Bezpečnosť našich produktov, digitálnych služieb a prepojených riešení je pre STIEBEL ELTRON prioritou. Naše produkty vyvíjame a prevádzkujeme s dôrazom na zabezpečenie dôvernosti, integrity, dostupnosti a bezpečnosti pre našich zákazníkov.

Zároveň si uvedomujeme, že napriek dôkladnému vývoju, testovaniu a zabezpečovaniu kvality nemožno úplne vylúčiť vznik zraniteľností. Podnety od bezpečnostných výskumníkov, zákazníkov, partnerov a ďalších osôb nám pomáhajú potenciálne zraniteľnosti včas identifikovať, vyhodnotiť a odstrániť.

Preto vítame zodpovedné hlásenia potenciálnych zraniteľností v súlade s týmito Zásadami zverejňovania zraniteľností.

Tieto zásady opisujú spôsob nahlasovania potenciálnych bezpečnostných zraniteľností spoločnosti STIEBEL ELTRON a spôsob ich spracovania.

Naším cieľom je koordinované zverejňovanie zraniteľností. To znamená, že potenciálna zraniteľnosť by mala byť najskôr dôverne oznámená spoločnosti STIEBEL ELTRON, aby sme ju mohli preveriť, vyhodnotiť a v prípade potreby prijať vhodné opatrenia, ako sú bezpečnostné aktualizácie, konfiguračné odporúčania alebo iné ochranné opatrenia, ešte pred zverejnením technických detailov.

Tieto zásady sa vzťahujú na možné bezpečnostné zraniteľnosti:

• produktov STIEBEL ELTRON,
• softvéru a firmvéru používaného v produktoch STIEBEL ELTRON,
• mobilných a webových aplikácií poskytovaných spoločnosťou STIEBEL ELTRON,
• digitálnych rozhraní, API a komunikačných rozhraní,
• cloudových a vzdialených funkcií, ktoré sú súčasťou produktov alebo služieb STIEBEL ELTRON,
• komponentov tretích strán integrovaných do produktov alebo digitálnych riešení STIEBEL ELTRON.

Tieto zásady sa nevzťahujú na systémy alebo služby tretích strán, za ktoré spoločnosť STIEBEL ELTRON nezodpovedá.

Bezpečnostné zraniteľnosti môžete nahlásiť e-mailom na adresu security@stiebel-eltron.com.

Ak je to možné, uveďte nasledujúce informácie:

• dotknuté produkty alebo služby,
• verzia produktu,
• popis zraniteľnosti,
• kroky na reprodukciu problému,
• možné dôsledky,
• dostupné snímky obrazovky, log súbory alebo dôkazy vo forme proof-of-concept.

Po prijatí hlásenia:

1. potvrdíme jeho prijatie,
2. posúdime nahlásenú zraniteľnosť,
3. prijmeme potrebné nápravné opatrenia,
4. budeme oznamovateľa podľa možností informovať o stave riešenia,
5. v prípade potreby informujeme dotknutých používateľov o zraniteľnosti a o vhodných ochranných alebo nápravných opatreniach.

Zraniteľnosti sú prioritizované podľa miery rizika a závažnosti.

Žiadame všetkých oznamovateľov, aby pri identifikácii a nahlasovaní potenciálnych zraniteľností postupovali zodpovedne, zákonne a obozretne. Dodržiavajte najmä tieto zásady:

• Vykonávajte testy len na systémoch, zariadeniach alebo účtoch, ku ktorým máte oprávnený prístup.
• Nepristupujte k údajom tretích strán a neupravujte, nevymazávajte ani nevynášajte žiadne údaje.
• Vyhnite sa akémukoľvek narušeniu dostupnosti, integrity alebo bezpečnosti produktov, služieb či sietí.
• Nezneužívajte potenciálnu zraniteľnosť nad rámec toho, čo je nevyhnutné na jej overenie.
• Nezverejňujte technické detaily skôr, než budeme mať možnosť zraniteľnosť preveriť a prijať primerané opatrenia.
• Nepoužívajte vydieranie, vyhrážky ani iné formy neprimeraného nátlaku.
• Dodržiavajte všetky platné právne predpisy.

Podporujeme koordinované zverejňovanie bezpečnostných zraniteľností. Preto vás žiadame, aby ste nám pred ich zverejnením poskytli dostatočný čas na preverenie, vyhodnotenie a prípadné odstránenie zraniteľnosti.

