Termékeink, digitális szolgáltatásaink és megoldásaink biztonsága kiemelten fontos számunkra. Termékeinket úgy fejlesztjük és üzemeltetjük, hogy ügyfeleinknek garantáljuk az adatok titkosságát, integritását, rendelkezésre állását és biztonságát.

Ugyanakkor tisztában vagyunk azzal, hogy a gondos fejlesztés, tesztelés és minőségbiztosítás ellenére sem zárhatók ki teljesen a biztonsági rések. Az ügyfeleinktől, partnereinktől és harmadik féltől érkező visszajelzések segítenek a potenciális biztonsági rések időben történő azonosításában, értékelésében és kijavításában.

Ezért örömmel fogadjuk a potenciális biztonsági résekről szóló felelősségteljes bejelentéseket.

Ez az irányelv meghatározza, hogyan lehet a potenciális biztonsági sebezhetőségeket bejelenteni a STIEBEL ELTRON-nak, és hogyan kezeljük az ilyen bejelentéseket.

Célunk a sebezhetőségek összehangolt nyilvánosságra hozatalának biztosítása. Ez azt jelenti, hogy minden potenciális sebezhetőséget először hozzánk szükséges bizalmasan eljuttatni, hogy kivizsgálhassuk és értékelhessük azt. Szükség esetén megfelelő intézkedéseket, például biztonsági frissítéseket, konfigurációs útmutatásokat vagy egyéb védelmi intézkedéseket tudjunk tenni, mielőtt a technikai részletek nyilvánosságra kerülnének.

Ez az irányelv a STIEBEL ELTRON termékeiben, szoftvereiben, beágyazott szoftvereiben, alkalmazásaiban, digitális interfészeiben és a kapcsolódó szolgáltatásokban előforduló esetleges biztonsági sebezhetőségekre vonatkozik, amennyiben azokat a STIEBEL ELTRON biztosítja, üzemelteti vagy kezeli.

Különösen a következőkre vonatkozik:

• a STIEBEL ELTRON hálózatba kapcsolt eszközei és rendszerei,
• a STIEBEL ELTRON termékeiben használt szoftverek és beágyazott szoftverek,
• mobilalkalmazások és webalkalmazások, amennyiben azokat a STIEBEL ELTRON biztosítja,
• digitális interfészek, API-k és kommunikációs interfészek
• felhőalapú vagy távoli funkciók, amennyiben azok a STIEBEL ELTRON valamely termékének vagy szolgáltatásának részét képezik,
• harmadik féltől származó alkatrészek, amennyiben azok a STIEBEL ELTRON termékeinek vagy digitális megoldásainak részét képezik

Nem tartoznak viszont ide olyan harmadik féltől származó rendszerek vagy szolgáltatások, amelyekért a STIEBEL ELTRON nem felelős.

A biztonsági sebezhetőségeket a security@stiebel-eltron.com email címen lehet bejelenteni. Lehetőség szerint kérjük adja meg a következő adatokat:

• az érintett termék vagy szolgáltatás,
• a termék típusa,
• a sebezhetőség leírása,
• a probléma reprodukálásához szükséges lépések,
• lehetséges következmények
• bármilyen rendelkezésre álló képernyőfotó, naplófájl vagy egyéb bizonyíték.

A bejelentés beérkezését követően...

1. Visszaigazoljuk a bejelentés kézhezvételét

2. Felmérjük a bejelentett biztonsági rést

3. Meghozzuk a szükséges intézkedéseket

4. Amennyiben lehetséges, folyamatosan tájékoztatjuk a bejelentőt a bejelentés állásáról

5. Szükség esetén tájékoztatjuk az érintett felhasználókat a biztonsági résről, valamint a megfelelő védelmi vagy javító intézkedésekről

A biztonsági réseket a kockázat és a kritikus fokozat alapján rangsoroljuk.

Minden bejelentőt arra kérünk, hogy a potenciális sebezhetőségek kivizsgálása és bejelentése során felelősségteljesen, törvényesen és kellő gondossággal járjon el. Kérjük, különösen az alábbiakat vegye figyelembe:

• kizárólag olyan rendszereken, eszközökön vagy fiókokon végezzen teszteket, amelyekhez hozzáférési jogosultsággal rendelkeznek,
• harmadik fél adatait ne szerezze meg, ne módosítsa, ne törölje, illetve ne szivárogtasson ki semmilyen adatot,
• kerülje el a termékek, szolgáltatások vagy hálózatok rendelkezésre állásának, integritásának vagy biztonságának befolyásolását,
• ne használja ki a potenciális sebezhetőséget az ellenőrzéshez szükséges mértéken túl,
• ne tegyen közzé semmilyen technikai részletet, mielőtt lehetősége lenne kivizsgálni a sebezhetőséget és megtenni a megfelelő intézkedéseket,
• tartózkodjon a zsarolástól, fenyegetésektől vagy bármilyen más formájú indokolatlan nyomásgyakorlástól,
• tartsa be az összes vonatkozó jogi előírást.

