Kontaktkanal

Um eine potenzielle Schwachstelle zu melden, verwenden Sie bitte die folgenden speziellen Kanäle:

E-Mail (primärer Kanal):

Eine dedizierte E-Mail-Adresse wird über unsere security.txt-Datei bereitgestellt: security@infors-ht.com, verfügbar unter https://infors-ht.com/.well-known/security.txt. Dieses Postfach wird während der regulären Geschäftszeiten aktiv überwacht, und wir bemühen uns, alle gültigen Meldungen innerhalb eines angemessenen Zeitraums zu bestätigen.

Telefon (nur für dringende Fälle):

Für schwere oder offenbar aktiv ausgenutzte Schwachstellen, die außerhalb der Geschäftszeiten sofortige Aufmerksamkeit erfordern, steht die Telefonnummer +41 61 425 77 00 zur Verfügung. Dieser Kanal sollte nur für dringende Vorfälle genutzt werden, bei denen eine verzögerte Bearbeitung das Risiko erheblich erhöhen könnte.

Meldungsanweisungen

Bitte stellen Sie beim Erstellen einer Meldung ausreichende Informationen zur Verfügung, um eine Analyse und nach Möglichkeit eine Reproduktion zu ermöglichen, einschließlich:

• Produktname, Version und betroffene Komponente(n)
• Beschreibung der Schwachstelle und ihrer potenziellen Auswirkungen
• Schritte zur Reproduktion des Problems
• Technische Details, Logs, Screenshots, Proof-of-Concept-Material oder andere unterstützende Beweise, sofern verfügbar
• Informationen über die Umgebung, in der das Problem beobachtet wurde
• Ihre Kontaktdaten für die weitere Kommunikation

Bitte legen Sie keine Schwachstellen-Details öffentlich offen, bevor Remediierungsmaßnahmen oder koordinierte Offenlegungsaktivitäten abgeschlossen wurden.

Anwendungsbereich (Produkte)

Alle Infors-Produkte, die derzeit unterstützt werden, sind „Produkte mit digitalen Elementen“ gemäß der Definition des EU Cyber Resilience Act (CRA), wobei Infors als „Hersteller von Produkten“ identifiziert wird:

• Schüttler
  • Minitron
  • Multitron
  • Multitron Standard
  • Celltron
• Bioreaktoren
  • Minifors
  • Multifors
  • Labfors
  • Techfors-S
  • Techfors
• Software
  • eve

Antwort- und Bearbeitungserwartungen

Nach Eingang eines Reports und in Übereinstimmung mit den Pflichten der CRA werden wir mit dem Reporter zusammenarbeiten:

• Den Eingang des Schwachstellenreports innerhalb von 5 Business-Tagen bestätigen.
• Die potenzielle Schwachstelle oder den Vorfall (Triage und zweites Feedback) innerhalb eines angemessenen Zeitraums bewerten.
• Bestätigte Schwachstellen und Vorfälle entsprechend ihrer Schwere, aktiven Ausnutzung, Ausnutzbarkeit und Auswirkungen priorisieren und behandeln.
• Direkt mit Ihnen über den CVD-Prozess kommunizieren, wenn Kontaktdaten verfügbar sind und es angemessen ist, einschließlich zur Koordination der Offenlegung.
• Mindestens ein abschließendes Feedback einschließlich Einzelheiten zur Behebung der Schwachstelle oder des Vorfalls senden.

Dieser Zeitplan berührt nicht unsere Verpflichtung, alle gemäß dem CRA erforderlichen sofortigen Maßnahmen zu ergreifen, einschließlich der rechtzeitigen Benachrichtigung der zuständigen Behörden, sofern anwendbar.

Koordinierte Offenlegungsregeln

Wir folgen einem CVD-Prozessablauf, einschließlich eines koordinierten Ansatzes zur Offenlegung von Schwachstellen, um sicherzustellen, dass Sicherheitsprobleme wirksam angegangen werden und gleichzeitig die Risiken für die Nutzer minimiert werden. Diese Regeln, im Einklang mit den regulatorischen Verpflichtungen, gewährleisten einen ausgewogenen Ansatz zwischen Transparenz, verantwortungsvollem Umgang und dem Schutz von Nutzern und Systemen.

