Bezpečnost našich produktů, digitálních služeb a propojených řešení je pro STIEBEL ELTRON prioritou. Naše produkty vyvíjíme a provozujeme s důrazem na zajištění důvěrnosti, integrity, dostupnosti a bezpečnosti pro naše zákazníky.

Zároveň si uvědomujeme, že navzdory důkladnému vývoji, testování a zabezpečování kvality nelze zcela vyloučit vznik zranitelností. Podněty od bezpečnostních výzkumníků, zákazníků, partnerů a dalších osob nám pomáhají potenciální zranitelnosti včas identifikovat, vyhodnotit a odstranit.

Proto vítáme zodpovědná hlášení potenciálních zranitelností v souladu s těmito Zásadami zveřejňování zranitelností.

Tyto zásady popisují způsob nahlašování potenciálních bezpečnostních zranitelností společnosti STIEBEL ELTRON a způsob jejich zpracování.

Naším cílem je koordinované zveřejňování zranitelností. To znamená, že potenciální zranitelnost by měla být nejprve důvěrně oznámena společnosti STIEBEL ELTRON, abychom ji mohli prověřit, vyhodnotit a v případě potřeby přijmout vhodná opatření, jako jsou bezpečnostní aktualizace, konfigurační doporučení nebo jiná ochranná opatření, ještě před zveřejněním technických detailů.

Tyto zásady se vztahují na možné bezpečnostní zranitelnosti:

• produktů STIEBEL ELTRON,
• softwaru a firmwaru používaného v produktech STIEBEL ELTRON,
• mobilních a webových aplikací poskytovaných společností STIEBEL ELTRON,
• digitálních rozhraní, API a komunikačních rozhraní,
• cloudových a vzdálených funkcí, které jsou součástí produktů nebo služeb STIEBEL ELTRON,
• komponent třetích stran integrovaných do produktů nebo digitálních řešení STIEBEL ELTRON.

Tyto zásady se nevztahují na systémy nebo služby třetích stran, za které společnost STIEBEL ELTRON neodpovídá.

Bezpečnostní zranitelnosti můžete nahlásit e-mailem na adresu security@stiebel-eltron.com .

Pokud je to možné, uveďte následující informace:

• dotyčné produkty nebo služby,
• verze produktu,
• popis zranitelnosti,
• kroky k reprodukci problému,
• možné důsledky,
• dostupné snímky obrazovky, log soubory nebo důkazy ve formě proof-of-concept.

Po přijetí hlášení:

1. potvrdíme jeho přijetí,
2. posoudíme nahlášenou zranitelnost,
3. přijmeme nezbytná nápravná opatření,
4. budeme oznamovatele podle možností informovat o stavu řešení,
5. v případě potřeby informujeme dotčené uživatele o zranitelnosti ao vhodných ochranných nebo nápravných opatřeních.

Zranitelnosti jsou prioritizovány podle míry rizika a závažnosti.

Žádáme všechny oznamovatele, aby při identifikaci a ohlašování potenciálních zranitelností postupovali zodpovědně, zákonně a obezřetně. Dodržujte zejména tyto zásady:

• Provádějte testy pouze na systémech, zařízeních nebo účtech, ke kterým máte oprávněný přístup.
• Nepřistupujte k údajům třetích stran a neupravujte, nevymazávejte ani nevynášejte žádné údaje.
• Vyhněte se jakémukoli narušení dostupnosti, integrity nebo bezpečnosti produktů, služeb či sítí.
• Nezneužívejte potenciální zranitelnost nad rámec toho, co je nezbytné pro její ověření.
• Nezveřejňujte technické detaily dříve, než budeme mít možnost zranitelnost prověřit a přijmout přiměřená opatření.
• Nepoužívejte vydírání, výhrůžky ani jiné formy nepřiměřeného nátlaku.
• Dodržujte všechny platné právní předpisy.

Podporujeme koordinované zveřejňování bezpečnostních zranitelností. Proto vás žádáme, abyste nám před jejich zveřejněním poskytli dostatečný čas na prověření, vyhodnocení a případné odstranění zranitelnosti.

