Smegin koordinoidun haavoittuvuuksien ilmoittamisen käytäntö

1. Johdanto

Smegin tuotefilosofiana on yhdistää korkeat teknologiset standardit houkuttelevaan muotoiluun ja tarjota näin innovatiivisia ja luotettavia kodinkoneita.

Tuotteidemme ehdottoman luotettavuuden varmistaminen on yksi Smegin tärkeimmistä sitoumuksista. Tämä näkyy jatkuvissa ja perusteellisissa laadunvalvontatesteissä koko tuotantoprosessin ajan.

Laadukkaiden ja kestävien tuotteiden valmistajana Smeg pitää käyttäjien tietojen suojaamista erittäin tärkeänä. Siksi otamme mielellämme vastaan ulkopuolisten tietoturvatutkijoiden panoksen verkkoon yhdistettävien tuotteidemme ja niihin liittyvien palveluiden tietoturvan parantamiseksi.

Tässä käytännössä kerrotaan, miten tietoturvahaavoittuvuuksista ja tietoturvapoikkeamista voidaan ilmoittaa Smegille ja miten Smeg käsittelee tällaiset ilmoitukset vastuullisesti ja koordinoidusti.

Smeg pidättää oikeuden muuttaa ja päivittää koordinoidun haavoittuvuuksien ilmoittamisen käytäntöään tarpeen mukaan varmistaakseen entistä paremman avoimuuden ja selkeyden yhteistyössä ulkopuolisten tietoturvatutkijoiden kanssa. Käytännöstä sovelletaan aina sen uusinta versiota.

Suosittelemme lukemaan tämän käytännön kokonaisuudessaan ennen haavoittuvuudesta ilmoittamista ja noudattamaan sitä kaikissa tilanteissa.

Arvostamme kaikkia, jotka käyttävät aikaansa ja resurssejaan tietoturvahaavoittuvuuksien ilmoittamiseen tämän käytännön mukaisesti. Emme kuitenkaan tarjoa rahallisia palkkioita haavoittuvuuksien ilmoittamisesta.

2. Soveltamisala

Tämä käytäntö koskee kaikkia Smegin kehittämiä, valmistamia ja markkinoimia verkkoon yhdistettäviä tuotteita, mukaan lukien niiden komponentit, sekä kaikkia niihin liittyviä palveluita.

Luettelo tämän käytännön piiriin kuuluvista tuotteista löytyy seuraavalta sivulta: Smegin verkkoon yhdistettävät kodinkoneet ja palvelut.

Kunkin tuotteen sivulta löydät sen tukijakson, joka tarkoittaa vähimmäisaikaa, jonka kuluessa tuotteelle tarjotaan tietoturvapäivityksiä. Tukijakson mahdollinen päättyminen ei vaikuta tuotteen toimintaan. Tuotetta voidaan yleensä edelleen päivittää, mutta emme voi taata päivityksiä mahdollisesti havaittuihin tietoturvahaavoittuvuuksiin.

Tietoturvatiedotteet-sivulla julkaisemme ilmoituksia haavoittuvuuksista, jotka on havaittu joko Smegin tavanomaisessa testaustoiminnassa tai erillisen verkkolomakkeen kautta vastaanotettujen tietoturvailmoitusten perusteella ja jotka Smegin laboratoriot ovat sittemmin vahvistaneet ja korjanneet.

3. Tietoturvatapahtumien luokittelu

Tässä käytännössä Smeg erottaa toisistaan seuraavat kategoriat:

• Tietoturvahaavoittuvuus: tietoturvaheikkous, joka voi vaikuttaa tuotteen, palvelun tai niihin liittyvien tietojen luottamuksellisuuteen, eheyteen, saatavuuteen tai aitouteen.
• Aktiivisesti hyväksikäytetty tietoturvahaavoittuvuus: haavoittuvuus, jonka haitallisesta hyväksikäytöstä on näyttöä ja joka vaikuttaa digitaalisia elementtejä sisältävään tuotteeseen.
• Tietoturvapoikkeama: tapahtuma, joka vaikuttaa tai voi vaikuttaa tuotteen, siihen liittyvien palveluiden tai käyttäjätietojen luottamuksellisuuteen, eheyteen, saatavuuteen tai aitouteen.
• Vakava tietoturvapoikkeama: tietoturvapoikkeama, jolla on tai voi olla merkittävä vaikutus tuotteen, siihen liittyvien palveluiden, käyttäjätietojen tai asianomaisten järjestelmien turvallisuuteen.

Smeg voi arvioida ja luokitella ilmoitetut tietoturvaongelmat tietoturvahaavoittuvuuksiksi, aktiivisesti hyväksikäytetyiksi tietoturvahaavoittuvuuksiksi, tietoturvapoikkeamiksi tai vakaviksi tietoturvapoikkeamiksi tilanteen mukaan sekä sovellettavien sääntelyvaatimusten ja sisäisten menettelytapojen mukaisesti.

Kaikkiin edellä mainittuihin kategorioihin liittyviä ilmoituksia voidaan lähettää tässä käytännössä kuvattujen kanavien kautta.