• Koordination mit dem Reporter: Wir werden mit dem Reporter zusammenarbeiten, um die Schwachstelle zu bewerten und einen angemessenen Zeitplan für Behebung und Offenlegung zu vereinbaren.
• Behebung vor öffentlicher Bekanntgabe: Als allgemeine Regel werden wir Schwachstellen nach oder zusammen mit einer Behebung oder mit Minderungsmaßnahmen öffentlich bekannt geben, es sei denn, eine frühere Offenlegung ist erforderlich, um ein unmittelbares Risiko oder eine unmittelbare Auswirkung zu verringern.
• Zeitplan der Offenlegung: Wir arbeiten gewissenhaft daran, Schwachstellen innerhalb eines angemessenen Zeitrahmens zu beheben. Wenn sich die Behebung verzögert, können wir uns mit dem Reporter auf einen überarbeiteten Offenlegungszeitplan abstimmen, der Transparenz und Schutz der Nutzer in Einklang bringt.
• Benutzerkommunikation: Sobald ein Fix verfügbar ist, werden wir die betroffenen Benutzer über geeignete Kanäle informieren (z. B. Sicherheitswarnungen oder Versionshinweise), einschließlich relevanter Details und empfohlener Maßnahmen.
• Ausnahmen von der koordinierten Offenlegung: In Ausnahmefällen, etwa bei aktiver Ausnutzung oder erheblichem Risiko für Nutzer, können wir die Offenlegung beschleunigen oder zusätzliche Maßnahmen im Einklang mit regulatorischen Verpflichtungen ergreifen.

Safe-Harbor-Hinweis

Wir unterstützen und fördern verantwortungsvolle Sicherheitsforschung, die in gutem Glauben durchgeführt wird. Wenn Sie im Einklang mit dieser Richtlinie handeln, wenn Sie Schwachstellen identifizieren und melden, verpflichten wir uns, keine rechtlichen Schritte gegen Sie wegen Ihrer Forschungsaktivitäten einzuleiten.

Im Besonderen:

• Autorisierte Tests: Aktivitäten wie das Testen, Untersuchen oder Analysieren unserer Produkte auf Schwachstellen sind erlaubt, sofern sie verantwortungsvoll durchgeführt werden und die Vertraulichkeit, Integrität oder Verfügbarkeit unserer Systeme nicht negativ beeinträchtigen.
• Meldung nach Treu und Glauben: Sie müssen sich nach bestem Wissen und Gewissen bemühen, Verstöße gegen die Privatsphäre, Dienstunterbrechungen oder die Zerstörung von Daten zu vermeiden, und jede festgestellte Schwachstelle umgehend über die vorgesehenen Kanäle melden.
• Keine Ausnutzung: Schwachstellen dürfen nicht über das hinaus ausgenutzt werden, was notwendig ist, um ihre Existenz nachzuweisen, und dürfen nicht zum persönlichen Vorteil oder zur Schädigung anderer verwendet werden.
• Vertraulichkeit: Sie erklären sich damit einverstanden, Details zu Schwachstellen nicht öffentlich offenzulegen, bis wir eine angemessene Gelegenheit hatten, das Problem zu untersuchen und zu beheben, im Einklang mit unseren Regeln zur koordinierten Offenlegung.

Wir betrachten Aktivitäten, die unter diesen Bedingungen durchgeführt werden, als autorisiert und werden sie auch so behandeln.

Übergeordneter Ablauf zur Behandlung

Wir behandeln alle gemeldeten potenziellen Schwachstellen oder Vorfälle über einen formalen Prozess, einschließlich eines CVD-Prozesses, um eine konsistente, zeitnahe und CRA-konforme Bearbeitung sicherzustellen.

Die wichtigsten Schritte dieses Prozesses sind:

• Eingang und Bestätigung: Alle Meldungen werden erfasst und bestätigt, um Nachvollziehbarkeit und eine zeitnahe erste Reaktion sicherzustellen.
• Ersteinschätzung und Triage: Meldungen werden bewertet und klassifiziert, einschließlich der Unterscheidung zwischen allgemeinen Cybersicherheitsthemen und CRA-relevanten Schwachstellen oder Vorfällen, die Infors-Produkte betreffen.
• Validierung und Risikobewertung: Bestätigte Schwachstellen werden analysiert, um ihre Gültigkeit, ihren Umfang und ihre Schwere zu bestimmen.
• Umgang mit regulatorischer Compliance: Der Prozess umfasst ausdrückliche Schritte und Kontrollpunkte, um die Einhaltung der CRA-Verpflichtungen sicherzustellen, einschließlich der geltenden Fristen und der Meldung an die ENISA.
• Behebung und Integration: Schwachstellen werden über etablierte interne Prozesse zur Behandlung von Nichtkonformitäten behoben und in die Abläufe für Produktentwicklung, Wartung und Freigabe integriert.
• Koordination und Kommunikation: Soweit anwendbar, koordinieren wir uns mit dem Reporter und stellen während des gesamten Behandlungsprozesses eine angemessene interne und externe Kommunikation sicher.
• Dokumentation und kontrollierte Offenlegung: Alle Schritte werden systematisch dokumentiert, mit definierten Kontrollpunkten und strukturierter Informationsweitergabe im Einklang mit den Grundsätzen der koordinierten Offenlegung.
• Abschluss und kontinuierliche Verbesserung: Fälle werden nach ihrer Lösung formal abgeschlossen, einschließlich einer strukturierten Lessons-Learned-Analyse zur Verbesserung von Produkten und Prozessen.