Pregled

Sungrow je zavezan k ohranjanju varnosti svojih izdelkov, storitev in strank. Pozdravljamo varnostne raziskovalce, stranke, partnerje in druge deležnike, da odgovorno prijavijo morebitne varnostne ranljivosti, ki lahko vplivajo na izdelke, sisteme ali storitve podjetja Sungrow.

Z usklajenim sodelovanjem s skupnostjo za varnost lahko učinkoviteje prepoznamo, ocenimo in odpravimo varnostne težave ter tako prispevamo k krepitvi splošne varnosti naših izdelkov in storitev.

Obseg

Ta politika velja za vse izdelke podjetja Sungrow.

Kako prijaviti ranljivost

Če menite, da ste odkrili varnostno ranljivost, ki vpliva na izdelek ali storitev podjetja Sungrow, svoje poročilo oddajte prek enega od naslednjih kanalov:

Varnostni nabiralnikpsirt@sungrowpower.com

Portal PSIRT
https://www.sungrowpower.com/en/security-incident-response

Za zaščito zaupnosti informacij o ranljivostih priporočamo uporabo šifriranja PGP pri oddaji poročil o ranljivostih.

Informacije za vključitev

Da bi omogočili učinkovito analizo in preverjanje, morajo poročila o ranljivostih vključevati čim več naslednjih informacij:

Ime in model prizadetega izdelka

Različica programske opreme, vdelane programske opreme ali sistema

Podroben opis ranljivosti

Vrsta ranljivosti (npr. povišanje privilegijev, oddaljeno izvajanje kode, obvod avtentikacije)

Ocena možnih vplivov in tveganj

Koraki, potrebni za ponovitev ranljivosti

Informacije o testnem okolju

Koda dokazila o konceptu (PoC), skripte, dnevniki, posnetki zaslona ali drugo podporno gradivo

Kontaktni podatki (neobvezno)

Bolj kot so informacije, ki jih posredujete, popolnejše, učinkoviteje lahko ocenimo in obravnavamo prijavljeno težavo.

Zaveza odziva

Ko ekipa Sungrow PSIRT prejme poročilo o ranljivosti, bo analizo in preverjanje začela čim prej.

V normalnih okoliščinah:

Prejem poročila bo potrjen v roku 1 delovni dan;

Začetni rezultati ocene in preverjanja bodo posredovani v 7 delovnih dni;

Pomembne posodobitve o napredku bodo sporočene skozi celoten postopek sanacije.

Kompleksne ranljivosti, ranljivosti, ki vplivajo na več izdelkov, ali težave, ki zahtevajo usklajevanje s tretjimi osebami, lahko zahtevajo več časa za preiskavo in odpravo.

Postopek obravnave ranljivosti in načela razkritja

Postopek obravnave ranljivosti običajno vključuje:

Prejem in potrditev ranljivosti;

Preverjanje ranljivosti in ocena vpliva;

Razvrščanje tveganj in priprava načrta sanacije;

Razvoj, testiranje in validacija popravkov;

Obvestila za stranke in varnostni bilteni;

Javno razkritje ranljivosti;

Retrospektiva v zaprti zanki in nenehno izboljševanje.

Sungrow sledi načelom Usklajeno razkritje ranljivosti (CVD) pri obravnavi varnostnih ranljivosti. Načeloma podrobnosti o ranljivostih ne bodo javno razkrite, dokler ne bo na voljo popravek ranljivosti.

Sungrow običajno javnosti razkriva informacije o ranljivostih in rešitve za njihovo odpravo na dva načina:
Varnostno obvestilo: Varnostno obvestilo (SA) vsebuje informacije o stopnji resnosti ranljivosti, naboru prizadetih izdelkov in različic, poslovnem vplivu ter ukrepih za odpravo. Običajno se uporablja za razkrivanje informacij o kritičnih in visoko tveganih varnostnih ranljivostih v izdelkih Sungrow, skupaj z ustreznimi načrti za odpravo, da so lahko stranke o teh ranljivostih obveščene.Ocenite tveganja; Sungrow si pridržuje pravico izdati in nenehno posodabljati obvestila o ranljivostih.
Opombe ob izdaji: Opombe ob izdaji (RN) vsebujejo informacije o odpravljenih ranljivostih. Uporabljajo se za razkritje varnostnih ranljivosti, ki so bile odpravljene med razvojnim procesom, da lahko stranke razumejo varnostno stanje izdelka.

