Bezpieczeństwo naszych produktów, usług cyfrowych i rozwiązań sieciowych jest dla STIEBEL ELTRON najwyższym priorytetem. Opracowujemy i obsługujemy nasze produkty, koncentrując się na zapewnieniu naszym klientom poufności, integralności, dostępności i bezpieczeństwa.

Jednocześnie zdajemy sobie sprawę, że pomimo starannego rozwoju, testowania i kontroli jakości, nie można całkowicie wykluczyć luk w zabezpieczeniach. Informacje zwrotne od badaczy bezpieczeństwa, klientów, partnerów i podmiotów zewnętrznych pomagają nam w odpowiednim czasie identyfikować, oceniać i usuwać potencjalne luki w zabezpieczeniach.

W związku z tym z zadowoleniem przyjmujemy odpowiedzialne zgłoszenia dotyczące potencjalnych luk w zabezpieczeniach zgodnie z niniejszą Polityką ujawniania luk w zabezpieczeniach.

Niniejsza polityka określa sposób zgłaszania firmie STIEBEL ELTRON potencjalnych luk w zabezpieczeniach oraz sposób, w jaki rozpatrujemy takie zgłoszenia.

Naszym celem jest zapewnienie skoordynowanego ujawniania luk w zabezpieczeniach. Oznacza to, że każda potencjalna luka w zabezpieczeniach powinna zostać nam najpierw zgłoszona w sposób poufny, abyśmy mogli ją zbadać i ocenić, a w razie potrzeby zapewnić odpowiednie środki zaradcze (takie jak aktualizacje zabezpieczeń, wskazówki dotyczące konfiguracji lub inne środki ochronne), zanim jakiekolwiek szczegóły techniczne staną się publicznie znane.

Niniejsza polityka ma zastosowanie w przypadku wszelkich potencjalnych luk w zabezpieczeniach produktów, oprogramowania, oprogramowania sprzętowego, aplikacji, interfejsów cyfrowych i powiązanych usług firmy STIEBEL ELTRON, o ile są one dostarczane, obsługiwane lub zarządzane przez firmę STIEBEL ELTRON.

Zakres obejmuje w szczególności:

• Połączone urządzenia i systemy firmy STIEBEL ELTRON
• Oprogramowanie i oprogramowanie sprzętowe stosowane w produktach STIEBEL ELTRON
• Aplikacje mobilne i aplikacje internetowe, o ile są udostępniane przez STIEBEL ELTRON
• Interfejsy cyfrowe, API i interfejsy komunikacyjne
• Funkcje w chmurze lub zdalne, jeśli stanowią część produktu lub usługi firmy STIEBEL ELTRON
• Komponenty innych firm, o ile są zawarte w produktach lub rozwiązaniach cyfrowych firmy STIEBEL ELTRON

Niniejsza gwarancja nie obejmuje systemów i usług stron trzecich, za które firma STIEBEL ELTRON nie ponosi odpowiedzialności.

Luki w zabezpieczeniach można zgłaszać pocztą elektroniczną na adres: security@stiebel-eltron.com.

Proszę podać, jeśli to możliwe, następujące informacje:

• Produkty lub usługi, których to dotyczy
• Wersja produktu
• Opis luki w zabezpieczeniach
• Kroki pozwalające odtworzyć problem
• Możliwe konsekwencje
• Wszelkie dostępne zrzuty ekranu, pliki dziennika lub dowody potwierdzające koncepcję

Po otrzymaniu zgłoszenia:

1. Potwierdzimy jego otrzymanie
2. Ocenimy zgłoszoną lukę
3. Podejmiemy niezbędne środki naprawcze
4. Jeśli to możliwe, poinformujemy sygnalistę o statusie rozwiązania
5. W razie konieczności informujemy użytkowników, których to dotyczy o odpowiednich środkach ochronnych lub naprawczych.

Luki są priorytetyzowane na podstawie poziomu ryzyka i krytyczności.

Zwracamy się do wszystkich sygnalistów z prośbą o odpowiedzialne, zgodne z prawem i ostrożne działanie przy identyfikowaniu i zgłaszaniu potencjalnych luk w zabezpieczeniach. W szczególności prosimy o przestrzeganie następujących zasad:

• Testy wykonuj wyłącznie w systemach, urządzeniach i kontach, do których masz autoryzowany dostęp.
• Nie uzyskuj dostępu do danych osób trzecich i nie modyfikuj, nie usuwaj ani nie ujawniaj żadnych danych.
• Unikaj wpływu na dostępność, integralność lub bezpieczeństwo produktów, usług lub sieci.
• Nie wykorzystuj potencjalnej luki w zabezpieczeniach w stopniu wykraczającym poza zakres konieczny do weryfikacji.
• Nie publikuj żadnych szczegółów technicznych, dopóki nie będziemy mieli możliwości zbadania luki w zabezpieczeniach i podjęcia odpowiednich działań.
• Nie stosuj szantażu, gróźb ani innych form nieuzasadnionej presji.
• Przestrzegaj wszystkich obowiązujących przepisów prawa.

