů,
• dostupnost opatření ke zmírnění dopadů,
• dostupnost a nasazení bezpečnostních aktualizací a
• rizika spojená se zveřejněním technických podrobností.

Společnost Cybex může požádat o dočasné odložení zveřejnění podrobností o chybě zabezpečení, pokud by okamžité zveřejnění mohlo před zavedením vhodných zmírňujících opatření výrazně zvýšit kybernetické riziko pro zákazníky nebo dotčené produkty.

To společnosti Cybex nezakládá časově neomezené právo zabránit zveřejnění. Cílem je koordinovat zveřejnění tak, aby bylo možné dotčené uživatele přiměřeně chránit.

Náš proces řešení chyb zabezpečení

Nahlášené chyby zabezpečení jsou řešeny v rámci procesu řízení chyb zabezpečení společnosti Cybex.

V závislosti na povaze hlášení může tento proces zahrnovat následující kroky:

1. Přijetí
   Hlášení chyby zabezpečení je zaevidováno a předáno k posouzení.
    
2. Prvotní posouzení
   Společnost Cybex určí dotčený produkt, aplikaci, službu, komponentu nebo infrastrukturu a přiřadí příslušnou technickou zodpovědnou osobu.
    
3. Ověření
   Technický tým se pokusí nahlášenou chybu zabezpečení reprodukovat a určí, zda daný problém představuje skutečnou chybu zabezpečení.
    
4. Posouzení bezpečnostních rizik a rizik pro produkt
   Společnost Cybex posuzuje mimo jiné následující faktory:
   • závažnost,
   • zneužitelnost,
   • potenciální dopad,
   • dotčené verze,
   • dopad na zákazníky,
   • důvěrnost, integrita a dostupnost dat,
   • možné dopady na bezpečnost produktu,
   • důkazy o aktivním zneužívání a
   • zda je zapojena komponenta nebo závislost třetí strany.
      
5. Náprava nebo zmírnění dopadů
   Odpovědný produktový nebo technický tým posoudí a zavede vhodnou nápravu, aktualizaci zabezpečení, změnu konfigurace nebo opatření ke zmírnění dopadů.
    
6. Ověření
   Je-li to vhodné, společnost Cybex ověří, zda provedená náprava dostatečně řeší zjištěnou chybu zabezpečení.
    
7. Bezpečnostní aktualizace a komunikace se zákazníky
   Je-li nutná bezpečnostní aktualizace nebo jiný krok ze strany zákazníka, společnost Cybex poskytne dotčeným uživatelům příslušné informace.
    
8. Koordinované zveřejnění
   V příslušných případech bude společnost Cybex zveřejnění koordinovat s oznamovatelem.
    
9. Uzavření případu
   Případ chyby zabezpečení je uzavřen po dokončení příslušných činností týkajících se nápravy, zveřejnění, komunikace a dokumentace.

Lhůty pro reakci

Společnost CYBEX usiluje o jasnou a včasnou komunikaci v průběhu celého procesu řešení chyb zabezpečení.

Pokud oznamovatel poskytl platné kontaktní údaje, společnost CYBEX vynaloží přiměřené úsilí na následující:

Aktivita	Postup reakce
Potvrzení přijetí hlášení chyby zabezpečení pracovníkem	Potvrďte přijetí co nejdříve, jakmile to bude přiměřeně možné
Prvotní posouzení	Proveďte počáteční posouzení na základě dostupných informací
Podrobná zpětná vazba po prvotní analýze	Jakmile bude provedena dostatečná analýza, poskytněte další zpětnou vazbu
Stav ověření, je-li možné jej přiměřeně určit	Je-li to přiměřeně možné, sdělte, zda byla chyba zabezpečení potvrzena
Další informace o aktuálním stavu	V průběhu vyšetřování a nápravy poskytujte podle potřeby aktuální informace
Zveřejnění	Zveřejňování informací je třeba koordinovat s ohledem na průběh nápravy, rizika produktu, bezpečnostní aspekty a další relevantní faktory

Lhůty pro reakci, šetření a nápravu se mohou lišit v závislosti na složitosti a závažnosti chyby zabezpečení, dotčených produktech, technických závislostech, dopadech na bezpečnost, dostupnosti zmírňujících opatření a zapojení třetích stran.

Chyby zabezpečení vyžadující významné změny produktu, softwaru, firmwaru nebo infrastruktury mohou vyžadovat další čas na šetření, testování a nápravu.

Společnost CYBEX bude usilovat o zachování přiměřené komunikace s oznamovatelem po celou dobu procesu řešení chyby zabezpečení.

