IstroSec s.r.o. (zwana dalej „spółką”) traktuje bezpieczeństwo swoich produktów zawierających elementy cyfrowe poważnie i, zgodnie z EU Cyber Resilience Act (CRA), ustanawia jeden punkt kontaktowy do zgłaszania podatności.
1. Dane kontaktowe
Email: [email protected]
Encryption: PGP key of IstroCSIRT
Fingerprint 7B32BC0318E646CA6E9169A25F11C27756920C70, dostępny pod adresem https://istrosec.com/files/IstroCSIRT_0x56920C70_public.asc
Supported languages: English, Slovak
Punkt kontaktowy jest obsługiwany przez osoby, a nie wyłącznie przez narzędzia automatyczne.
2. Co powinno zawierać zgłoszenie
- Opis podatności oraz jej szacowany/potencjalny wpływ
- Kroki niezbędne do odtworzenia podatności (szczegółowe kroki, PoC, zrzuty ekranu/wideo, jeśli dotyczy)
- Produkt / wersja / URL dotknięte podatnością
- Informacja, czy wiadomo lub istnieje podejrzenie, że podatność jest aktywnie wykorzystywana
- Dane kontaktowe zgłaszającego (w celu dalszego kontaktu i przekazywania informacji zwrotnych)
3. Koordynowane ujawnianie (Embargo)
Uprzejmie prosimy, aby zgłaszający nie ujawniał podatności publicznie przed wdrożeniem przez spółkę poprawki lub do uzgodnionej daty (zazwyczaj do 90 dni od dnia pierwotnego zgłoszenia, chyba że obie strony uzgodnią inaczej). Data koordynowanego ujawnienia zostanie uzgodniona bezpośrednio ze zgłaszającym.
4. Bezpieczna przystań (Safe Harbor)
Spółka nie będzie podejmować działań prawnych wobec zgłaszających, którzy działają w dobrej wierze, postępują w sposób uzasadniony i przestrzegają niniejszej polityki podczas wykrywania i zgłaszania podatności. Działanie w sposób uzasadniony oznacza w szczególności testowanie wyłącznie systemów będących własnością zgłaszającego lub takich, do których testowania posiada on upoważnienie (niniejsza polityka nie upoważnia do testowania systemów obsługiwanych przez klientów spółki), uzyskiwanie dostępu do danych wyłącznie w zakresie niezbędnym do wykazania podatności oraz niezakłócanie działania żadnej usługi.
5. Podstawa prawna
Niniejsza polityka została ustanowiona zgodnie z Artykułem 13 ust. 11, Artykułem 14 oraz Załącznikiem II Artykuł 13 ust. 8 i 17, Artykułem 14, Załącznikiem I Część II punkty 4–6 oraz Załącznikiem II punkt 2 Rozporządzenia (UE) 2024/2847 (Cyber Resilience Act).