Popieramy skoordynowane ujawnianie luk w zabezpieczeniach. Dlatego prosimy o zapewnienie nam wystarczającej ilości czasu na zbadanie, ocenę i - w razie potrzeby - usunięcie luki przed jej upublicznieniem.

Należy unikać upubliczniania tych informacji do czasu, aż:

• Ocenimy lukę w zabezpieczeniach
• Zostaną wprowadzone odpowiednie środki zaradcze lub uzgodniony zostanie rozsądny termin upublicznienia informacji
• Będzie możliwe poinformowanie zainteresowanych użytkowników, jeśli jest to właściwe
• Zostaną uwzględnione ustawowe obowiązki w zakresie zgłaszania lub informowania

Jeżeli luka jest już aktywnie wykorzystywana lub istnieje bezpośrednie zagrożenie dla użytkowników, konieczne może być podjęcie innych środków, w szczególności przyspieszone powiadomienie osób dotkniętych problemem lub odpowiednich organów.

Następujące działania są zabronione:

• Dostęp do danych osobowych lub informacji poufnych należących do osób trzecich
• Zmiana lub usunięcie danych
• Zakłócenie dostępności systemów lub usług
• Wykorzystanie ataków typu „odmowa usługi” (DoS/DDoS)
• Instalacja złośliwego oprogramowania
• Manipulacja psychiczna skierowana przeciwko pracownikom, klientom lub partnerom
• Ataki fizyczne na obiekty lub infrastrukturę

Zasadniczo STIEBEL ELTRON nigdy nie podejmie kroków prawnych przeciwko osobom, które w sposób odpowiedzialny, w dobrej wierze, zgodnie z prawem i niniejszymi zasadami zgłoszą lukę w zabezpieczeniach.

Jednakże ma to zastosowanie wyłącznie pod warunkiem, że osoba powiadamiająca:

• Przestrzega warunków niniejszej polityki
• Nie uzyskuje, nie modyfikuje, nie usuwa, nie publikuje ani nie udostępnia danych osób trzecich bez zezwolenia
• Nie zakłóca działania systemów, produktów ani usług
• Nie wykorzystuje żadnych luk w zabezpieczeniach do własnych celów lub na szkodę osób trzecich
• Nie dopuszcza się żadnych czynów niezgodnych z prawem
• Współpracuje z nami w celu skoordynowanego rozpatrzenia zgłoszenia

Niniejsze oświadczenie nie stanowi zrzeczenia się jakichkolwiek praw lub roszczeń w związku z działaniami podjętymi poza zakresem niniejszej polityki lub z naruszeniem obowiązującego prawa.

Dane osobowe przekazane w związku ze zgłoszeniem luki w zabezpieczeniach będą wykorzystywane wyłącznie w celu rozpatrzenia zgłoszenia i nawiązania kontaktu ze zgłaszającym.

Więcej szczegółów można znaleźć w naszej polityce prywatności.

Niniejsza polityka nie stanowi programu nagród za wykrywanie błędów i nie daje prawa do wynagrodzenia, nagrody, zwrotu kosztów ani żadnej innej formy świadczenia wzajemnego.

Jeżeli firma STIEBEL ELTRON zdecyduje się na udostępnienie informacji lub podziękowanie w poszczególnych przypadkach, uczyni to dobrowolnie i wyłącznie po uprzednim uzgodnieniu ze zgłaszającym.

W przypadku potwierdzenia zgłoszonej luki w zabezpieczeniach i konieczności podjęcia działań naprawczych, STIEBEL ELTRON może podjąć w szczególności następujące środki:

• Dostarczanie aktualizacji zabezpieczeń lub oprogramowania sprzętowego
• Publikacja ostrzeżeń dotyczących bezpieczeństwa
• Zapewnienie rozwiązania tymczasowego lub zalecenia dotyczące konfiguracji
• Bezpośrednie powiadomienie użytkowników, których to dotyczy
• Powiadomienie partnerów, sprzedawców detalicznych lub dostawców usług
• Wymagane prawnie raporty dla właściwych organów

Firma STIEBEL ELTRON będzie przestrzegać ustawowych obowiązków sprawozdawczych i informacyjnych, w szczególności w przypadku, gdy zgłoszona luka w zabezpieczeniach zostanie sklasyfikowana jako aktywnie wykorzystywana luka lub poważny incydent bezpieczeństwa zgodnie z obowiązującymi przepisami dotyczącymi cyberbezpieczeństwa.

W razie konieczności zgłoszenia będą dokonywane za pośrednictwem odpowiednich kanałów lub platform zgłoszeniowych, a poszkodowani użytkownicy zostaną poinformowani o ryzyku i wszelkich możliwych środkach ochronnych lub zaradczych.

Zespół ds. bezpieczeństwa STIEBEL ELTRON

Adres e-mail: security@stiebel-eltron.com

Prosimy o kontakt wyłącznie w sprawach związanych z bezpieczeństwem. W celu obsługi klienta, porady dotyczącej produktu lub wsparcia technicznego prosimy o korzystanie ze standardowych kanałów kontaktowych STIEBEL ELTRON.