EVIDENT-Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (CVD) und Erklärung zur Produktsicherheit

Einleitung

EVIDENT nimmt Cybersicherheit und Produktsicherheit sehr ernst. Wir verpflichten uns, die Sicherheit unserer Nutzer und Patienten zu gewährleisten, die Vertraulichkeit ihrer Daten zu schützen und die Sicherheit unserer Produkte und Dienstleistungen mit digitalen Elementen zu gewährleisten.

Um professionell mit allen Bedrohungen im stetig wachsenden und hochkomplexen Bereich der Cybersicherheit umgehen zu können, haben wir ein Produktsicherheitsteam mit engagierten Fachleuten aufgebaut, die kontinuierlich an wichtigen Themen wie Risikobewertung, Bedrohungsmodellierung, sicherem Design, sicherer Programmierung und einem durchgängig sicheren Entwicklungslebenszyklus (SDLC) unserer Produkte arbeiten.

Die Meldung und Offenlegung von Sicherheitslücken sind ebenfalls wesentliche Säulen unserer Cybersicherheitsstrategie.

Wir stellen diese Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) zur Verfügung, um die verantwortungsvolle Meldung und Behebung von Sicherheitslücken zu unterstützen.

Sofern sich die regulatorischen Verpflichtungen je nach Rechtsordnung unterscheiden, wendet EVIDENT den für das betroffene Produkt und den jeweiligen Markt geltenden Rechtsrahmen an.

Geltungsbereich

Diese CVD-Richtlinie gilt für:

So melden Sie eine Sicherheitslücke

EVIDENT stellt einen öffentlichen und leicht zugänglichen Kanal zur Entgegennahme von Sicherheitslücken bereit, um den Erwartungen hinsichtlich Auffindbarkeit, optionaler anonymer Meldung und strukturierter Erfassung gerecht zu werden. Diese CVD-Richtlinie unterstützt die öffentliche Entgegennahme von Sicherheitslücken und die Koordination mit den Meldenden, ersetzt, beschränkt oder definiert jedoch nicht die separaten gesetzlichen Meldepflichten von EVIDENT gemäß dem CRA oder anderen geltenden Gesetzen gegenüber CSIRTs, der ENISA, Marktüberwachungsbehörden oder anderen zuständigen Stellen, sofern zutreffend.

Sie können eine Sicherheitslücke per E-Mail melden:product.security.reporting@evidentscientific.com .

Bitte reichen Sie den Schwachstellenbericht nach Möglichkeit in englischer Sprache ein, um die Analyse Ihres Berichts zu beschleunigen.

Zur Meldung einer Sicherheitslücke sind, soweit dies vernünftigerweise möglich ist, folgende Informationen erforderlich:

  1. Eine kurze Zusammenfassung der Sicherheitslücke
  2. Eine detaillierte Beschreibung der Sicherheitslücke
  3. Mögliche Auswirkungen der Sicherheitslücke
  4. Betroffene Produkte und Versionen
  5. Gegebenenfalls Konfigurationsdetails, wie z. B. die Systemhardware-Konfiguration (Variante), angeschlossene Hardwaregeräte für die betreffende Konfiguration, Betriebssystem, Netzwerkverbindung usw.
  6. Falls zutreffend: Welche Komponente eines Drittanbieters ist betroffen?
  7. Tools und Methoden zur Aufdeckung und Ausnutzung der Sicherheitslücke
  8. Schritte zur Reproduktion der Sicherheitslücke
  9. Falls verfügbar, ein Proof-of-Concept (z. B. Ausnutzungscode), der belegt, dass die Schwachstelle in der Praxis ausgenutzt werden kann
  10. Für die Ausnutzung der Schwachstelle erforderliche Berechtigungen
  11. Nachweis, ob die Schwachstelle bereits aktiv ausgenutzt wird
  12. Optional: Ihre Kontaktdaten und die Angabe, ob es zulässig ist, dass EVIDENT Ihre Kontaktdaten an einen Drittanbieter weiterleitet, falls die Sicherheitslücke in einer Drittanbieter-Komponente gefunden wurde, die in einem unserer Produkte oder Dienste verwendet wird.

