CASIO-beleid voor gecoördineerde openbaarmaking van kwetsbaarheden
1. Verbintenis
Casio Computer Co., Ltd. ("CASIO") zet zich in voor het waarborgen van cyberbeveiliging gedurende de volledige levenscyclus van producten.
CASIO beschouwt cyberbeveiliging van producten als een essentieel onderdeel van productkwaliteit. Door veilige, beveiligde en betrouwbare producten en diensten aan te bieden, streeft CASIO ernaar het vertrouwen van klanten te winnen en te behouden.
In overeenstemming met de beginselen van Coordinated Vulnerability Disclosure (CVD) verwelkomt CASIO meldingen van beveiligingskwetsbaarheden van beveiligingsonderzoekers, klanten, partners en andere belanghebbenden. CASIO beoordeelt en verhelpt beveiligingskwetsbaarheden en maakt deze op verantwoorde wijze openbaar.
2. Onderzoek te goeder trouw
CASIO verwelkomt beveiligingsonderzoek dat te goeder trouw wordt uitgevoerd.
CASIO zal geen juridische stappen ondernemen tegen personen die:
- Onderzoek te goeder trouw uitvoeren
- Alle toepasselijke wet- en regelgeving naleven
- Handelingen vermijden die nadelige gevolgen hebben voor klanten, gebruikers of diensten
- Tests beperken tot activiteiten die redelijkerwijs noodzakelijk zijn om de kwetsbaarheid te valideren en te documenteren
- Onnodige toegang tot persoonsgegevens vermijden
- Tests onmiddellijk staken en CASIO informeren indien zij onbedoeld toegang krijgen tot persoonsgegevens of vertrouwelijke informatie
- Activiteiten vermijden die diensten kunnen verstoren, waaronder denial-of-service-aanvallen (DoS)
- Beveiligingskwetsbaarheden rechtstreeks aan CASIO melden en afzien van openbaarmaking van informatie over de kwetsbaarheid totdat CASIO het onderzoek heeft afgerond en passende herstel- of beperkende maatregelen beschikbaar heeft gesteld aan getroffen klanten en belanghebbenden (tenzij met CASIO een eerdere openbaarmaking is overeengekomen)
- Meewerken aan inspanningen voor gecoördineerde openbaarmaking van kwetsbaarheden.
3. Een beveiligingskwetsbaarheid melden
Om een beveiligingskwetsbaarheid te melden die van invloed is op een CASIO-product, -dienst of gerelateerd onderdeel, neemt u contact op met CASIO via de methoden die zijn beschreven in het gedeelte Contactgegevens.
CASIO bevestigt normaal gesproken de ontvangst van meldingen van beveiligingskwetsbaarheden binnen één werkdag.
Vermeld bij het indienen van een melding waar mogelijk de volgende informatie:
- Productnaam
- Modelnummer
- Versie van software, firmware of applicatie
- Beschrijving van de kwetsbaarheid
- Stappen die nodig zijn om het probleem te reproduceren
- Mogelijke impact
- Proof of Concept (PoC), indien beschikbaar
- Of de kwetsbaarheid al openbaar is gemaakt
- Contactgegevens (anonieme meldingen worden geaccepteerd)
- Datum van ontdekking
- Ondersteunende bijlagen, indien van toepassing
4. Contactgegevens en veilige communicatie
U kunt CASIO per e-mail bereiken: cra@casio.de
CASIO kan veilige communicatiemethoden aanbieden om vertrouwelijke informatie over kwetsbaarheden te beschermen.
Contactgegevens voor beveiliging worden zo nodig onderhouden en bijgewerkt.
5. Proces voor de afhandeling van kwetsbaarheden
CASIO beheert gemelde kwetsbaarheden volgens het volgende proces:
- Melding: ontvangst en registratie van informatie over de kwetsbaarheid.
- Analyse: verificatie, technische beoordeling, beoordeling van de ernst en prioritering op basis van risico.
- Afhandeling: ontwikkeling en voorbereiding van beperkende maatregelen, tijdelijke oplossingen of corrigerende maatregelen, indien en voor zover noodzakelijk.
- Openbaarmaking: CASIO kan relevante informatie aan klanten en belanghebbenden bekendmaken zodra een passende herstelmaatregel beschikbaar is gesteld, of als openbaarmaking anderszins noodzakelijk is om gebruikers te beschermen of aan wettelijke verplichtingen te voldoen.
- Wettelijke melding: indien wettelijk vereist, kan CASIO kwetsbaarheden of beveiligingsincidenten melden aan bevoegde autoriteiten en cyberbeveiligingsinstanties en met hen samenwerken..
6. Gecoördineerde openbaarmaking
CASIO ondersteunt praktijken voor gecoördineerde openbaarmaking van kwetsbaarheden.
Om klanten en gebruikers te beschermen, kan CASIO openbaarmaking uitstellen totdat een beveiligingsupdate of beperkende maatregelen beschikbaar zijn, of totdat klanten voldoende tijd hebben gehad om beschermende maatregelen uit te voeren.
CASIO zal ernaar streven het tijdstip van openbaarmaking af te stemmen met de meldende partij.
7. Erkenning
CASIO waardeert personen en organisaties die bijdragen aan het verbeteren van de beveiliging van CASIO-producten en -diensten.
Met toestemming van de meldende partij kan CASIO dergelijke bijdragen erkennen.
8. Beveiligingsadviezen
CASIO kan waar passend beveiligingsadviezen publiceren om klanten te informeren over vastgestelde kwetsbaarheden en beschikbare corrigerende maatregelen.
9. Verantwoordelijkheid
De verantwoordelijkheid voor de beoordeling en het verhelpen van kwetsbaarheden, de gecoördineerde openbaarmaking van kwetsbaarheden en wettelijke meldingen berust bij Casio Computer Co., Ltd. als fabrikant.
Elke andere onderneming van de CASIO-groep die uitsluitend optreedt als importeur, distributeur of verkoopentiteit ondersteunt deze activiteiten waar passend, maar is niet verantwoordelijk voor de verplichtingen van de fabrikant op grond van toepasselijke wet- en regelgeving inzake cyberbeveiliging.
