Hoe een beveiligingskwetsbaarheid of probleem aan Elo te rapporteren

Wat u in uw rapport moet opnemen

Om ons te helpen snel te onderzoeken en te reageren, dient u het volgende te verstrekken:

• Uw volledige naam en contactinformatie
  (E-mail heeft de voorkeur, maar elke methode die we kunnen gebruiken om contact op te nemen is acceptabel.)

• Gedetailleerde beschrijving van het probleem, inclusief:

  • De naam van de getroffen Elo-service, product of systeem

  • De naam, beschrijving en versie van de software (indien van toepassing)

  • Stapsgewijze instructies om het probleem te reproduceren

  • Een technische beschrijving van de kwetsbaarheid (inclusief een bewijs van concept, indien mogelijk)

  • De potentiële impact of het risico dat door het probleem wordt gepresenteerd

  • Alle andere relevante informatie die ons kan helpen de kwetsbaarheid te valideren en op te lossen

Kwetsbaarheid openbaar maakbeleid

Verantwoordelijke rapportage richtlijnen

Elo waardeert en moedigt bijdragen van klanten en de bredere gemeenschap aan om de beveiliging van onze producten en diensten te verbeteren. Als u een mogelijke kwetsbaarheid identificeert, vragen wij u om verantwoord te handelen en deze richtlijnen te volgen:

• Do niet toegang te krijgen tot, te wijzigen of te testen van Elo-systemen, -diensten, -producten of -software zonder de juiste autorisatie.

• Do niet gegevens openbaar te maken, te wijzigen, te vernietigen of te misbruiken die u tijdens uw onderzoek tegenkomt.

• Houd alle informatie met betrekking tot het gerapporteerde probleem strikt vertrouwelijk, inclusief communicatie met Elo.

• Vermijd denial-of-service (DoS) aanvallen of enig testen dat de beschikbaarheid, integriteit of vertrouwelijkheid van Elo-systemen kan beïnvloeden.

• Do niet betrokken te zijn bij sociale engineering, phishing of soortgelijke activiteiten gericht op Elo-klanten of -medewerkers.

• Houd er rekening mee: Elo biedt geen compensatie voor tijd die is besteed of kwetsbaarheden die zijn ontdekt tijdens ongevraagd testen of onderzoek.

Kwetsbaarheid responscircuit

Elo volgt een gestructureerd proces om gerapporteerde beveiligingskwetsbaarheden te evalueren en aan te pakken.

Na de eerste bevestiging zal Elo redelijke inspanningen leveren om binnen 30 dagen te reageren om te bevestigen of de gerapporteerde kwetsbaarheid is:

• Gevalideerd en geaccepteerd, of
• Geweigerd
  • Als de kwetsbaarheid geaccepteerd wordt, kan Elo een niet-bindende voorgestelde mitigatietijdlijn geven.
  • Als de kwetsbaarheid geweigerd wordt, zal Elo de reden voor de afwijzing geven en blijft open staan voor het herzien van aanvullende informatie die wordt verstrekt.

Zodra een kwetsbaarheid is bevestigd en geaccepteerd, zullen Elo-engineers werken aan het ontwikkelen van geschikte hardware- en/of softwareoplossingen.

Elo streeft ernaar de analyse te voltooien en softwareoplossingen te implementeren binnen 90 dagen na de eerste bevestiging. Echter, de daadwerkelijke release van oplossingen kan verder worden verlengd vanwege factoren zoals:

• Stroomopwaartse leveranciers met verschillende tijdlijnen voor probleemoplossing
• Substantiële hardware- of architectuurveranderingen die nodig zijn
• Productlevenscyclus of hulpbronnenbeperkingen
• Integratie over meerdere distributiekanalen of ecosystemen

naar eigen goeddunken kan Elo periodiek beveiligingsbulletins publiceren om het publiek te informeren over voltooide mitigaties voor getroffen producten.

Laatste beveiligingsupdates