Mit der Einreichung eines Sicherheitslückenberichts gewähren Sie EVIDENT ein nicht exklusives, weltweites und gebührenfreies Recht, die übermittelten Informationen ausschließlich zum Zweck der Untersuchung, Validierung, Behebung und verantwortungsvollen Offenlegung der gemeldeten Sicherheitslücke zu nutzen, zu vervielfältigen und weiterzugeben.

EVIDENT wird Sicherheitslückenmeldungen und damit verbundene Informationen mit der gebotenen Sorgfalt behandeln und diese Informationen nicht für Zwecke verwenden, die nicht im Zusammenhang mit der Produktsicherheit, dem Umgang mit Sicherheitslücken oder der Einhaltung geltender gesetzlicher und behördlicher Anforderungen stehen.

Sie erklären sich damit einverstanden, dass die Übermittlung von Informationen keine Rechte für Sie begründet (außer den in dieser Richtlinie ausdrücklich genannten) und keine vertraglichen Verpflichtungen für EVIDENT entstehen, die über die durch geltendes Recht vorgeschriebenen hinausgehen.

Koordinierte Offenlegung, Reaktionsprozess und Verpflichtung

Nach Erhalt einer Sicherheitslückenmeldung wird EVIDENT:

  1. sich bemühen, den Eingang des Berichts so bald wie vernünftigerweise möglich zu bestätigen, sofern Sie Ihre Kontaktdaten angegeben und sich nicht für eine anonyme Meldung entschieden haben. EVIDENT wird Ihnen eine eindeutige Bearbeitungsnummer zur Verfügung stellen, mit der Sie sich auf diesen Vorgang beziehen können.
  2. Ihnen die Möglichkeit bieten, die Kommunikation mit EVIDENT sicher fortzusetzen (z. B. durch E-Mail-Verschlüsselung), und Sie um Ihre Mithilfe bitten, falls Klärungsbedarf besteht
  3. die gemeldete Sicherheitslücke durch unser Product Security Incident Response Team (PSIRT) überprüfen
  4. an einer Lösung arbeiten und diese validieren
  5. Ergreifen geeigneter Maßnahmen (z. B. durch Offenlegung dieser Informationen, Bereitstellung eines Sicherheitsupdates usw.)
  6. Falls die gemeldete Sicherheitslücke in einer Komponente eines Drittanbieters in einem unserer Produkte oder Dienste festgestellt wird, kann EVIDENT die für die Behebung erforderlichen Details der Sicherheitslücke an den betreffenden Drittanbieter weitergeben. Ihre Kontaktdaten werden nur dann an den Drittanbieter weitergeleitet, wenn Sie einer solchen Weitergabe ausdrücklich zugestimmt haben. Wird keine Zustimmung erteilt, wird EVIDENT, soweit möglich, die Sicherheitslücke melden, ohne Ihre Identität oder Ihre persönlichen Kontaktdaten preiszugeben.

EVIDENT verfolgt bei der öffentlichen Offenlegung von Sicherheitslücken einen koordinierten und risikobasierten Ansatz.

Der Zeitpunkt der Offenlegung kann angepasst werden, sofern dies angemessen und sinnvoll ist, unter anderem unter Berücksichtigung:

  1. der Komplexität der Behebung oder Validierung,
  2. Abhängigkeiten von Komponenten oder Lieferanten Dritter oder
  3. die Notwendigkeit, unverhältnismäßige Risiken für Nutzer, Kunden oder die Patientensicherheit zu vermeiden.

Eine vorzeitige Offenlegung kann in Betracht gezogen werden, wenn eine Sicherheitslücke aktiv ausgenutzt wird, ein hohes oder unmittelbares Risiko darstellt oder wenn regulatorische oder risikomindernde Erwägungen eine dringende Kommunikation erfordern.

Im Falle von Zero-Day-Sicherheitslücken kann EVIDENT vor der Verfügbarkeit eines vollständigen Fixes schrittweise oder in begrenztem Umfang Informationen offenlegen, einschließlich vorläufiger Abhilfemaßnahmen oder Workarounds, um das Risiko während der Behebung zu verringern.

