Sicherheit als Bestandteil unserer Produkte
Cyber-Sicherheit ist ein wesentlicher Bestandteil der Entwicklung und des Betriebs unserer Lösungen. Mit dem Cyber Resilience Act (CRA) der Europäischen Union werden Hersteller von Produkten mit digitalen Elementen verpflichtet, Sicherheitsanforderungen über den gesamten Produktlebenszyklus hinweg zu erfüllen.
INOSOFT unterstützt seine Kunden dabei, sichere und zukunftsfähige Lösungen zu entwickeln und zu betreiben.
Weitere Informationen zum Cyber Resilience Act finden Sie auf der Website der Europäischen Kommission
Unsere Cyber-Security-Leistungen
Als Hersteller von Produkten mit digitalen Elementen verpflichtet sich INOSOFT, die aktuelle HMI- und SCADA-Software VisiWin 7 gemäß den Vorgaben des EU CyberResilience Act zu entwickeln und bereitzustellen.
Das Thema Cyber-Sicherheit wird dabei bei uns im gesamten Entwicklungsprozess berücksichtigt. Von der Planung und Anforderungsanalyse über Entwurf, Entwicklung und Test bis zur Bereitstellung und Betrieb der Software.
Im Rahmen einer Sicherheitsanalyse und Bedrohungsmodellierung haben wir die folgenden allgemeinen Sicherheitsanforderungen an unsere Produkte definiert:
- Benutzerauthentifizierung und Autorisierung
Beim Zugriff auf Funktionen und Daten über öffentliche Schnittstellen muss sichergestellt werden, dass der zugreifende Benutzer oder das zugreifende System bekannt und dazu berechtigt ist. - Verschlüsselte Datenübertragung
Daten, die über ein öffentliches Netzwerk übertragen werden, müssen verschlüsselt werden. - Protokollierung
Rechtmäßige oder unrechtmäßige Eingriffe in die Software müssen protokolliert werden. - Manipulationsschutz
Systemkomponenten und ihre Konfigurations- und Protokollierungsdaten müssen vor externer Manipulation geschützt werden.
- Schutz vor Überlastung
Um die Verfügbarkeit sicherzustellen, müssen Systemkomponenten vor Überlastung z. B. durch Denial-of-Service-Ereignisse geschützt werden. - Minimale Rechtevergabe
Systemkomponenten müssen so konfiguriert sein, dass sie ausschließlich die für ihren konkreten Einsatzzweck absolut notwendigen Funktionen, Ports und Protokolle bereitstellen. - Security-by-Default
Alle Sicherheitsmaßnahmen sind standardmäßig aktiviert
Über unseren sicheren Produktentwicklungsprozess stellen wir sicher, dass die Sicherheitsanforderungen eingehalten und das Ergebnis stetig optimiert wird.
Meldung von Schwachstellen (PSIRT)
INOSOFT begrüßt die verantwortungsvolle Meldung von Schwachstellen in unseren Produkten, Dienstleistungen und öffentlich erreichbaren Systemen. Unser Product Security Incident Response Team (PSIRT) bewertet eingehende Meldungen vertraulich und koordiniert die weitere Bearbeitung.
Sicherheitskontakt
psirt(at)inosoft.com
Erreichbarkeit/Kenntnisnahme:
Montag bis Donnerstag: 09:00 – 16:00 Uhr
Freitag: 09:00 – 13:00 Uhr
Ausgenommen gesetzliche Feiertage
Wir benötigen folgende Informationen:
Name (optional)
Unternehmen (optional)
E-Mail-Adresse
Betroffenes Produkt/Dienstleistung
Version
Schweregrad (optional)
Beschreibung der Schwachstelle
Schritte zur Reproduktion
Anhänge/Screenshots/Logdateien
Einwilligung zur Kontaktaufnahme
Richtlinie zur Offenlegung von Schwachstellen
Unsere Zusicherungen gegenüber meldenden Personen
Wenn Sicherheitsforschung im Rahmen dieser Richtlinie durchgeführt wird, betrachten wir diese Aktivitäten als autorisiert und als wichtigen Beitrag zur Verbesserung der Sicherheit unserer Produkte und Dienstleistungen.