Ko je izpolnjen kateri koli od naslednjih pogojev, bo Sungrow izdal SA, da strankam zagotovi podporo pri odločanju, ki temelji na tveganjih v resničnem omrežju.
● Za ranljivosti, razvrščene kot »kritične« ali »visoke« glede na resnost, je Sungrow že zaključil postopek odzivanja na ranljivosti in lahko zagotovi rešitve za odpravo, s katerimi pomaga strankam zmanjšati tveganja v njihovih produkcijskih omrežjih.
● Če je verjetno, da bodo ranljivosti v različicah izdelkov Sungrow pritegnile široko javno pozornost ali če je Sungrow zaznal aktivno izkoriščanje takšnih ranljivosti — kar lahko poveča tveganja, s katerimi se soočajo njegove stranke — bo Sungrow pospešil svoj odzivni proces. V 24 urah po potrditvi, da so zgoraj navedeni pogoji izpolnjeni, bo obvestil stranke in jim sproti posredoval posodobitve o stanju odziva na ranljivost.

Varni pristan

Sungrow podpira raziskovalne dejavnosti na področju varnosti, ki temeljijo na dobri veri in odgovornosti.

Sungrow se zavezuje, da ne bo sprožil pravnih postopkov ali sprejel kakršnih koli pravnih ukrepov proti posameznikom, ki ravnajo v skladu s to politiko in v dobri veri izvajajo varnostne raziskave, pod pogojem, da zadevne raziskovalne dejavnosti izpolnjujejo naslednje pogoje:

To ne sme povzročiti nobenih motenj poslovanja za stranke, partnerje ali podjetje Sungrow.

Prednost dajte osebni varnosti. Nekateri izdelki Sungrow vključujejo visokonapetostno električno opremo in predstavljajo varnostna tveganja, kot sta električni udar in oblokovni blisk. Raziskovalci morajo izvajati preskuse v varnem okolju, upoštevati predpise o električni varnosti in po potrebi nositi ustrezno osebno zaščitno opremo.

Ne dostopajte do nepooblaščenih podatkov, jih ne spreminjajte, ne brišite in ne razkrivajte;

Ne izvajajte napadov za zavrnitev storitve (DoS);

Ne izkoriščajte ranljivosti za izvajanje lateralnega premikanja, vzpostavitev trajnega nadzora ali sprožitev nadaljnjih napadov.

Ne krši veljavnih zakonov in predpisov;

Podrobnosti o ranljivosti ne razkrivajte javno, dokler ranljivost ni popravljena.

Če raziskovalne dejavnosti presežejo zgoraj omenjeni obseg, si Sungrow pridržuje pravico sprejeti ustrezne ukrepe.

Priznanje

Sungrow ceni dragocen prispevek skupnosti varnostnih raziskovalcev.

Za veljavno in odgovorno prijavljene ranljivosti lahko Sungrow prizna prispevek prijavitelja. Ob soglasju prijavitelja se lahko priznanje zagotovi prek varnostnih obvestil, zahvale ali drugih ustreznih kanalov.

Trenutno Sungrow ne upravlja javnega programa nagrajevanja za odkrivanje napak. Če bo tak program v prihodnosti uveden, bodo podrobne informacije objavljene na uradnem spletnem mestu.

Kontakt

Za vprašanja v zvezi s to politiko razkritja ranljivosti ali drugimi zadevami glede varnosti izdelkov se obrnite na:

Ekipa Sungrow za odzivanje na varnostne incidente pri izdelkih (PSIRT)
psirt@sungrowpower.com