Zur Unterstützung dieses Ansatzes wird EVIDENT:

  1. mit Ihnen zusammenarbeiten, um einen angemessenen, risikobasierten Zeitpunkt für die öffentliche Bekanntgabe zu erörtern;
  2. gegebenenfalls bestehende Kundenbenachrichtigungsprozesse nutzen, um die Sicherheitslücke in direkter Kundenkommunikation offenzulegen. Dies kann die Bereitstellung vorläufiger Workarounds umfassen, bis eine öffentliche Lösung vorliegt.
  3. Sicherheitshinweise veröffentlichen, sobald eine Korrektur verfügbar ist oder anderweitig im Einklang mit verhältnismäßigen, risikobasierten Kommunikationsüberlegungen gemäß dem CRA oder anderen geltenden Gesetzen, sofern zutreffend

Für EVIDENT hat die Patientensicherheit Vorrang vor dem Zeitpunkt der Offenlegung. Daher kann EVIDENT beschließen, bestimmte Details der Offenlegung vorübergehend zurückzuhalten, um Schaden zu verhindern.

Meldepflichten gegenüber den EU-Behörden gemäß Artikel 14 der CRA

Die vorstehende Bewertung stellt zudem fest, ob der Bericht sich auf

  1. einer aktiv ausgenutzten Sicherheitslücke und/oder
  2. einem schwerwiegenden Vorfall, der Auswirkungen auf die Sicherheit unserer Produkte hat.

im Sinne der CRA.

Ist dies der Fall, wird EVIDENT, sofern zutreffend, die EU-Behörden gemäß Artikel 14 des CRA über die von der ENISA betriebene Single Reporting Platform (SRP) benachrichtigen. EVIDENT unterhält interne Prozesse, die darauf ausgelegt sind, die Einhaltung der geltenden Meldepflichten gemäß dem CRA zu gewährleisten.

Vorbehaltlich geltender Rechtsvorschriften kann EVIDENT zusätzlich zu den Meldepflichten gemäß der CRA Schwachstellen an nationale CERTs melden.

Die CRA gilt nicht für Produkte mit digitalen Elementen, für die die MDR oder die IVDR gelten.

Verpflichtung zur Nichtvergeltung („Safe Harbor“)

Wenn Sie in gutem Glauben und in Übereinstimmung mit dieser Richtlinie zur koordinierten Offenlegung von Sicherheitslücken handeln, wird EVIDENT keine rechtlichen Schritte gegen Sie wegen Ihrer Forschungs- und Meldeaktivitäten im Zusammenhang mit Sicherheitslücken einleiten. Diese Zusage wird ausschließlich von EVIDENT gegeben und bindet keine Rechte oder Ansprüche Dritter, einschließlich Kunden, Nutzer, Aufsichtsbehörden oder anderer Anbieter, und führt auch nicht zu einem Verzicht darauf oder zu einer Einschränkung derselben.

EVIDENT betrachtet Sicherheitsforschung, die im Rahmen dieser Richtlinie durchgeführt wird, als autorisiert und , vorausgesetzt, dass Sie:

  1. sich nach bestem Wissen und Gewissen bemühen, Datenschutzverletzungen, Dienstunterbrechungen oder nachteilige Auswirkungen auf Nutzer, Patienten oder Kunden zu vermeiden;
  2. Ihre Aktivitäten auf das beschränken, was zur Überprüfung des Vorliegens einer Sicherheitslücke vernünftigerweise erforderlich ist;
  3. Sie halten sich an den Abschnitt „Verantwortungsbewusstes Handeln und verantwortungsbewusste Forschung“ dieser Richtlinie; und
  4. entdeckte Schwachstellen unverzüglich an EVIDENT melden und diese nicht öffentlich bekanntgeben, bevor eine abgestimmte Offenlegung vereinbart wurde.

Diese Safe-Harbor-Regelung gilt nicht für Aktivitäten, die rechtswidrig sind, fahrlässig durchgeführt werden, vorsätzlichen Schaden beinhalten, unbefugten Zugriff, Zugriff auf Kunden- oder Patientendaten, die Umgehung gesetzlicher Verbote, Datenexfiltration über das zur Demonstration der Sicherheitslücke erforderliche Maß hinaus, Erpressung, Social Engineering, Tests in Kundenumgebungen oder Produktionssystemen ohne Genehmigung oder Handlungen, die außerhalb des Geltungsbereichs dieser Richtlinie durchgeführt werden.

EVIDENT behält sich das Recht vor, bei böswilliger Absicht, Arglist oder Nichteinhaltung geltender Gesetze und Vorschriften geeignete Maßnahmen zu ergreifen.

