Ασφάλεια

Δήλωση της Cozyla σχετικά με τη συντονισμένη γνωστοποίηση ευπαθειών (Coordinated Vulnerability Disclosure)

Τελευταία ενημέρωση: 28 Αυγούστου 2024

Η Cozyla δεσμεύεται σταθερά να διασφαλίζει την ασφάλεια των πελατών μας που χρησιμοποιούν τα προϊόντα και τις υπηρεσίες μας.

Στρατηγική ασφάλειας

Καθώς οι πληροφορίες σχετικά με τις ευπάθειες είναι ιδιαίτερα ευαίσθητες, σας συνιστούμε θερμά, όταν αναφέρετε μια πιθανή ευπάθεια ασφαλείας στην Cozyla, να χρησιμοποιείτε το δημόσιο κλειδί PGP για κρυπτογράφηση και να μας αποστέλλετε κρυπτογραφημένες τις τεχνικές λεπτομέρειες.

Αρχείο δημόσιου κλειδιού PGP της Cozyla

  • Χρησιμοποιήστε το δημόσιο κλειδί PGP μας για να κρυπτογραφείτε όλες τις υποβολές μέσω email προς τη διεύθυνση security@cozyla.com.

  • Παρακαλούμε να μας παρέχετε επαρκή στοιχεία επικοινωνίας (π.χ. το όνομα της εταιρείας/του οργανισμού σας και το άτομο επικοινωνίας σας), ώστε να μπορούμε να επικοινωνήσουμε μαζί σας.

  • Παρακαλούμε να παρέχετε τεχνική περιγραφή του προβλήματος ή της ευπάθειας.

  • Παρακαλούμε να αναφέρετε ποιο συγκεκριμένο προϊόν δοκιμάσατε, συμπεριλαμβανομένων της ονομασίας του προϊόντος και του αριθμού έκδοσης.

  • Για να διευκολύνετε την επαλήθευση του προβλήματος, παρακαλούμε να μας παρέχετε όλες τις πρόσθετες πληροφορίες, συμπεριλαμβανομένων λεπτομερειών σχετικά με τα εργαλεία που χρησιμοποιήθηκαν για τις δοκιμές, καθώς και τις σχετικές διαμορφώσεις δοκιμών.

Στρατηγική ενημερώσεων συντήρησης λογισμικού

Μόλις εντοπιστεί μια ευπάθεια, το υλικολογισμικό ενημερώνεται ως εξής:

  1. Εντοπισμός: Οι ευπάθειες αναφέρονται από χρήστες ή άλλα μέρη.

  2. Επαλήθευση: Επαλήθευση της αναφερόμενης ευπάθειας.

  3. Αποκατάσταση: Ανάπτυξη λύσης από τον υπεύθυνο τεχνολογίας ασφάλειας και τον μηχανικό λογισμικού.

  4. Επικύρωση: Διενέργεια δοκιμών διασφάλισης ποιότητας (QA) και επικύρωσης για τη λύση που βρέθηκε.

  5. Πιστοποίηση: Εφόσον απαιτείται έλεγχος ταυτότητας Google, τα αντίστοιχα στοιχεία υποβάλλονται σε εργαστήριο πιστοποίησης τρίτου μέρους εξουσιοδοτημένο από την Google για έλεγχο και έγκριση.

  6. Διάθεση: Παράδοση της ενημέρωσης μέσω OTA (Over-The-Air).

Χρόνος απόκρισης

Μετά τη λήψη μιας αναφοράς ευπάθειας, θα επιβεβαιώσουμε την παραλαβή και θα σας ενημερώσουμε εντός περίπου 7 εργάσιμων ημερών. Αυτό περιλαμβάνει την επιβεβαίωση του προβλήματος και μια αρχική ενημέρωση. Οι ενημερώσεις σχετικά με την ανάπτυξη και τη διάθεση της διόρθωσης θα κοινοποιούνται μέσω email το συντομότερο δυνατό.

Μόλις επαληθευτεί μια ευπάθεια, θα γνωστοποιήσουμε λεπτομερείς πληροφορίες σχετικά με το πρόβλημα και την αντίστοιχη λύση σύμφωνα με το ακόλουθο χρονοδιάγραμμα:

  1. Κρίσιμες ευπάθειες (Critical): Αποκατάσταση εντός 30 ημερών·

  2. Υψηλής σοβαρότητας ευπάθειες (High): Αποκατάσταση εντός 60 ημερών·

  3. Μέτριας σοβαρότητας ευπάθειες (Medium): Αποκατάσταση εντός 90 ημερών·

  4. Χαμηλής σοβαρότητας ευπάθειες (Low): Αποκατάσταση σε μεγαλύτερο χρονικό διάστημα.

Σημειώσεις

Τα προϊόντα μας λαμβάνουν τακτικές ενημερώσεις ασφαλείας, ώστε να διασφαλίζεται η συνεχής προστασία. Η προκαθορισμένη περίοδος υποστήριξης για ενημερώσεις ασφαλείας λήγει ένα έτος μετά την κατάσταση End-of-Life (EOL) του προϊόντος. Η κατάσταση αυτή επέρχεται 3 έτη μετά την ημερομηνία κατασκευής του προϊόντος. Η ημερομηνία κατασκευής του προϊόντος αναγράφεται στη συσκευασία του.

Σχέδιο αντιμετώπισης περιστατικών ασφαλείας (Security Response Plan)

Σε περίπτωση περιστατικού ασφαλείας, αυτό πρέπει να αντιμετωπίζεται ως επείγον ζήτημα ύψιστης προτεραιότητας. Ο CEO και ο CTO πρέπει να ενημερωθούν για το περιστατικό και να συμμετάσχουν στην αντιμετώπισή του. Εάν το περιστατικό αφορά ζήτημα συντήρησης λογισμικού, θα αντιμετωπιστεί σύμφωνα με τις διαδικασίες της «Στρατηγικής ενημερώσεων συντήρησης λογισμικού» που περιγράφεται σε αυτήν τη σελίδα.

Πρέπει να συγκληθεί αμέσως έκτακτη συνεδρίαση. Στόχος της συνεδρίασης είναι η συλλογή πληροφοριών, η αποσαφήνιση των περιστάσεων του περιστατικού και η εκτίμηση του αναμενόμενου χρονικού πλαισίου για την αποκατάστασή του.

Νομική σημείωση

Σε περίπτωση που αποφασίσετε να μοιραστείτε πληροφορίες με την Cozyla, συμφωνείτε ότι οι πληροφορίες που υποβάλλετε θεωρούνται μη ιδιόκτητες και μη εμπιστευτικές και ότι η Cozyla δικαιούται να χρησιμοποιεί αυτές τις πληροφορίες με οποιονδήποτε τρόπο, εν όλω ή εν μέρει και χωρίς περιορισμούς. Επιπλέον, συμφωνείτε ότι η υποβολή πληροφοριών δεν δημιουργεί κανένα δικαίωμα για εσάς ή καμία υποχρέωση για την Cozyla.