Solange sich meldende Personen an die untenstehenden Regeln (Anforderungen an eine gültige Schwachstellenmeldung, Verhaltenskodex für Sicherheitsforschende, Nicht erlaubte Aktivitäten) halten:
- werden Meldungen vertraulich behandelt,
- werden personenbezogene Daten gemäß DSGVO verarbeitet,
- erfolgt keine Weitergabe von Informationen ohne Zustimmung der meldenden Person,
- streben wir eine erste Rückmeldung innerhalb von fünf Arbeitstagen an,
- werden keine rechtlichen Schritte aufgrund gutgläubiger Sicherheitsforschung eingeleitet.
Alle Beteiligten sind verpflichtet, geltende Gesetze und regulatorische Vorgaben einzuhalten.
Anforderungen an eine gültige Schwachstellenmeldung
Eine Meldung sollte mindestens folgende Informationen enthalten:
- Beschreibung der Schwachstelle
- Betroffenes Produkt
- Betroffene Version
- Mögliche Auswirkungen
- Schritte zur Reproduktion
- Proof of Concept (sofern vorhanden)
- Kontaktdaten für Rückfragen
Weiterhin gilt:
- Die Schwachstelle muss INOSOFT-Produkte betreffen.
- Die Informationen dürfen noch nicht öffentlich bekannt sein.
- Automatisierte Scan-Ergebnisse ohne nachvollziehbare Dokumentation werden nicht berücksichtigt.
Verhaltenskodex für Sicherheitsforschende
Wir bitten alle meldenden Personen, die folgenden Regeln einzuhalten:
- Schwachstellen nur im erforderlichen Umfang nachweisen.
- Nach erfolgreichem Proof of Concept weitere Tests sofort einstellen.
- Keine Daten verändern, löschen oder entwenden.
- Keine Schadsoftware einsetzen.
- Keine Exploit-Tools veröffentlichen oder verteilen.
- Keine Beeinträchtigung der Verfügbarkeit von Diensten verursachen.
Nicht erlaubte Aktivitäten
- Social Engineering
- Phishing
- Denial-of-Service-(DoS)- oder Distributed-Denial-of-Service-(DDoS)-Angriffe
- Angriffe auf fremde Kundensysteme
- Angriffe auf Netzwerk- und Infrastrukturkomponenten außerhalb der freigegebenen Testbereiche
Sollte versehentlich gegen diese Regeln verstoßen werden, bitten wir um eine unmittelbare Kontaktaufnahme.
Ablauf der Bearbeitung von Sicherheitsmeldungen
1. Eingang der Meldung
Nach Eingang prüfen wir die gemeldeten Informationen und bestätigen den Erhalt. Nach einer ersten Untersuchung melden wir meldepflichtige Vorfälle über die Single Reporting Platform der EU an das zuständige CSIRT und die ENISA.
2. Erste Bewertung
Innerhalb von fünf Arbeitstagen erfolgt eine erste Rückmeldung.
3. Detailanalyse
Innerhalb von zehn Arbeitstagen informieren wir über:
- den Status der Meldung,
- die Validierung der Schwachstelle,
- geplante Maßnahmen,
- gegebenenfalls benötigte Zusatzinformationen.
4. Behebung und Kommunikation
Nach erfolgreicher Analyse werden geeignete Maßnahmen eingeleitet:
- Fehlerbehebung
- Risikominderung
- Kundeninformation
- Veröffentlichung einer Sicherheitsmitteilung
5. Abschluss
Der Vorgang gilt als abgeschlossen, wenn:
- keine Schwachstelle festgestellt wurde,
- die Schwachstelle behoben wurde,
- eine Risikominderung umgesetzt wurde,
- eine Sicherheitsmitteilung veröffentlicht wurde.
Die meldende Person wird entsprechend informiert, sofern der Kontaktaufnahme zugestimmt wurde.