Richtlinie zur Offenlegung von Sicherheitslücken

1. Zweck

Die Snom Technology GmbH ("Snom") setzt sich für die Aufrechterhaltung der Sicherheit ihrer Produkte, Dienste und der unterstützenden Infrastruktur ein.

Diese Vulnerability Disclosure Policy (VDP), auch als Coordinated Vulnerability Disclosure (CVD) Policy bezeichnet, erläutert, wie Sicherheitsforscher, Kunden, Partner und die Öffentlichkeit potenzielle Sicherheitslücken in Snom-Produkten und -Diensten verantwortungsbewusst melden können.

Snom unterstützt verantwortungsbewusste Sicherheitsforschung und schätzt Berichte, die dazu beitragen, die Sicherheit und Resilienz unserer Produkte zu verbessern. Wir verpflichten uns, Berichte über Sicherheitslücken transparent, konsistent und verantwortungsbewusst zu behandeln und Kunden durch angemessene Behebungs- und Kommunikationsprozesse zu schützen.

2. Geltungsbereich

Diese Richtlinie gilt für potenzielle Sicherheitslücken, die folgende Aspekte negativ beeinflussen können:

• Vertraulichkeit
• Integrität
• Verfügbarkeit
• Authentizität
• Zuverlässigkeit
• Nichtabstreitbarkeit
   

von Snom-Produkten mit digitalen Elementen, einschließlich:

• SIP-Tischtelefone
• DECT-Systeme
• Konferenztelefone
• Softwareanwendungen
• Firmware
• Cloud-basierte Produktdienste, die von Snom betrieben werden
• Produktmanagement- und Provisioning-Dienste, die von Snom betrieben werden

3. Außerhalb des Geltungsbereichs

Folgendes liegt im Allgemeinen außerhalb des Geltungsbereichs dieser Richtlinie:

• Produkte, Dienste oder Infrastrukturen von Drittanbietern, die sich nicht im Besitz von Snom befinden oder nicht von Snom betrieben werden
• Social-Engineering-Angriffe
• Phishing-Aktivitäten
• Physische Sicherheitsangriffe
• Denial-of-Service (DoS) und Distributed Denial-of-Service (DDoS) Tests
• Sicherheitslücken, die Produkte nach ihrem veröffentlichten Datum für das Ende des Sicherheitssupports betreffen
• Probleme, die bereits öffentlich bekannt gegeben und vollständig behoben wurden

Sicherheitslücken von Drittanbietern sollten dem jeweiligen Hersteller gemeldet werden.

4. Grundsätze der verantwortungsbewussten Offenlegung

Snom unterstützt die koordinierte Offenlegung von Sicherheitslücken auf Grundlage der folgenden Prinzipien:

• Schutz von Kunden und Nutzern vor aktiven Bedrohungen
• Bereitstellung zeitnaher Sicherheitsupdates und Anleitungen zur Behebung
• Aufrechterhaltung einer transparenten Kommunikation während des gesamten Offenlegungsprozesses
• Verantwortungsbewusste Zusammenarbeit mit Sicherheitsforschern, Kunden, Lieferanten und Partnern
• Sicherstellung, dass Sicherheitslücken entsprechend ihrem Risiko und ihrer Auswirkung bewertet und behoben werden
   

5. Product Security Incident Response Team (PSIRT)

Das Snom Product Security Incident Response Team (PSIRT) ist für die Verwaltung von Sicherheitslücken in Produkten verantwortlich.

Das PSIRT ist verantwortlich für:

• Empfang und Bestätigung von Berichten über Sicherheitslücken
• Triage und Validierung gemeldeter Sicherheitslücken
• Bewertung der Schwere und der potenziellen Auswirkungen
• Koordination von Behebungsmaßnahmen
• Steuerung der Kommunikation mit Forschern und betroffenen Stakeholdern
• Veröffentlichung von Sicherheitshinweisen, sofern angemessen
• Unterstützung bei regulatorischen Meldepflichten, sofern erforderlich

6. Meldung einer Sicherheitslücke

Sicherheitslücken können über die folgenden Kanäle gemeldet werden:

• mail_outline security@snom.com
• link Security Center: https://www.snom.com/security

Die oben genannten Meldewege sind ausschließlich für sicherheitsrelevante Berichte vorgesehen.

