Product Security / PSIRT

Kwetsbaarheden op verantwoorde wijze melden – voor veilige producten, digitale oplossingen en diensten van GRIMME.

Samen voor veilige producten en digitale oplossingen

Het vroegtijdig opsporen en op verantwoorde wijze aanpakken van kwetsbaarheden vormt een essentieel onderdeel van de productveiligheid bij GRIMME. Bij GRIMME staat de veiligheid van producten, digitale oplossingen en diensten hoog in het vaandel. Ter ondersteuning van een verantwoorde openbaarmaking en voortdurende verbetering heeft GRIMME een Product Security Incident Response Team (PSIRT) opgezet. Externe derden kunnen potentiële kwetsbaarheden via een openbaar toegankelijk en permanent beschikbaar meldkanaal aan GRIMME doorgeven. Meldingen worden vertrouwelijk behandeld en kunnen zonder voorafgaande authenticatie worden ingediend.

Zo meld je een kwetsbaarheid

Als je een mogelijk beveiligingslek hebt ontdekt, kun je dit telefonisch melden bij het GRIMME PSIRT. Om een snelle afhandeling te garanderen, vragen we je om zoveel mogelijk van de volgende informatie te verstrekken.

Betrokken product of systeem

Software- of firmwareversie

Beschrijving van de geïdentificeerde kwetsbaarheid, eventueel met een reeds toegekende CVE-identificatiecode (Common Vulnerabilities and Exposures)

Beschrijving van de impact

Optioneel: reproductiestappen of proof of concept

Optioneel: contactgegevens voor vragen

Documentatie van de kwetsbaarheden

Na analyse en oplossing publiceert GRIMME veiligheidsinformatie (Security Advisories) over relevante kwetsbaarheden in een geschikte vorm.

Deze beveiligingsadviezen bevatten ten minste:

een begrijpelijke beschrijving van de kwetsbaarheid en de gevolgen ervan
informatie over de betrokken producten en versies
concrete aanbevelingen en maatregelen voor veilig gebruik

De publicatie kan (indien overeengekomen) in samenwerking met de meldende instanties plaatsvinden.

Actuele veiligheidsinstructies:

Veiligheidsinformatie	jaar
Er zijn momenteel geen gepubliceerde veiligheidsadviezen beschikbaar.

Richtlijnen en aanwijzingen

Dit beleid is van toepassing op alle openbaar toegankelijke systemen, applicaties en diensten van GRIMME, tenzij uitdrukkelijk uitgesloten.

Vallen buiten het toepassingsgebied:

Denial-of-Service (DoS) of belastingstests
Social engineering
Fysieke aanvallen
Aanvallen op derden of leveranciers

Toepassingsgebied

Dit beleid is van toepassing op alle openbaar toegankelijke systemen, applicaties en diensten van GRIMME, tenzij uitdrukkelijk uitgesloten.

Vallen buiten het toepassingsgebied:

Denial-of-Service (DoS) of belastingstests
Social engineering
Fysieke aanvallen
Aanvallen op derden of leveranciers

Bevoegdheden en organisatie

De afhandeling van binnenkomende meldingen van kwetsbaarheden gebeurt centraal door het GRIMME Product Security Incident Response Team (PSIRT).

Het PSIRT is verantwoordelijk voor:

het in ontvangst nemen en documenteren van meldingen
de technische beoordeling en prioritering van kwetsbaarheden
de interne coördinatie van analyse- en herstelmaatregelen
de afgestemde externe communicatie van veiligheidsrelevante informatie

Safe Harbor

Wij ondersteunen verantwoord veiligheidsonderzoek en verbinden ons ertoe geen juridische stappen te ondernemen tegen personen die te goeder trouw handelen en zich aan dit beleid houden.

Dit geldt met name onder de volgende voorwaarden:

Er worden geen gegevens van derden ingezien, gewijzigd of geëxfiltreerd, tenzij dit onvermijdelijk en minimaal noodzakelijk is om de kwetsbaarheid aan te tonen.
Er worden geen systemen opzettelijk verstoord (bijvoorbeeld door DoS, gegevensverwijdering of onderbreking van de dienstverlening).
Gevonden kwetsbaarheden worden onmiddellijk en vertrouwelijk aan ons gemeld en niet openbaar gemaakt voordat wij voldoende tijd hebben gehad om deze te verhelpen.

In het kader van deze voorwaarden beschouwen wij uw activiteiten als geautoriseerd en zullen wij geen civielrechtelijke of strafrechtelijke stappen ondernemen. Mocht er onbedoeld gevoelige informatie bij betrokken zijn, dan verwachten wij dat u deze niet opslaat, doorgeeft of op andere wijze gebruikt en ons hiervan onmiddellijk op de hoogte stelt.

Houd er rekening mee dat deze Safe Harbor niet van toepassing is op activiteiten die in strijd zijn met de geldende wetgeving of die verder gaan dan de bovengenoemde voorwaarden.

Gecoördineerde aanpak van kwetsbaarheden (Coordinated Vulnerability Disclosure)

GRIMME hanteert het principe van een gecoördineerde aanpak van kwetsbaarheden. Alle binnenkomende meldingen worden vertrouwelijk behandeld en door het PSIRT gecontroleerd, beoordeeld en geprioriteerd. Externe publicatie van veiligheidsrelevante informatie vindt op gecoördineerde wijze plaats en pas nadat de beoordeling is afgerond en passende corrigerende maatregelen zijn doorgevoerd. Het doel is om risico’s voor klanten en exploitanten tot een minimum te beperken en ongetoetste of niet-gepatchte openbaarmakingen te voorkomen.

In het geval van kwetsbaarheden of beveiligingsincidenten waarvoor een meldingsplicht geldt, behouden wij ons het recht voor om informatie door te geven aan bevoegde autoriteiten en toezichthoudende instanties in overeenstemming met de geldende wettelijke vereisten.

Houd er rekening mee dat wij vanwege wettelijke voorschriften, vertrouwelijkheidseisen of lopende onderzoeken mogelijk niet alle details over gemelde kwetsbaarheden kunnen openbaar maken of de volledige verwerkingsstatus kunnen meedelen.

Het kan dan ook voorkomen dat er pas na een definitieve beoordeling of bij de publicatie van veiligheidsinformatie feedback wordt gegeven aan de melder.

Contact:

GRIMME Landmaschinenfabrik SE & Co. KG

Hunteburger Straße 32

DE-49401 Damme

PSIRT Contact: +49 5491 6660