4. Tietoturvahaavoittuvuudesta ilmoittaminen

Jos uskot havainneesi mahdollisen tietoturvaongelman, joka vaikuttaa johonkin Smegin verkkoon yhdistettävään tuotteeseen tai siihen liittyvään palveluun, ilmoita havainnoistasi täyttämällä seuraavasta linkistä löytyvä verkkolomake: tietoturvailmoitus.

Ilmoituksen käsittelyn nopeuttamiseksi viestisi tulisi sisältää kaikki tietoturvaongelmaan liittyvät tiedot verkkolomakkeessa määriteltyjen kenttien mukaisesti. Sisällytä ilmoitukseesi erityisesti seuraavat tiedot:

• Otsikko: lyhyt yhteenveto, joka helpottaa ilmoitetun tietoturvaongelman asianmukaista luokittelua.

• Ilmoituksen tyyppi: kuvaus ongelman luonteesta (tietoturvahaavoittuvuus tai tietoturvapoikkeama), joka auttaa Smegiä arviointi- ja korjaustoimenpiteissä.

• Tuoteryhmä: valitse tuotteen tai palvelun tyyppi, johon tietoturvaongelma liittyy (esim. uuni, astianpesukone tai mobiilisovellus).

• Tuotekoodi: ohjeet tuotekoodin löytämiseen löytyvät täältä: tuotekoodin ja sarjanumeron löytäminen.
• Tuotteen sarjanumero: ohjeet sarjanumeron löytämiseen löytyvät täältä: tuotekoodin ja sarjanumeron löytäminen.

• Kuvaus: lyhyt kuvaus ilmoitetusta tietoturvaongelmasta sekä mahdollisista korjaavista toimenpiteistä tai suosituksista.

• Ongelman toistamisvaiheet: anna selkeät ja yksityiskohtaiset ohjeet ongelman toistamiseksi sekä testikoodi, jos sellainen on saatavilla.

• Vaikutukset: ilmoitetun tietoturvaongelman mahdolliset seuraukset.

• Vakavuusaste: ilmoittajan arvio tietoturvaongelman mahdollisen vaikutuksen vakavuudesta (matala, keskitasoinen, korkea tai kriittinen). Tarvittaessa arvioinnissa voidaan käyttää CVSS-pisteytystä.

• Näyttö aktiivisesta hyväksikäytöstä: ilmoita, tiedetäänkö tai epäilläänkö tietoturvaongelmaa hyödynnettävän aktiivisesti, ja liitä mukaan mahdolliset asiaa tukevat tiedot.

• Heikkous: voit halutessasi viitata CWE (Common Weakness Enumeration) -luokitukseen.

• Liitetiedostot: esimerkiksi kuvakaappaukset tai videot.

• Etunimi, sukunimi ja yhteyssähköpostiosoite.

Lomakkeella voit myös ilmoittaa etunimesi, sukunimesi ja sähköpostiosoitteesi. Nämä tiedot eivät ole pakollisia tietoturvailmoituksen lähettämiseksi, mutta niitä tarvitaan, jotta voimme vahvistaa ilmoituksesi vastaanottamisen, lähettää sinulle päivityksiä ilmoituksen käsittelystä ja pyytää tarvittaessa lisätietoja ilmoitetusta ongelmasta.

5. Mitä ilmoituksen lähettämisen jälkeen tapahtuu?

Kun olet vahvistanut tietoturvailmoituksen lähettämisen, saat kahden arkipäivän kuluessa vahvistusviestin, joka sisältää asianumeron. Tämä numero on yksilöllinen tunniste, jota käytetään kaikissa Smegin myöhemmissä tietoturvailmoitustasi koskevissa päivityksissä.

Kun tietoturvailmoitukselle on annettu asianumero, se rekisteröidään järjestelmiimme.

Smeg arvioi ilmoitetut tietoturvatapahtumat niiden luonteen, vakavuusasteen, käyttäjiin ja palveluihin kohdistuvien mahdollisten vaikutusten sekä mahdollisen aktiivista hyväksikäyttöä koskevan näytön perusteella. Ilmoitettujen tietoturvaongelmien arviointiin ja korjaamiseen tarvittava aika voi vaihdella niiden monimutkaisuuden, vakavuusasteen ja mahdollisten vaikutusten mukaan.

Jos yhteystiedot on annettu, Smeg pyrkii kohtuullisin toimin lähettämään tilannepäivityksiä arviointi-, korjaus- ja julkistamisprosessin keskeisissä vaiheissa. Päivitysten tiheys voi vaihdella ilmoitetun tietoturvaongelman monimutkaisuuden ja vakavuusasteen mukaan.

Jos olet antanut yhteystietosi, pyrimme pitämään sinut ajan tasalla lähettämäsi tietoturvailmoituksen käsittelyn etenemisestä mahdollisimman pian. Voit myös tiedustella ilmoituksen tilaa, mutta pyydämme tekemään tiedusteluja enintään kerran 14 päivässä. Näin tiimimme voivat keskittyä ongelman korjaamiseen.

