Richtlinien zur Offenlegung von Sicherheitsrisiken

Melden von Schwachstellen

Commend International schätzt alle Bemühungen von Sicherheitsexperten, die uns mit detaillierten Informationen über Sicherheitsschwachstellen in unseren Produkten und Dienstleistungen unterstützen. Für uns ist es wichtig, dass der erste Bericht ausreichende Detailinformationen enthält, damit wir in der Lage sind, die Auswirkungen der gemeldeten Schwachstelle vollständig zu verstehen. Unser Sicherheitsteam ist gerne bereit, die gemeldete Schwachstelle innerhalb eines angemessenen Zeitraums zu überprüfen und zu reproduzieren. Daher werden wir innerhalb von 15 Tagen antworten.

Die erste Meldung sollte enthalten:

• Ausreichende Details der Schwachstelle, damit sie verstanden und reproduziert werden kann
• Erwartete Auswirkungen der Schwachstelle
• Proof-of-Concept-Code, Skript, Bildschirmfoto (falls vorhanden)
• Etwaige Referenzen oder weiterführende Informationen (falls vorhanden)
• Empfehlung, wie das Problem entschärft oder gelöst werden könnte (falls vorhanden)

Koordinierter Offenlegungsprozess

Commend International nimmt die Sicherheit seiner Systeme ernst. Ein koordinierter Offenlegungsprozess ist unerlässlich, um unsere Kunden vor jeglichen Bedrohungsakteuren zu schützen. Ein Schwachstellenbericht ist der erste Schritt. Diese Aktion erstellt intern ein Ticket der Sicherheitsschwachstelle, das von unserem Sicherheitsteam überprüft wird. Die erste Überprüfung führt zu einem ersten Entwurf einer Auswirkungsanalyse, die in einen Schweregrad gemäß dem Common Vulnerability Scoring System (CVSS) mündet. Die Mitglieder unseres Security Board legen die nächsten Schritte für jede gemeldete Schwachstelle fest. Danach setzen wir uns erneut mit dem Sicherheitsexperten in Verbindung und informieren ihn über den Plan zur Behebung der Schwachstelle, mögliche Gegenmaßnahmen oder Lösungsmöglichkeiten. Obwohl dies für eine einfache Behebung ausreichen kann, gibt es komplexere Schwachstellen, die eine fortlaufende Diskussion zur Klärung zwischen unserem Sicherheitsteam, den beteiligten Entwicklern und dem meldenden Sicherheitsexperten erfordern. Wir freuen uns über eine offene und respektvolle Kommunikation sowie über Empfehlungen, wie das Problem entschärft oder behoben werden kann. Unser Ziel ist es, eine kritische oder hoch eingestufte Schwachstelle in einem angemessenen Zeitraum durch einen Sicherheitspatch zu beheben oder, falls dies nicht möglich ist, im Rahmen der nächsten offiziellen Veröffentlichung. Als letzter Reaktionsschritt wird der Zeitplan für die Veröffentlichung eines Commend Security Advisory (CSA) bekannt gegeben. Daher versuchen wir, eine gemeldete Schwachstelle zu beheben und die Informationen innerhalb von 90 Tagen zu veröffentlichen.