Cybersecurity & Vulnerability Disclosure
Cybersecurity van onze machines
Bij Smart Automation besteden wij aandacht aan de cybersecurity van de machines en besturingssystemen die wij ontwerpen en leveren.
Ondanks onze inspanningen kunnen er kwetsbaarheden aanwezig zijn in software, firmware, hardwarecomponenten of de configuratie van onze machines.
Wij vinden het belangrijk dat mogelijke cybersecuritykwetsbaarheden op een verantwoorde manier bij ons gemeld kunnen worden, zodat wij deze kunnen onderzoeken en waar nodig passende maatregelen kunnen treffen.
Daarom hanteren wij een Coordinated Vulnerability Disclosure (CVD)-beleid.
- Een kwetsbaarheid melden
Heeft u een mogelijke cybersecuritykwetsbaarheid ontdekt in een door ons geleverde machine of een onderdeel daarvan? Dan verzoeken wij u deze bij ons te melden.
Contactgegevens
- E-mail: info@smart-automation.nl
- Telefoon: +31 (0) 314 76 00 55
- Bedrijf: Smart Automation
Dit meldpunt is bedoeld voor klanten, leveranciers, securityonderzoekers en andere partijen die een mogelijke cybersecuritykwetsbaarheid willen melden.
Voor reguliere storingen, onderhoud of serviceverzoeken kunt u gebruikmaken van onze gebruikelijke servicekanalen.
- Welke kwetsbaarheden kunt u melden?
Ons meldpunt is bedoeld voor mogelijke cybersecuritykwetsbaarheden in door ons ontwikkelde of geleverde machines en bijbehorende digitale systemen.
Hieronder vallen bijvoorbeeld:
- PLC-besturingen en bijbehorende software
- HMI-systemen en bedieningspanelen
- Industriële computers en besturingssoftware
- Netwerkcomponenten en communicatieverbindingen
- Remote-access- en serviceverbindingen
- Firmware en software van geïntegreerde componenten, zoals servoregelaars en frequentieregelaars
- Door ons ontwikkelde software en machineconfiguraties
Ook kwetsbaarheden in componenten van derden die in onze machines worden toegepast, kunnen bij ons worden gemeld.
- Welke informatie ontvangen wij graag?
Om een melding goed te kunnen onderzoeken, vragen wij u om zoveel mogelijk van de volgende informatie te verstrekken:
- Een duidelijke omschrijving van de mogelijke kwetsbaarheid
- Het type machine en, indien bekend, het machinenummer
- Het betrokken component of systeem
- Relevante software- of firmwareversies, indien bekend
- De omstandigheden waaronder de kwetsbaarheid optreedt
- Een beschrijving van de mogelijke gevolgen
- Eventuele technische informatie waarmee wij de kwetsbaarheid kunnen reproduceren
Vermeld bij voorkeur ook uw contactgegevens, zodat wij u om aanvullende informatie kunnen vragen.
Stuur geen wachtwoorden, toegangscodes, persoonsgegevens of andere vertrouwelijke gegevens via onbeveiligde e-mail. Neem bij gevoelige informatie eerst contact met ons op om een veilige overdrachtsmethode af te spreken.
- Verantwoord melden
Wij waarderen het wanneer kwetsbaarheden op een zorgvuldige en verantwoorde manier worden gemeld.
Wij verzoeken melders daarom:
- Een gevonden kwetsbaarheid zo spoedig mogelijk bij ons te melden.
- Niet meer handelingen uit te voeren dan nodig is om een kwetsbaarheid vast te stellen.
- Geen gegevens te verwijderen, te wijzigen of onnodig te verzamelen.
- Geen activiteiten uit te voeren die de beschikbaarheid, werking of veiligheid van machines in gevaar kunnen brengen.
- Geen malware, denial-of-service-aanvallen of social engineering toe te passen.
- Informatie over de kwetsbaarheid vertrouwelijk te behandelen en eventuele openbaarmaking vooraf met ons af te stemmen.
Onderzoek of testen op machines en systemen van onze klanten mag uitsluitend plaatsvinden met uitdrukkelijke toestemming van de betreffende eigenaar of beheerder. Dit beleid verleent daarvoor geen toestemming.
- Hoe behandelen wij uw melding?
Na ontvangst van een melding volgen wij ons interne vulnerability-managementproces.
Dit bestaat uit de volgende stappen:
- Ontvangst: Wij registreren de melding en bevestigen, indien contactgegevens beschikbaar zijn, de ontvangst.
- Beoordeling: Wij onderzoeken of de kwetsbaarheid van toepassing is op onze machines en beoordelen het mogelijke cybersecurityrisico.
- Maatregelen: Indien nodig bepalen wij een passende oplossing of tijdelijke risicobeperkende maatregel.
- Verificatie: Wij beoordelen en testen eventuele wijzigingen op cybersecurity, machinefunctionaliteit en waar relevant machineveiligheid.
- Communicatie: Waar nodig informeren wij betrokken klanten en andere belanghebbenden over de kwetsbaarheid en mogelijke maatregelen.
- Afronding: Wij documenteren de bevindingen en genomen maatregelen.
Wij streven ernaar binnen twee werkdagen een ontvangstbevestiging te versturen en binnen vijf werkdagen een eerste inhoudelijke terugkoppeling te geven.
Bij urgente meldingen proberen wij zo snel mogelijk passende maatregelen te treffen.
De tijd die nodig is voor een definitieve oplossing is afhankelijk van de aard en complexiteit van de kwetsbaarheid en de beschikbaarheid van eventuele updates van leveranciers.
- Gecoördineerde openbaarmaking
Wij streven ernaar kwetsbaarheden op een zorgvuldige en gecoördineerde manier af te handelen.
Wanneer openbaarmaking van een kwetsbaarheid wenselijk of noodzakelijk is, stemmen wij de inhoud en het moment hiervan waar mogelijk af met de melder, betrokken leveranciers en andere relevante partijen.
Daarbij houden wij rekening met de veiligheid van onze klanten, de beschikbaarheid van eventuele oplossingen en onze wettelijke informatie- en meldverplichtingen.
- Beveiligingsupdates en klantinformatie
Wanneer een cybersecuritykwetsbaarheid gevolgen kan hebben voor een geleverde machine, beoordelen wij welke machines en klanten mogelijk worden geraakt.
Indien nodig verstrekken wij betrokken klanten informatie over beschikbare beveiligingsupdates, configuratieaanpassingen of andere maatregelen om het risico te beperken.
Omdat onze machines klantspecifiek worden ontwikkeld, kunnen de benodigde maatregelen per machine verschillen.
- Contact
Voor vragen of meldingen over cybersecurity kunt u contact opnemen via:
Smart Automation
E-mail: info@smart-automation.nl
Telefoon: +31 (0) 314 76 00 55
Website: www.smart-automation.nl
Dit beleid is van toepassing op meldingen van mogelijke cybersecuritykwetsbaarheden in onze producten. Het staat los van reguliere service-, onderhouds- en garantieafspraken.
