Hoe een beveiligingskwetsbaarheid of probleem aan Elo te rapporteren

Wij nemen beveiliging serieus en waarderen rapporten van mogelijke kwetsbaarheden of incidenten met betrekking tot Elo-producten of -systemen. Als u een beveiligingsprobleem hebt ontdekt, rapporteer dit dan via ons Technische Ondersteuningsformulier: https://contactus.elotouch.com/technicalsupport

Door een rapport in te dienen, erkent en accepteert u de Vulnerability Submission Policy van Elo.

Wat u in uw rapport moet opnemen

Om ons te helpen snel te onderzoeken en te reageren, geeft u alstublieft het volgende op:

• Uw volledige naam en contactinformatie
  (E-mail heeft de voorkeur, maar elke methode die we kunnen gebruiken om op te volgen is acceptabel.)

• Gedetailleerde beschrijving van het probleem, inclusief:

  • De naam van de getroffen Elo-service, product of systeem

  • De software naam, beschrijving en versienummer (indien van toepassing)

  • Stap-voor-stap instructies om het probleem te reproduceren

  • Een technische beschrijving van de kwetsbaarheid (inclusief bewijs van concept, indien mogelijk)

  • De potentiële impact of risico dat door het probleem wordt gepresenteerd

  • Elke andere relevante informatie die ons kan helpen de kwetsbaarheid te valideren en op te lossen

Beleid voor openbaarmaking van kwetsbaarheden

Verantwoordelijke rapportagerichtlijnen

Elo waardeert en moedigt bijdragen van klanten en de bredere gemeenschap aan om de beveiliging van onze producten en diensten te verbeteren. Als u een mogelijke kwetsbaarheid identificeert, vragen wij u verantwoordelijk te handelen en deze richtlijnen te volgen:

• Toegang tot, wijziging of testen van Elo-systemen, -diensten, -producten of -software zonder de juiste autorisatie is niet toegestaan.

• Het is niet toegestaan gegevens die tijdens uw onderzoek zijn gevonden te onthullen, te wijzigen, te vernietigen of te misbruiken.

• Houd alle informatie met betrekking tot het gerapporteerde probleem strikt vertrouwelijk, inclusief communicatie met Elo.

• Vermijd denial-of-service (DoS) aanvallen of enig testen dat de beschikbaarheid, integriteit of vertrouwelijkheid van Elo-systemen kan beïnvloeden.

• Neem niet deel aan social engineering, phishing of soortgelijke activiteiten gericht op Elo-klanten of -werknemers.

• Let op: Elo biedt geen vergoeding voor tijd die is besteed aan of kwetsbaarheden die zijn ontdekt tijdens ongewenst testen of onderzoek.

Proces voor de respons op kwetsbaarheden

Elo volgt een gestructureerd proces om gerapporteerde beveiligingskwetsbaarheden te evalueren en aan te pakken.

Na de initiële ontvangstbevestiging zal Elo redelijke inspanningen leveren om binnen 30 dagen te reageren om te bevestigen of de gerapporteerde kwetsbaarheid is:

• Geverifieerd en geaccepteerd of
• Afgewezen
  • Als de kwetsbaarheid is geaccepteerd, kan Elo een niet-bindende voorgestelde tijdlijn voor mitigatie geven.
  • Als de kwetsbaarheid is afgewezen, zal Elo de reden voor de afwijzing geven en blijft openstaan voor het herzien van eventueel aanvullende informatie die wordt verstrekt.

Zodra een kwetsbaarheid is bevestigd en geaccepteerd, zullen de ingenieurs van Elo werken aan het ontwikkelen van geschikte hardware en/of software mitigaties.

Elo streeft ernaar om de analyse te voltooien en software mitigaties binnen 90 dagen na de initiële ontvangstbevestiging te implementeren. De daadwerkelijke release van mitigaties kan echter langer duren door factoren zoals:

• Stroomopwaartse leveranciers die verschillende tijdlijnen voor probleemoplossing hebben
• Substantiële hardware- of architectonische wijzigingen die nodig zijn
• Productlevenscyclus of beperkingen in middelen
• Integratie over meerdere distributiekanalen of ecosystemen

In eigen discretie kan Elo periodiek beveiligingsbulletins publiceren om het publiek te informeren over voltooide mitigaties voor getroffen producten.

Laatste beveiligingsupdates