Nezveřejňujte informace, pokud:

• jsme zranitelnost nevyhodnotili,
• nejsou připravena přiměřená nápravná opatření nebo není dohodnut přiměřený termín jejího zveřejnění,
• nebyli podle potřeby informováni dotčení uživatelé,
• nebyly zohledněny zákonné oznamovací a informační povinnosti.

Pokud je zranitelnost aktivně zneužívána nebo představuje bezprostřední riziko pro uživatele, mohou být nutná odlišná opatření, zejména urychlené informování dotyčných osob nebo příslušných orgánů.

Následující činnosti nejsou povoleny:

• přístup k osobním údajům nebo důvěrným informacím třetích stran,
• úprava nebo vymazání údajů,
• narušení dostupnosti systémů nebo služeb,
• provádění útoků typu DoS/DDoS,
• instalace škodlivého softwaru,
• sociální inženýrství vůči zaměstnancům, zákazníkům nebo partnerům,
• fyzické útoky na zařízení nebo infrastrukturu.

Společnost STIEBEL ELTRON v zásadě nepodnikne právní kroky vůči osobám, které v dobré víře, zákonným způsobem av souladu s těmito zásadami zodpovědně nahlásí zranitelnost.

Platí to však jen za předpokladu, že oznamovatel:

• dodržuje podmínky těchto zásad,
• bez oprávnění nezískává, neupravuje, nemaže, nezveřejňuje ani neposkytuje údaje třetích stran,
• nezasahuje do systémů, produktů ani služeb,
• nezneužívá zranitelnost ve vlastní prospěch ani na úkor třetích stran,
• nedopouští se protiprávní činnosti,
• spolupracuje s námi při koordinovaném řešení hlášení.

Toto prohlášení nepředstavuje vzdání se jakýchkoli práv nebo nároků v případě jednání mimo rozsah těchto zásad nebo v rozporu s platnými právními předpisy.

Osobní údaje poskytnuté v souvislosti s nahlášením zranitelnosti budou použity výhradně ke zpracování hlášení a komunikaci s oznamovatelem.

Další informace naleznete v našich Zásadách ochrany osobních údajů.

Tyto zásady nepředstavují program Bug Bounty ani nezakládají nárok na odměnu, finanční prémii, náhradu nákladů nebo jinou formu kompenzace.

Pokud se společnost STIEBEL ELTRON v jednotlivých případech rozhodne poskytnout uznání nebo veřejné poděkování, učiní tak dobrovolně a po předchozí dohodě s oznamovatelem.

Pokud je nahlášená zranitelnost potvrzena a vyžaduje nápravná opatření, společnost STIEBEL ELTRON může zejména:

• vydat bezpečnostní nebo firmwarové aktualizace,
• zveřejnit bezpečnostní upozornění,
• poskytnout dočasná řešení nebo konfigurační doporučení,
• přímo informovat dotčené uživatele,
• informovat partnery, prodejce nebo servisní poskytovatele,
• splnit zákonem vyžadované oznamovací povinnosti vůči příslušným orgánům.

Společnost STIEBEL ELTRON bude dodržovat všechny zákonné oznamovací a informační povinnosti, zejména pokud je nahlášená zranitelnost klasifikována jako aktivně zneužívaná zranitelnost nebo jako závažný bezpečnostní incident podle platných předpisů o kybernetické bezpečnosti.

V případě potřeby budou oznámení podávána prostřednictvím příslušných oznamovacích kanálů nebo platforem a dotčení uživatelé budou informováni o rizicích a možných ochranných nebo nápravných opatřeních.

Bezpečnostní tým STIEBEL ELTRON

E-mail: security@stiebel-eltron.com

Tento kontakt používejte výhradně pro hlášení týkající se bezpečnosti. V případě zákaznického servisu, poradenství k produktům nebo technické podpory využijte standardní kontaktní kanály společnosti STIEBEL ELTRON.