Hoe een beveiligingskwetsbaarheid of probleem aan Elo te melden

Wat op te nemen in uw rapport

Om ons te helpen snel te onderzoeken en te reageren, verstrekt u het volgende:

• Uw volledige naam en contactinformatie
  (E-mail heeft de voorkeur, maar elke methode die we kunnen gebruiken voor vervolgcontact is acceptabel.)

• Gedetailleerde beschrijving van het probleem, inclusief:

  • De naam van de getroffen Elo-service, product of systeem

  • De naam, beschrijving en versienummer van de software (indien van toepassing)

  • Stapsgewijze instructies om het probleem te reproduceren

  • Een technische beschrijving van de kwetsbaarheid (inclusief bewijs van concept, indien mogelijk)

  • De mogelijke impact of het risico dat door het probleem wordt gepresenteerd

  • Alle andere relevante informatie die ons kan helpen de kwetsbaarheid te valideren en op te lossen

Kwetsbaarheidsopenbaarmakingsbeleid

Verantwoordelijke meldingsrichtlijnen

Elo waardeert en moedigt bijdragen van klanten en de bredere gemeenschap aan om de beveiliging van onze producten en diensten te verbeteren. Als u een mogelijke kwetsbaarheid identificeert, vragen wij u verantwoordelijk te handelen en deze richtlijnen te volgen:

• Doe geen toegang tot, wijzig, of test Elo-systemen, diensten, producten of software zonder de juiste autorisatie.

• Doe geen gegevens openbaar, wijzig, vernietig of misbruik enige gegevens die tijdens uw onderzoek worden aangetroffen.

• Houd alle informatie met betrekking tot het gemelde probleem strikt vertrouwelijk, inclusief communicatie met Elo.

• Vermijd denial-of-service (DoS) aanvallen of enige tests die de beschikbaarheid, integriteit of vertrouwelijkheid van Elo-systemen zouden kunnen beïnvloeden.

• Doe geen sociale engineering, phishing of vergelijkbare activiteiten gericht op Elo-klanten of medewerkers.

• Let op: Elo biedt geen compensatie voor de tijd die besteed is aan of kwetsbaarheden ontdekt tijdens ongewenste tests of onderzoek.

Kwetsbaarheidsresponsproces

Elo volgt een gestructureerd proces om gerapporteerde beveiligingskwetsbaarheden te evalueren en aan te pakken.

Na de eerste bevestiging zal Elo redelijke inspanningen leveren om binnen 30 dagen te reageren om te bevestigen of de gerapporteerde kwetsbaarheid is:

• Geverifieerd en geaccepteerd, of
• Afgewezen
  • Als de kwetsbaarheid is geaccepteerd, kan Elo een niet-bindende voorgestelde mitigatietijdlijn geven.
  • Als de kwetsbaarheid is afgewezen, zal Elo de redenen voor de afwijzing geven en blijft open staan voor het beoordelen van eventuele aanvullende informatie die wordt verstrekt.

Zodra een kwetsbaarheid is bevestigd en geaccepteerd, zullen Elo-ingenieurs werken aan het ontwikkelen van geschikte hardware- en/of softwarematige mitigaties.

Elo streeft ernaar analyses en softwarematige mitigaties binnen 90 dagen na de eerste bevestiging te voltooien. De daadwerkelijke release van mitigaties kan echter buiten deze termijn worden uitgesteld door factoren zoals:

• Leveranciers stroomopwaarts die verschillende tijdlijnen voor probleemoplossingen hebben
• Substantiële hardware- of architecturale wijzigingen nodig
• Beperkingen in de productlevenscyclus of middelen
• Integratie door meerdere distributiekanalen of ecosystemen

Volgens eigen goeddunken kan Elo periodiek beveiligingsbulletins publiceren om het publiek te informeren over voltooide mitigaties voor getroffen producten.

Laatste beveiligingsupdates