Támogatjuk a biztonsági sebezhetőségek összehangolt közzétételét. Ezért kérjük, hogy a sebezhetőség nyilvánosságra hozatala előtt biztosítsanak számunkra elegendő időt a sebezhetőség kivizsgálására, értékelésére és – amennyiben szükséges – kijavítására.

Kérjük, ne hozzák nyilvánosságra az alábbi információkat mindaddig, amíg:

• értékeltük a sebezhetőséget,
• megfelelő javító intézkedések léptek életbe, vagy megegyeztünk a nyilvánosságra hozatal ésszerű időpontjáról,
• lehetőség nyílt az érintett felhasználók tájékoztatására, amennyiben ez indokolt,
• figyelembe vettük a törvényes bejelentési vagy tájékoztatási kötelezettségeket.

Ha egy sebezhetőséget már aktívan kihasználnak, vagy ha azonnali kockázatot jelent a felhasználókra nézve, eltérő intézkedésekre lehet szükség, különösen az érintett személyek vagy az illetékes hatóságok mielőbbi értesítésére.

A következő cselekmények nem megengedettek:

• harmadik felekhez tartozó személyes adatokhoz vagy bizalmas információkhoz való hozzáférés,
• adatok módosítása vagy törlése,
• a rendszerek vagy szolgáltatások rendelkezésre állásának megzavarása,
• szolgáltatásmegtagadási támadások (DoS/DDoS) alkalmazása,
• rosszindulatú szoftverek telepítése
• alkalmazottakra, ügyfelekre vagy partnerekre irányuló társadalmi manipuláció,
• létesítmények vagy infrastruktúra elleni fizikai támadások

Alapelvként a STIEBEL ELTRON soha nem indít jogi eljárást azok ellen, akik jóhiszeműen, törvényesen és a jelen irányelvnek megfelelően járnak el, amikor felelősségteljesen bejelentenek egy biztonsági rést.

Ez akkor érvényes, amennyiben a biztonsági rést bejelentő személy:

• betartja a jelen irányelv feltételeit,
• engedély nélkül nem gyűjti, nem módosítja, nem törli, nem teszi közzé és nem hozza nyilvánosságra harmadik felek adatait,
• nem avatkozik be semmilyen rendszerbe, termékbe vagy szolgáltatásba,
• nem használja ki a biztonsági rést saját céljaira vagy harmadik fél kárára,
• nem követ el jogellenes cselekményeket, 
• együttműködik a STIEBEL ELTRON-nal a bejelentés összehangolt kezelése érdekében.

Ez a nyilatkozat nem jelenti a jelen irányelv hatályán kívül, vagy az alkalmazandó jogszabályokba ütköző cselekmények tekintetében fennálló jogokról vagy igényekről való lemondást.

A biztonsági rés bejelentésével összefüggésben megadott személyes adatokat kizárólag a bejelentés feldolgozására és a bejelentővel való kommunikációra használjuk fel.

További részleteket az adatvédelmi irányelveink tartalmaznak.

Ez az irányelv nem minősül hibajelentési jutalomprogramnak, és nem keletkeztet semmiféle jogosultságot díjazásra, jutalomra, költségtérítésre vagy bármilyen más ellenértékre.

Amennyiben az STIEBEL ELTRON egyes esetekben elismerést vagy köszönetnyilvánítást kíván nyújtani, azt önkéntes alapon, kizárólag a hibát bejelentővel való előzetes megállapodás után teszi meg.

Amennyiben egy bejelentett biztonsági rés megerősítést nyer, és javító intézkedésekre van szükség, a STIEBEL ELTRON a következőképpen jár el:

• biztonsági vagy eszközszoftver-frissítéseket bocsát rendelkezésre,
• biztonsági tanácsokat tesz közzé, 
• ideiglenes megoldásokat tesz vagy konfigurációs útmutatásokat ad, 
• közvetlenül értesíti az érintett felhasználókat,
• értesíti a partnereket, kereskedőket vagy szolgáltatókat,
• megteszi a hatóságoknak benyújtandó, jogszabályban előírt jelentéseket.

A STIEBEL ELTRON betartja a törvényben előírt bejelentési és közzétételi kötelezettségeket, különösen abban az esetben, ha a bejelentett sebezhetőséget az alkalmazandó kiberbiztonsági szabályozások értelmében aktívan kihasznált sebezhetőségként vagy súlyos biztonsági incidensként minősítik.

Szükség esetén a bejelentéseket a megfelelő bejelentési csatornákon vagy platformokon keresztül tesszük meg, és az érintett felhasználókat tájékoztatjuk a kockázatokról, valamint az esetleges védelmi vagy javító intézkedésekről.

STIEBEL ELTRON Biztonsági Csoport

E-mail: security@stiebel-eltron.com

Kérjük, ezt az elérhetőséget kizárólag biztonsággal kapcsolatos bejelentésekre használja. Ügyfélszolgálati kérdések, termékekkel kapcsolatos tanácsadás vagy műszaki támogatás esetén kérjük, használja a szokásos STIEBEL ELTRON kapcsolattartási csatornákat.