Política coordenada de divulgação de vulnerabilidades
Na EAS queremos saber o mais rápido possível quaisquer vulnerabilidades de segurança em nossas máquinas e controladores Atlantis PCT para corrigi-las e proteger nossos usuários. Aqui explicamos como comunicar uma possível falha de forma responsável e coordenada, e com o que nos comprometemos em troca.
Relatar uma vulnerabilidadeProdutos incluídos
Esta política aplica-se às seguintes máquinas e drivers, e ao software que os integra, durante o seu período de suporte.
1.Como relatar uma vulnerabilidade
Utilize o nosso ponto de contacto único para questões de cibersegurança. Para que possamos analisar o caso rapidamente, inclua as informações fornecidas.
Todas as informações recebidas são tratadas confidencialmente e são gerenciadas de acordo com esta política.
- Máquina afetada
- Modelo de controlador Atlantis PCT
- Versão de software, firmware ou PLC
- Descrição detalhada da vulnerabilidade
- Passos para reproduzir o problema
- Impacto potencial na segurança, disponibilidade ou integridade do sistema
- Evidências técnicas disponíveis (capturas, registros, prova de conceito)
- Medidas de mitigação conhecidas
2.Nossos compromissos
Quando recebemos um relatório, na EAS nos comprometemos a:
Responder
Confirme o recebimento dentro de um prazo razoável e mantenha um canal aberto de diálogo com a parte relatora.
Avaliar e corrigir
Analise a falha, determine sua gravidade e trabalhe em uma correção.
Informar
Comunicar à pessoa que relata a evolução e resolução do caso.
Proteger
Não tome medidas legais contra qualquer pessoa que investigue e relate de boa fé de acordo com esta política, sem acessar os dados de outras pessoas além do necessário ou causando danos.
Reconhecer
Agradeça publicamente ao relator pela sua contribuição, se assim o desejar.
3.O que pedimos a quem relata
Para garantir que a colaboração seja segura para todos, pedimos que:
Agir de boa fé
Não explore a falha além do necessário para prová-la, nem acesse, modifique ou exclua dados de terceiros.
Manter a confidencialidade
Não divulgue publicamente a vulnerabilidade até que a EAS a tenha corrigido e seja alcançado um acordo conjunto sobre quando torná-la pública.
Respeite a lei
Cumprir a legislação em vigor e respeitar a privacidade durante toda a investigação.
4.Processo de coordenação e publicação
É assim que gerenciamos cada vulnerabilidade, desde o momento em que a recebemos até a solução chegar aos usuários.
Recepção
Recebemos a notificação pelo canal de segurança e confirmamos seu recebimento.
Análise
A EAS analisa e classifica a falha de acordo com sua gravidade.
Correção
Desenvolvemos e validamos a atualização de segurança.
Publicação coordenada
Com a correção disponível, relatamos a vulnerabilidade corrigida e disponibilizamos a atualização aos usuários. A publicação pode ser adiada se a divulgação representar mais risco do que benefício, até que os usuários possam aplicar o patch.
Notificação oficial
Se a vulnerabilidade estiver a ser ativamente explorada ou constituir um incidente grave, a EAS notificará também a CSIRT e a ENISA, em conformidade com o artigo 14.o do Regulamento (UE) 2024/2847, e notificará os utilizadores afetados.
Anexo 1 · Relatório de vulnerabilidade
Copie esta estrutura para seu e-mail em security@escarre.com.
| Campo | O que indicar |
|---|---|
| Datos de contato | Nome, empresa (se aplicável), e-mail e telefone. |
| Máquina afetada | TecnoMix, TecnoDos ou TecnoSal (e número de série, se você souber). |
| Controlador Atlantis PCT | PCT-300, PCT-310, PCT-315, PCT-320 ou PCT-925. |
| Versão | Versão de software, firmware ou PLC. |
| Descrição | Explicação detalhada da vulnerabilidade. |
| Passos para reproduzi-lo | Sequência de ações necessárias para reproduzir o problema. |
| Impacto potencial | Efeito na segurança, disponibilidade ou integridade do sistema. |
| Evidência | Capturas, logs (logs) ou prova de conceito. |
| Mitigação | Medidas temporárias conhecidas para reduzir o risco. |
| Reconhecimento público | Indique se deseja comparecer como autor do relatório (Sim / Não). |
Você detectou uma possível falha de segurança?
Escreva para nós. Quanto mais cedo soubermos, mais cedo poderemos proteger todos os usuários.
security@escarre.com