7. Welche Angaben Ihre Meldung enthalten sollte

Um die Untersuchung und Behebung zu unterstützen, geben Sie bitte so viele der folgenden Informationen wie möglich an:

• Name und Modell des betroffenen Produkts
• Firmware- oder Softwareversion
• Detaillierte Beschreibung der Sicherheitslücke
• Potenzielle Auswirkungen und sicherheitstechnische Implikationen
• Schritt-für-Schritt-Anleitung zur Reproduktion des Problems
• Unterstützende Belege, wie Screenshots, Paketaufzeichnungen, Logdateien oder proof-of-concept Code
• Vorgeschlagene Bewertung des Schweregrads (optional)
• Kontaktinformationen für Rückfragen

Berichte können anonym eingereicht werden; Anonymität kann jedoch unsere Fähigkeit einschränken, die Untersuchung durchzuführen und Statusaktualisierungen bereitzustellen.

8. Erwartungen an Sicherheitsforscher

Von Sicherheitsforschern, die an Aktivitäten zur verantwortungsvollen Offenlegung teilnehmen, wird erwartet, dass sie:

• In gutem Glauben handeln
• Die geltenden Gesetze einhalten
• Datenschutzverletzungen vermeiden
• Den Zugriff auf Kundendaten sowie deren Änderung oder Löschung vermeiden
• Die Störung von Diensten oder Systemen vermeiden
• Denial-of-Service-Tests vermeiden
• Eine Sicherheitslücke nicht weiter ausnutzen, als es zur Verifizierung ihrer Existenz angemessen erforderlich ist
• Snom eine angemessene Gelegenheit geben, das Problem zu untersuchen und zu beheben, bevor eine öffentliche Bekanntgabe erfolgt
• Von Erpressung oder Zahlungsforderungen absehen
   

9. Safe Harbor

Wenn Sicherheitsforschung in gutem Glauben und in Übereinstimmung mit dieser Richtlinie durchgeführt wird, betrachtet Snom solche Aktivitäten als autorisiert.

Snom wird keine rechtlichen Schritte gegen Personen einleiten, die:

• In gutem Glauben handeln
• Diese Richtlinie einhalten
• Kunden, Benutzern oder Systemen keinen Schaden zufügen
• Nicht vorsätzlich auf personenbezogene Daten zugreifen
• Nicht mit böswilliger Absicht handeln

Falls ein Dritter rechtliche Schritte in Bezug auf Aktivitäten einleitet, die in Übereinstimmung mit dieser Richtlinie durchgeführt wurden, kann Snom bekannt geben, dass die Aktivitäten mit dieser Richtlinie im Einklang standen.

10. Reaktionszusagen

Snom verpflichtet sich zu einer zeitnahen und transparenten Kommunikation.

• Bestätigung

Wir streben an, den Erhalt von Berichten über Sicherheitslücken innerhalb von fünf (5) Werktagen zu bestätigen.

• Erstbewertung

Wir streben an, innerhalb von zehn (10) Werktagen eine Erstbewertung abzugeben oder zusätzliche Informationen anzufordern.

• Statusmeldungen

Bei validierten Sicherheitslücken, die untersucht werden, streben wir an, während des Behebungsprozesses regelmäßige Statusmeldungen bereitzustellen.

Die Antwortzeiten können je nach Komplexität und Schweregrad des Problems variieren.

11. Bearbeitung gemeldeter Sicherheitslücken

Snom betreibt einen strukturierten Prozess zur Behandlung von Sicherheitslücken, der Folgendes umfasst:

• Eingang und Validierung
• Das gemeldete Problem wird auf Vollständigkeit und Reproduzierbarkeit überprüft und bewertet.
• Analyse und Risikobewertung

Die Sicherheitslücke wird bewertet, um Folgendes zu bestimmen:

• Schweregrad
• Potenzielle Auswirkungen
• Ausnutzbarkeit
• Betroffene Produkte und Versionen

Der Schweregrad kann mithilfe branchenweit anerkannter Methoden wie CVSS bewertet werden.

• Behebung

Gegebenenfalls entwickelt und testet Snom:

• Sicherheitspatches
• Firmware-Updates
• Software-Updates
• Abhilfemaßnahmen
• Verifizierung

Behebungsmaßnahmen werden vor der öffentlichen Veröffentlichung verifiziert.