Umfang zulässiger Tests, verantwortungsbewusstes Handeln und verantwortungsbewusste Forschung

Die gemäß dieser Richtlinie zulässige Schwachstellenforschung beschränkt sich auf Produkte und Dienste von EVIDENT, die absichtlich zum Testen bereitgestellt werden, einschließlich dedizierter Test-, Demo- oder Entwicklungsumgebungen sowie öffentlich zugänglicher Schnittstellen, die ausdrücklich für die Interaktion mit Kunden oder Nutzern vorgesehen sind.

Mit Ausnahme von Komponenten, Systemen und Umgebungen, die EVIDENT im Rahmen dieser Richtlinie absichtlich zum Testen zur Verfügung stellt, dürfen Tests nur an Komponenten, Systemen und Konten durchgeführt werden, die sich im Besitz des Forschers befinden oder von ihm kontrolliert werden, und nur unter Verwendung von Techniken, die die Systemverfügbarkeit nicht beeinträchtigen, die Patientensicherheit nicht gefährden und keine Auswirkungen auf echte Nutzer, Kunden oder Patientendaten haben.

Testaktivitäten außerhalb dieses Rahmens bedürfen der ausdrücklichen vorherigen schriftlichen Genehmigung durch EVIDENT.

Bitte befolgen Sie die folgenden Richtlinien, um verantwortungsbewusstes Handeln sicherzustellen:

  1. Halten Sie sich bei Ihren Forschungs- und Testaktivitäten an alle Gesetze und Vorschriften.
  2. Achten Sie bei der Übermittlung von Informationen an EVIDENT oder Dritte darauf, keine sensiblen Daten wie personenbezogene Daten (PII) oder Gesundheitsdaten von Patienten (PHI) in Ihre Kommunikation einzubeziehen. Wenn Sie Screenshots oder andere Anhänge bereitstellen, stellen Sie sicher, dass Sie diese Informationen auf technisch sichere Weise entfernen.
  3. Führen Sie keine Schwachstellentests oder Schwachstellenforschung an Produkten oder Diensten durch, die aktiv genutzt werden, insbesondere nicht in der Patientenversorgung, Patientendiagnostik oder Patientenüberwachung. Beschränken Sie Ihre Test- und Forschungsaktivitäten stattdessen ausschließlich auf Demo- oder Testumgebungen. Unterlassen Sie jegliche Handlungen, die das Produkt oder den Dienst stören könnten (z. B. durch die Durchführung eines Denial-of-Service-Angriffs (DoS)).
  4. Nutzen Sie eine Sicherheitslücke nicht über das Maß hinaus, das zum Nachweis ihres Vorhandenseins unbedingt erforderlich ist.
  5. Nutzen Sie die von Ihnen entdeckte Schwachstelle in keiner Form aus. Dies umfasst unter anderem:
    1. den Zugriff auf oder das Herunterladen von sensiblen und/oder privaten Daten
    2. das Ändern oder Löschen von Daten
    3. Änderungen an einem System vorzunehmen oder Schäden daran zu verursachen
  6. Verwenden Sie während der Tests ausschließlich Ihre eigenen Konten und Systeme; nutzen Sie keine Social-Engineering-Methoden, um Zugriff auf die Konten anderer Personen zu erlangen.
  7. Verwenden Sie keine Brute-Force-Angriffe, um sich Zugang zu Systemen zu verschaffen.

Datenschutz

Alle von Ihnen bereitgestellten personenbezogenen Daten (wie z. B. Ihre Kontaktdaten) werden von EVIDENT ausschließlich zum Zweck der Bearbeitung und Koordination der gemeldeten Sicherheitslücke sowie zur Erfüllung geltender gesetzlicher Verpflichtungen verarbeitet. Diese Daten werden nur so lange aufbewahrt, wie es für diese Zwecke erforderlich ist, und gemäß den geltenden Datenschutzgesetzen sowie der Datenschutzerklärung von EVIDENT verarbeitet, die unter https://evidentscientific.com/de/legal/privacy verfügbar ist.

Bug-Bounties oder „Hall of Honors“

EVIDENT betreibt derzeit kein Bug-Bounty-Programm. Der Melder nimmt zur Kenntnis, dass für die Meldung einer Sicherheitslücke an EVIDENT keine Vergütung oder sonstige Entschädigung gewährt wird.