Produktsicherheits-Reaktionsteam (PSIRT)

Dieses Dokument beschreibt den Prozess der Meldung und des Umgangs mit Sicherheitslücken für alle Super B-Produkte.

Super B verfügt über ein Product Security Incident Response Team (PSIRT), das als zentrale Anlaufstelle für externe Sicherheitsforscher, Partner und Kunden dient, um Informationen zur Cybersicherheit im Zusammenhang mit Produkten von Super B und seinen Marken zu melden.

Die E-Mail-Adresse dieses Antwortteams lautet psirt@super-b.com

Webseite

Die Website enthält Informationen zum Melden und Beheben von Sicherheitslücken unter: super-b.com/psirt

Prozess zur Meldung und Bearbeitung von Sicherheitslücken

Der Prozess umfasst folgende Schritte:

1. Schwachstellenerkennung
2. Triage
3. Sanierung
4. Offenlegung

Die einzelnen Abschnitte werden im Folgenden erläutert:

Entdeckung

Eine potenzielle Sicherheitslücke wurde dem Super B PSIRT über psirt@super-b.com gemeldet.

Triage

Das Super B PSIRT arbeitet mit dem zuständigen Entwicklerteam zusammen, um die Sicherheitslücke zu untersuchen und zu reproduzieren. Super B führt die interne Behebung der Sicherheitslücke in Zusammenarbeit mit den verantwortlichen Entwicklungsgruppen durch.

Sanierung

Nach der Analyse des Problems wird entschieden, ob eine Korrektur oder eine Abschwächungsmaßnahme zur Behebung der Schwachstelle erforderlich ist. Soweit möglich, arbeitet das Super B PSIRT mit dem Meldenden zusammen, um Korrekturen zu überprüfen und zu bewerten.

Entsprechende Korrekturen werden entwickelt und für den Vertrieb vorbereitet; sie durchlaufen die für das Produkt Super B erforderlichen Qualitätskontrollen.

Offenlegung

Das Super B PSIRT erstellt gemeinsam mit dem meldenden Unternehmen einen Zeitplan für die Veröffentlichung. Wird eine öffentliche Bekanntgabe der Schwachstelle vereinbart, veröffentlicht das Super B PSIRT in Abstimmung mit den Veröffentlichungsplänen des meldenden Unternehmens eine Sicherheitswarnung unter super-b.com/psirt.

Eine Sicherheitswarnung enthält üblicherweise folgende Informationen:

• Beschreibung der Schwachstelle mit CVE-Referenz und CVSS-Bewertung
• Identifizierung bekannter betroffener Produkte und Software-/Hardwareversionen
• Informationen zu mildernden Faktoren und Umgehungsmöglichkeiten
• Zeitplan und Ort der verfügbaren Lösungen oder anderer Abhilfemaßnahmen
• Mit Zustimmung des Meldenden wird die Meldung und die Zusammenarbeit namentlich anerkannt.

Wenn die Sicherheitslücke funktionale Auswirkungen hat, werden die Änderungen auch in den entsprechenden Versionshinweisen für die Produktsoftware-/Firmware-Version aufgeführt, die die Behebung dieser Sicherheitslücke beinhaltet.

Meldepflichten gegenüber Aufsichtsbehörden (EU-Cyberresilienz-Gesetz, Artikel 14)

Zusätzlich zu dem oben beschriebenen internen Bearbeitungsprozess ist Super B gemäß dem EU Cyber Resilience Act (CRA) verpflichtet, die zuständigen Behörden zu benachrichtigen, wenn eine Schwachstelle in einem seiner Produkte aktiv ausgenutzt wird.

Das Super B PSIRT ist dafür zuständig, zu beurteilen, ob eine Schwachstelle die Meldeschwelle erreicht, und die erforderlichen Meldungen innerhalb der unten genannten Fristen einzureichen.

Benachrichtigungsschwelle

Eine Sicherheitslücke löst die Meldepflicht aus, wenn sie aktiv ausgenutzt wird, d. h. wenn glaubwürdige Beweise dafür vorliegen, dass ein Angreifer die Sicherheitslücke gegen echte Benutzer oder Installationen eines Super-B-Produkts ausnutzt.

Gemeldete Schwachstellen, die noch nicht aktiv ausgenutzt werden, werden gemäß dem Standardverfahren Triage, Behebung und Offenlegung behandelt und erfordern keine Meldung an die Aufsichtsbehörden, es sei denn, eine Ausnutzung wird später bestätigt.

Benachrichtigungsfristen und -inhalte

Sobald eine aktive Ausnutzung bestätigt ist, muss das Super B PSIRT die folgenden Meldungen über das zuständige nationale CSIRT oder die zentrale Meldeplattform an die Agentur der Europäischen Union für Cybersicherheit (ENISA) übermitteln:

Vorwarnung

• Frist: innerhalb von 24 Stunden nach Kenntnisnahme der aktiven Ausbeutung
• Inhalt: Benachrichtigung über eine aktiv ausgenutzte Sicherheitslücke. Enthält das/die betroffene(n) Produkt(e), eine allgemeine Beschreibung der Sicherheitslücke und die Information, ob eine Lösung oder ein Workaround verfügbar ist.

Sicherheitslückenbenachrichtigung

• Frist: innerhalb von 72 Stunden nach Kenntnisnahme der aktiven Ausbeutung
• Inhalt: Aktualisierte Benachrichtigung einschließlich der Schweregradbewertung (sofern verfügbar: CVSS-Score), bekannter Auswirkungen und betroffener Versionen, etwaiger vorläufiger Abhilfemaßnahmen oder Workarounds sowie des Status der Fehlerbehebung.

Abschlussbericht

• Frist: innerhalb von 14 Tagen nach Verfügbarkeit einer Lösung oder Abhilfemaßnahme
• Inhalt: vollständiger Bericht mit detaillierter Beschreibung und CVE-Referenz, Ursachenanalyse, vollständiger Liste der betroffenen Produkte und Versionen, angewendeter Korrektur oder Abhilfemaßnahme sowie einer Zeitleiste der Ereignisse.

Falls innerhalb von 14 Tagen keine endgültige Lösung verfügbar ist, ist ein Zwischenbericht einzureichen. Der Abschlussbericht wird veröffentlicht, sobald die Lösung bereit ist.

Nationaler CSIRT- und Meldekanal

Meldungen werden an das nationale CSIRT des EU-Mitgliedstaates übermittelt, in dem Super B ansässig ist. Der festgelegte Meldekanal wird über die einheitliche Meldeplattform der ENISA gemäß Artikel 16 des CRA koordiniert.

Das Super B PSIRT ist dafür verantwortlich, zum Zeitpunkt der Meldung den richtigen Meldekanal zu ermitteln und die Kontaktdaten auf dem neuesten Stand zu halten.

Aufzeichnungen

Das Super B PSIRT führt intern Aufzeichnungen über alle eingereichten Meldungen an die Aufsichtsbehörden, einschließlich Zeitstempel, Inhalt und eingegangener Antworten. Diese Aufzeichnungen werden gemäß Artikel 13(10) des CRA mindestens 10 Jahre lang aufbewahrt.

Kontakt

psirt@super-b.com

‍