• Offenlegung

Snom veröffentlicht bei Bedarf Sicherheitshinweise, die Informationen zu betroffenen Produkten, Behebungsmaßnahmen, Abhilfemaßnahmen und der Verfügbarkeit von Updates enthalten.

12. Koordinierte Offenlegung

Snom unterstützt die koordinierte Offenlegung von Sicherheitslücken.

Wir bitten Forscher darum, von einer öffentlichen Offenlegung von Sicherheitslücken abzusehen, bis:

Snom hat das Problem untersucht;
Nutzer hatten eine angemessene Gelegenheit, verfügbare Abhilfemaßnahmen oder Updates einzusetzen; oder
ein koordiniertes Offenlegungsdatum wurde vereinbart.

Snom behält sich das Recht vor, Informationen über Sicherheitslücken früher offenzulegen, sofern dies zum Schutz von Kunden, zur Bekämpfung einer aktiven Ausnutzung oder zur Erfüllung gesetzlicher Verpflichtungen erforderlich ist.

13. Sicherheitshinweise

Snom veröffentlicht bei Bedarf Sicherheitshinweise über sein Security Center.

Sicherheitshinweise können Folgendes enthalten:

• Beschreibung der Sicherheitslücke
• Bewertung des Schweregrads
• CVE-Referenzen (sofern verfügbar)
• Betroffene Produkte und Versionen
• Behobene Versionen
• Abhilfemaßnahmen
• Informationen zu Sicherheitsupdates
• Veröffentlichungsdatum
• Versionshistorie
• Anerkennung der meldenden Parteien (mit Zustimmung)
   

14. Sicherheitsupdates und Unterstützungszeiträume

Snom stellt für unterstützte Produkte während ihres veröffentlichten Sicherheitsunterstützungszeitraums Sicherheitsupdates bereit.

Aktuelle Unterstützungszeiträume sind im Abschnitt Product Security Lifecycle des Security Center verfügbar.

Nachdem ein Produkt sein veröffentlichtes EoSS-Datum erreicht hat, stellt Snom unter Umständen keine Sicherheitsupdates oder Behebungen für neu entdeckte Sicherheitslücken mehr bereit.

15. Drittanbieter-Komponenten

Viele Snom-Produkte enthalten Softwarekomponenten von Drittanbietern und Open-Source-Software.

Wenn Sicherheitslücken identifiziert werden, die solche Komponenten betreffen, bewertet Snom deren Auswirkungen auf die betroffenen Produkte und stellt gegebenenfalls Behebungen, Updates oder Anleitungen bereit.

16. Regulatorische Meldepflichten

Snom erfüllt, sofern anwendbar, regulatorische Meldepflichten bezüglich aktiv ausgenutzter Sicherheitslücken und Sicherheitsvorfälle gemäß den geltenden gesetzlichen Anforderungen.

Solche Verpflichtungen können unabhängig von dem in dieser Richtlinie beschriebenen Prozess der koordinierten Offenlegung bestehen.

17. Vertraulichkeit und Datenschutz

Snom behandelt Berichte über Sicherheitslücken vertraulich und verarbeitet personenbezogene Informationen in Übereinstimmung mit den geltenden Datenschutzgesetzen.

Informationen über den Melder werden ohne Zustimmung nicht außerhalb von Snom weitergegeben, es sei denn, dies ist gesetzlich vorgeschrieben.

18. Anerkennung

Snom betreibt derzeit kein Bug-Bounty-Programm.

Nach Ermessen von Snom können Forscher, die gültige Sicherheitslücken verantwortungsbewusst melden, vorbehaltlich ihrer Zustimmung in öffentlichen Sicherheitshinweisen oder anderen Anerkennungsprogrammen genannt werden.

19. Aktualisierung dieser Richtlinie

Diese Richtlinie kann regelmäßig überprüft und aktualisiert werden, um Änderungen bei Produkten, Sicherheitspraktiken, gesetzlichen Anforderungen und Industriestandards widerzuspiegeln.

Die neueste Version wird immer über das Snom Security Center veröffentlicht.

Kontaktinformationen:

Product Security Incident Response Team (PSIRT)

• mail_outline security@snom.com
• link Security Center: https://www.snom.com/security