Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (CVD)
Unser Engagement für Cybersicherheit
Die Sicherheit unserer Lösungen für Zeitsynchronisation und Zeitanzeige hat für uns Priorität. Wir ermutigen Sicherheitsforscher und unabhängige Experten, Schwachstellen in unseren Produkten verantwortungsvoll an uns zu melden. Unsere Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (CVD) beschreibt, wie Schwachstellen gemeldet, geprüft, behoben und kommuniziert werden. So können wir sie angemessen untersuchen und beheben und gleichzeitig die Nutzer unserer Lösungen schützen.
Geltungsbereich der Richtlinie
Diese Richtlinie gilt für Gorgy-Time-Produkte, für die weiterhin Support angeboten wird. Je nach Produkt kann sie Firmware, Weboberflächen, zugehörige Software und Hardwarekomponenten umfassen. Ob Ihr Gerät noch unterstützt wird, erfahren Sie in den Supportinformationen zum jeweiligen Produkt.
Eine Sicherheitslücke melden
Um eine Sicherheitslücke zu melden, verwenden Sie bitte das untenstehende Formular und geben Sie nach Möglichkeit alle Informationen an, die zur Reproduktion und Analyse des Problems erforderlich sind: betroffenes Produkt und Version, Beschreibung des Problems, mögliche Auswirkungen, Schritte zur Reproduktion sowie relevante technische Angaben.
Antwort- und Bearbeitungszeiten
Wir bemühen uns, den Eingang einer Meldung innerhalb von zwei Werktagen zu bestätigen und innerhalb von zehn Werktagen eine erste Rückmeldung zu geben. Wie lange die Untersuchung einer Sicherheitslücke und die Entwicklung einer Korrektur dauern, hängt von ihrer Art und Schwere sowie von den betroffenen Produkten ab. Wir halten die meldende Person über den Fortschritt auf dem Laufenden und stimmen den Zeitplan für die Veröffentlichung mit ihr ab.
Koordinierte Offenlegung und Veröffentlichung
Vor einer Veröffentlichung untersucht unser technisches Team die Sicherheitslücke, bewertet ihre Auswirkungen und ermittelt die betroffenen Produkte. Falls eine Korrektur erforderlich ist, wird sie entwickelt und getestet, bevor sie bereitgestellt wird. Anschließend informieren wir die betroffenen Nutzer je nach Art der Sicherheitslücke über die erforderlichen Maßnahmen. Wenn mehr Zeit benötigt wird, um die Korrektur abzuschließen oder die betroffenen Produkte abzusichern, informieren wir die Nutzer und stimmen die nächsten Schritte mit ihnen ab.
Unser Engagement für verantwortungsvolle Sicherheitsforschung
Gorgy Time unterstützt die verantwortungsvolle Meldung von Sicherheitslücken. Handelt ein Sicherheitsforscher in gutem Glauben und hält er sich an die folgenden Regeln, beabsichtigt Gorgy Time nicht, wegen der im Rahmen dieser Richtlinie durchgeführten Forschungsaktivitäten rechtliche Schritte gegen ihn einzuleiten, soweit dies nach geltendem Recht zulässig ist.
Der Sicherheitsforscher muss insbesondere:
- Tests auf das beschränken, was zur Identifizierung und zum Nachweis der Sicherheitslücke erforderlich ist;
- Daten oder Systeme weder verändern noch zerstören oder in ihrer Verfügbarkeit beeinträchtigen;
- nicht über das für die Meldung unbedingt erforderliche Maß hinaus auf Daten zugreifen, diese kopieren oder offenlegen;
- die Sicherheitslücke weder zum eigenen Vorteil noch zugunsten Dritter ausnutzen;
- die Sicherheitslücke nicht vor Ablauf des mit Gorgy Time vereinbarten Abstimmungszeitraums öffentlich machen, sofern dies nicht vorher genehmigt wurde;
- die Sicherheitslücke so bald wie möglich über einen unserer offiziellen Kanäle melden und bei der Untersuchung in gutem Glauben mitwirken.
Vertraulichkeit und Kommunikation
Die im Rahmen einer Meldung erhaltenen Informationen werden ausschließlich dazu verwendet, die Sicherheitslücke zu untersuchen, eine Korrektur zu entwickeln und die Veröffentlichung vorzubereiten. Die Identität der meldenden Person bleibt vertraulich und wird ohne deren Zustimmung nicht an Dritte weitergegeben, sofern keine gesetzliche Verpflichtung dazu besteht. Bei Bedarf informiert Gorgy Time betroffene Kunden über die Sicherheitslücke und stellt verfügbare Korrekturen oder Maßnahmen zum Schutz ihrer Geräte bereit.
Verantwortungsvolle Meldung
Damit die Forschung zur Verbesserung der Produktsicherheit beiträgt, muss sie verantwortungsvoll durchgeführt werden. Tests dürfen keinen unbefugten Zugriff auf Produktivsysteme, keine Veränderung oder Zerstörung von Daten und keine Extraktion personenbezogener Daten umfassen. Denial-of-Service-Angriffe, Social-Engineering-Versuche sowie jede Ausnutzung einer Sicherheitslücke zu böswilligen Zwecken oder zur Erlangung finanzieller Vorteile sind im Rahmen dieser Richtlinie nicht zulässig.