Nezverejňujte informácie, pokiaľ:

• sme zraniteľnosť nevyhodnotili,
• nie sú pripravené primerané nápravné opatrenia alebo nie je dohodnutý primeraný termín jej zverejnenia,
• neboli podľa potreby informovaní dotknutí používatelia,
• neboli zohľadnené zákonné oznamovacie a informačné povinnosti.

Ak je zraniteľnosť aktívne zneužívaná alebo predstavuje bezprostredné riziko pre používateľov, môžu byť potrebné odlišné opatrenia, najmä urýchlené informovanie dotknutých osôb alebo príslušných orgánov.

Nasledujúce činnosti nie sú povolené:

• prístup k osobným údajom alebo dôverným informáciám tretích strán,
• úprava alebo vymazanie údajov,
• narušenie dostupnosti systémov alebo služieb,
• vykonávanie útokov typu DoS/DDoS,
• inštalácia škodlivého softvéru,
• sociálne inžinierstvo voči zamestnancom, zákazníkom alebo partnerom,
• fyzické útoky na zariadenia alebo infraštruktúru.

Spoločnosť STIEBEL ELTRON v zásade nepodnikne právne kroky voči osobám, ktoré v dobrej viere, zákonným spôsobom a v súlade s týmito zásadami zodpovedne nahlásia zraniteľnosť.

Platí to však len za predpokladu, že oznamovateľ:

• dodržiava podmienky týchto zásad,
• bez oprávnenia nezískava, neupravuje, nemaže, nezverejňuje ani neposkytuje údaje tretích strán,
• nezasahuje do systémov, produktov ani služieb,
• nezneužíva zraniteľnosť vo vlastný prospech ani na úkor tretích strán,
• nedopúšťa sa protiprávnej činnosti,
• spolupracuje s nami pri koordinovanom riešení hlásenia.

Toto vyhlásenie nepredstavuje vzdanie sa akýchkoľvek práv alebo nárokov v prípade konania mimo rozsahu týchto zásad alebo v rozpore s platnými právnymi predpismi.

Osobné údaje poskytnuté v súvislosti s nahlásením zraniteľnosti budú použité výlučne na spracovanie hlásenia a komunikáciu s oznamovateľom.

Ďalšie informácie nájdete v našich Zásadách ochrany osobných údajov.

Tieto zásady nepredstavujú program Bug Bounty ani nezakladajú nárok na odmenu, finančnú prémiu, náhradu nákladov alebo inú formu kompenzácie.

Ak sa spoločnosť STIEBEL ELTRON v jednotlivých prípadoch rozhodne poskytnúť uznanie alebo verejné poďakovanie, urobí tak dobrovoľne a po predchádzajúcej dohode s oznamovateľom.

Ak je nahlásená zraniteľnosť potvrdená a vyžaduje nápravné opatrenia, spoločnosť STIEBEL ELTRON môže najmä:

• vydať bezpečnostné alebo firmvérové aktualizácie,
• zverejniť bezpečnostné upozornenia,
• poskytnúť dočasné riešenia alebo konfiguračné odporúčania,
• priamo informovať dotknutých používateľov,
• informovať partnerov, predajcov alebo servisných poskytovateľov,
• splniť zákonom vyžadované oznamovacie povinnosti voči príslušným orgánom.

Spoločnosť STIEBEL ELTRON bude dodržiavať všetky zákonné oznamovacie a informačné povinnosti, najmä ak je nahlásená zraniteľnosť klasifikovaná ako aktívne zneužívaná zraniteľnosť alebo ako závažný bezpečnostný incident podľa platných predpisov o kybernetickej bezpečnosti.

V prípade potreby budú oznámenia podávané prostredníctvom príslušných oznamovacích kanálov alebo platforiem a dotknutí používatelia budú informovaní o rizikách a možných ochranných alebo nápravných opatreniach.

Bezpečnostný tím STIEBEL ELTRON

E-mail: security@stiebel-eltron.com

Tento kontakt používajte výhradne na hlásenia týkajúce sa bezpečnosti. V prípade zákazníckeho servisu, poradenstva k produktom alebo technickej podpory využite štandardné kontaktné kanály spoločnosti STIEBEL ELTRON.