Nahlášení chyby zabezpečení

Potenciální chyby zabezpečení hlaste na adresu: it-security@cybex-online.com

Použijte prosím jasný předmět zprávy, například: Hlášení bezpečnostní chyby zabezpečení – [Affected Product or Service]

Hlášení by pokud možno mělo obsahovat:

• dotčený produkt, aplikaci, službu, doménu, rozhraní API nebo komponentu,
• dotčenou verzi produktu nebo softwaru,
• popis chyby zabezpečení,
• kroky potřebné k reprodukci problému,
• důkaz o konceptu v případě potřeby,
• očekávané a skutečně pozorované chování,
• časová razítka relevantní pro testování,
• snímky obrazovky, protokoly nebo jiné podpůrné důkazy,
• potenciální dopad na kybernetickou bezpečnost,
• možný dopad na zákazníky nebo bezpečnost,
• informace o případné dotčené závislosti třetí strany,
• informace o tom, zda víte o zneužívání chyb zabezpečení mimo rámec vlastního testování,
• navrhované řešení, je-li známo, a
• kontaktní údaje pro případ doplňujících dotazů.

Nezasílejte prosím hesla, soukromé kryptografické klíče, autentizační tokeny, nepotřebné osobní údaje ani jiné citlivé informace, pokud tyto údaje nejsou nezbytné k prokázání chyby zabezpečení.

Důvěrnost a osobní údaje

Společnost Cybex bude s hlášeními chyb zabezpečení a informacemi týkajícími se dosud nevyřešených chyb zabezpečení nakládat jako s důvěrnými, a to v rozsahu, v jakém je to přiměřeně možné a v souladu s právními předpisy.

Osobní údaje týkající se oznamovatele budou zpracovávány pouze pro oprávněné účely spojené s přijetím, prošetřením, nápravou a koordinací nahlášené chyby zabezpečení nebo v případech, kdy to jinak vyžadují platné právní předpisy.

Společnost Cybex se bude snažit omezit sdílení osobních údajů oznamovatele pouze na osoby, které k nim přiměřeně potřebují přístup za účelem řešení chyby zabezpečení.

V případě, že bude společnost Cybex ze zákona povinna poskytnout informace o chybě zabezpečení příslušnému orgánu pro kybernetickou bezpečnost, týmu CSIRT, orgánu dozoru nad trhem, agentuře ENISA, orgánu činnému v trestním řízení nebo jinému příslušnému orgánu, budou informace poskytnuty v souladu s platnými právními povinnostmi.

Regulatorní hlášení

Proces zveřejňování chyb zabezpečení je oddělen od interních regulatorních povinností společnosti Cybex týkajících se hlášení incidentů a chyb zabezpečení.

Chyby zabezpečení nahlášené podle těchto zásad jsou posuzovány s cílem určit, zda se na ně podle příslušných právních předpisů v oblasti kybernetické bezpečnosti vztahují další oznamovací nebo ohlašovací povinnosti, včetně zákona EU o kybernetické odolnosti.

V případech, kdy to vyžadují právní předpisy, může společnost Cybex informovat příslušný orgán, CSIRT, ENISA nebo jiný orgán.

Oznamovatel není odpovědný za posouzení, zda se na danou chybu zabezpečení vztahují regulatorní oznamovací povinnosti společnosti Cybex.

Chyby zabezpečení třetích stran

Pokud má nahlášená chyba zabezpečení původ v komponentě třetí strany, která je začleněna do produktu Cybex nebo je jím používána, společnost Cybex posoudí dopad této chyby zabezpečení na daný produkt Cybex.

V případě potřeby může společnost Cybex koordinovat postup s dodavatelem, poskytovatelem softwaru, open-source projektem nebo jinou odpovědnou stranou s cílem usnadnit nápravu.

Výzkumní pracovníci nesmějí tyto zásady považovat za oprávnění k testování vlastní infrastruktury třetí strany.

Ocenění výzkumných pracovníků

Společnost Cybex oceňuje odpovědný bezpečnostní výzkum.

Je-li to vhodné a výzkumný pracovník s tím výslovně souhlasí, může společnost Cybex veřejně ocenit výzkumné pracovníky, kteří odpovědně nahlásí skutečné chyby zabezpečení.

Účast v rámci těchto Zásad oznamování chyb zabezpečení neznamená, že Cybex provozuje program odměn za nalezení chyb (bug bounty) nebo program finančních odměn, pokud není výslovně uvedeno jinak.

Pravidelný přezkum zásad

Za tyto zásady odpovídá oddělení Cybex IT Security, přičemž externí závazky jsou koordinovány s oddělením Product Compliance.

Tyto zásady budou přezkoumány nejméně jednou ročně a vždy, když dojde k významné změně týkající se:

• produktů nebo služeb Cybex,
• kanálů pro hlášení chyb zabezpečení,
• procesů řízení chyb zabezpečení,
• platných předpisů v oblasti kybernetické bezpečnosti nebo
• odpovědných organizačních rolí.

V případě dotazů k těmto zásadám nebo pochybností ohledně povoleného bezpečnostního výzkumu nás kontaktujte na adrese: it-security@cybex-online.com