Richtlinie zur Offenlegung von Schwachstellen (CVE)

Zweck:

Zweck dieser Richtlinie ist es, ein klares und transparentes Verfahren für die Offenlegung von Schwachstellen in den Systemen und Anwendungen von ATISoluciones festzulegen.

Geltungsbereich:

Diese Richtlinie gilt für alle Mitarbeitenden, Auftragnehmer, Lieferanten, Forschenden und Dritten, die Kenntnis von einer Schwachstelle in den Systemen und Anwendungen von ATISoluciones haben.

Offenlegungsverfahren:

1. Identifizierung von Schwachstellen:

Alle Mitarbeitenden, Auftragnehmer, Lieferanten, Dritten oder Forschenden, die eine Schwachstelle in den Systemen und Anwendungen von ATISoluciones entdecken, müssen diese unverzüglich dem Informationssicherheitsteam melden.

2. Meldung von Schwachstellen:

Schwachstellen sind dem Informationssicherheitsteam über den folgenden Kommunikationskanal zu melden, und zwar per E-Mail an die Adresse cve@atisoluciones.com.

Die Meldung muss vollständige und genaue Angaben zur entdeckten Schwachstelle enthalten, einschließlich Beschreibung, möglicher Auswirkungen, detaillierter Schritte zur Reproduktion sowie aller sonstigen relevanten Informationen.

ATISoluciones lässt Sicherheitstests zu, die:

so durchgeführt werden, dass die Sicherheit und Privatsphäre aller unserer Kunden und Partner geschützt sind;
ausschließlich innerhalb des in dieser Richtlinie festgelegten Geltungsbereichs durchgeführt werden;
ATISoluciones zum Zeitpunkt der Offenlegung alle Einzelheiten des Sicherheitsproblems zur Verfügung stellen;
ATISoluciones die Möglichkeit geben, Korrekturmaßnahmen zu ergreifen, bevor die Schwachstelle öffentlich oder gegenüber Dritten bekannt gemacht wird;
die für Sicherheitstests geltenden Gesetze und Vorschriften einhalten.

3. Bewertung und Priorisierung:

Das Informationssicherheitsteam bewertet jede eingegangene Schwachstellenmeldung, um ihre Gültigkeit und ihren Schweregrad festzustellen.
Die Schwachstellen werden nach ihren möglichen Auswirkungen auf die Sicherheit der Systeme und Informationen des Unternehmens priorisiert.

4. Kommunikation der Offenlegung:

Sobald die Schwachstelle bewertet und validiert ist, wird die entdeckende Person über das Ergebnis der Bewertung informiert.
Mit dem Entwicklungsteam oder den Softwarelieferanten wird die Entwicklung und Anwendung der erforderlichen Patches oder Lösungen koordiniert.

5. Offenlegung gegenüber Kunden:

ATISoluciones informiert vorrangig alle von der Schwachstelle betroffenen Kunden (einschließlich der Hinweise zu ihrer Behebung bzw. Beseitigung) 15 Tage vor deren öffentlicher Bekanntgabe, um eine Kulanzfrist für die Behebung einzuräumen.

6. Öffentliche Bekanntgabe:

Die Schwachstelle wird öffentlich bekannt gegeben, sobald die entsprechenden Lösungen entwickelt und angewendet wurden, sofern dies die Sicherheit der Systeme nicht gefährdet.
Die öffentliche Bekanntgabe erfolgt koordiniert und verantwortungsvoll nach den bewährten Verfahren der Schwachstellenoffenlegung und wird unter https://www.atisoluciones.com/incidentes-cve veröffentlicht.

Vertraulichkeit:

Alle Mitteilungen im Zusammenhang mit der Offenlegung von Schwachstellen werden vertraulich behandelt, und die Identität der entdeckenden Person wird auf Wunsch geschützt.

Überprüfung und Aktualisierung:

Diese Richtlinie wird vom Informationssicherheitsteam regelmäßig überprüft und aktualisiert, um ihre Wirksamkeit und Relevanz sicherzustellen. ATISoluciones behält sich zudem das Recht vor, sie ohne vorherige Ankündigung zu aktualisieren.