IstroSec s.r.o. (ďalej len „spoločnosť“) berie bezpečnosť svojich produktov s digitálnymi prvkami vážne a v súlade s EU Cyber Resilience Act (CRA) zriaďuje jednotné kontaktné miesto na nahlasovanie zraniteľností.
1. Kontaktné informácie
Email: [email protected]
Encryption: PGP key of IstroCSIRT
Fingerprint 7B32BC0318E646CA6E9169A25F11C27756920C70, k dispozícii na https://istrosec.com/files/IstroCSIRT_0x56920C70_public.asc
Supported languages: English, Slovak
Kontaktné miesto je monitorované ľuďmi, nie výhradne automatizovanými nástrojmi.
2. Čo by malo hlásenie obsahovať
- Opis zraniteľnosti a jej odhadovaný/potenciálny vplyv
- Kroky na reprodukciu zraniteľnosti (podrobný postup, PoC, snímky obrazovky/video, ak je to relevantné)
- Dotknutý produkt / verzia / URL
- Informáciu, či je známe alebo existuje podozrenie, že zraniteľnosť je aktívne zneužívaná
- Vaše kontaktné údaje (na účely ďalšej komunikácie a spätnej väzby)
3. Koordinované zverejnenie (Embargo)
Žiadame oznamovateľa, aby zraniteľnosť nezverejňoval pred tým, ako spoločnosť implementuje opravu, alebo do dohodnutého dátumu (zvyčajne do 90 dní od prvotného nahlásenia, pokiaľ sa obe strany nedohodnú inak). Dátum koordinovaného zverejnenia bude dohodnutý priamo s oznamovateľom.
4. Bezpečný prístav (Safe Harbor)
Spoločnosť nebude podnikovať právne kroky voči oznamovateľom, ktorí konajú v dobrej viere, postupujú primerane a pri odhaľovaní a nahlasovaní zraniteľnosti dodržiavajú túto politiku. Primerané konanie znamená najmä testovanie iba systémov, ktoré oznamovateľ vlastní alebo na ktorých testovanie má oprávnenie (táto politika neoprávňuje na testovanie systémov prevádzkovaných zákazníkmi spoločnosti), prístup k údajom iba v rozsahu nevyhnutnom na preukázanie zraniteľnosti a nenarúšanie fungovania žiadnej služby.
5. Právny základ
Táto politika je ustanovená v súlade s článkom 13 ods. 11, článkom 14 a prílohou II článkom 13 ods. 8 a 17, článkom 14, prílohou I časťou II bodmi 4 až 6 a prílohou II bodom 2 nariadenia (EÚ) 2024/2847 (Cyber Resilience Act).