Jos olet antanut yhteystietosi, ilmoitamme sinulle, kun raportoitu ongelma on korjattu. Sinua voidaan myös pyytää vahvistamaan, että ratkaisu korjaa ongelman asianmukaisesti.

Smegin tuoteturvallisuustiimi lähettää kaiken viestinnän sähköpostiosoitteesta [email protected]. Voit käyttää tätä osoitetta sekä tuotteiden kyberturvallisuutta koskeviin yleisiin kysymyksiin että aiemmin lähetetyn ilmoituksen tilaa koskeviin tiedusteluihin.

Varmistaakseen yhdenmukaisen ohjeistuksen ja viestinnän asianomaisille käyttäjille Smeg kannustaa ilmoittajia koordinoimaan mahdolliset julkistamistoimet Smegin kanssa.

Tarvittaessa Smeg koordinoi tietoturvahaavoittuvuuksien käsittelyä, korjaamista ja julkistamista ilmoittajien, toimittajien, palveluntarjoajien ja muiden asiaankuuluvien sidosryhmien kanssa vähentääkseen käyttäjiin, verkkoon yhdistettäviin tuotteisiin ja niihin liittyviin palveluihin kohdistuvia mahdollisia riskejä.

Smeg vastaa ilmoitettujen tietoturvahaavoittuvuuksien ja tietoturvapoikkeamien lopullisesta luokittelusta sekä mahdollisten tietoturvatiedotteiden ja muiden tiedonantojen julkaisemisesta.

6. Suositukset tietoturvaongelmien ilmoittamiseen

Tietoturvailmoitusten käsittelyn helpottamiseksi olemme koonneet alle hyviä käytäntöjä, joita suosittelemme noudattamaan tietoturvaongelmista ilmoitettaessa.

Pyydämme sinua välttämään seuraavia toimia:

• Sovellettavien lakien tai määräysten rikkominen.
• Tarpeettomien, liiallisten tai merkittävien tietomäärien käyttäminen tai niihin pääsyn hankkiminen.
• Smegin järjestelmien tai palveluiden tietojen muuttaminen.
• Voimakkaasti kuormittavien, tunkeilevien tai tuhoavien skannaustyökalujen käyttäminen haavoittuvuuksien etsimiseen.
• Palvelunestohyökkäysten yrittäminen tai niistä ilmoittaminen, esimerkiksi palvelun ylikuormittaminen suurella määrällä pyyntöjä.
• Smegin palveluiden tai järjestelmien toiminnan häiritseminen.
• Ilmoitusten lähettäminen pelkästään siitä, etteivät palvelut täysin noudata hyviä käytäntöjä, esimerkiksi puuttuvien tietoturvaotsakkeiden vuoksi.
• Haavoittuvuuksien tai niihin liittyvien tietojen paljastaminen muiden kuin tässä käytännössä kuvattujen kanavien kautta.
• Smegin henkilöstöön tai infrastruktuuriin kohdistuva sosiaalinen manipulointi, tietojenkalastelu tai fyysiset hyökkäykset.
• Rahallisen korvauksen vaatiminen haavoittuvuuksien julkistamisesta.

Kannustamme sinua seuraaviin toimintatapoihin: 

• Noudata aina tietosuojasäännöksiä äläkä loukkaa Smegin käyttäjien, henkilöstön tai alihankkijoiden yksityisyyttä tai palveluiden ja järjestelmien tietosuojaa. Et esimerkiksi saa jakaa, levittää edelleen tai jättää asianmukaisesti suojaamatta järjestelmistä tai palveluista kerättyjä tietoja.

• Poista kaikki tutkimuksen aikana kerätyt tiedot turvallisesti heti, kun niitä ei enää tarvita, tai viimeistään yhden (1) kuukauden kuluessa tietoturvaongelman ratkaisemisesta sen mukaan, kumpi ajankohta on aikaisempi (tai tietosuojalainsäädännön muiden vaatimusten mukaisesti).

7. Oikeudelliset näkökohdat

Tämä käytäntö on laadittu yleisesti hyväksyttyjen tietoturvahaavoittuvuuksien ilmoittamista koskevien hyvien käytäntöjen mukaisesti. Se ei anna lupaa toimia lainvastaisesti tai tavalla, joka voisi johtaa siihen, että Smeg tai sen yhteistyökumppanit rikkovat lakisääteisiä velvoitteitaan.

8. Viranomaisilmoitukset

Smeg sitoutuu käsittelemään tietoturvahaavoittuvuudet ja tietoturvapoikkeamat sovellettavan kyberturvallisuuslainsäädännön ja alan hyvien käytäntöjen mukaisesti.

Sovellettavien lakien ja määräysten niin edellyttäessä Smeg ilmoittaa toimivaltaisille viranomaisille, tekee yhteistyötä asiaankuuluvien sidosryhmien kanssa ja tiedottaa asianomaisille käyttäjille aktiivisesti hyväksikäytettyihin tietoturvahaavoittuvuuksiin tai vakaviin tietoturvapoikkeamiin liittyvistä olennaisista tiedoista, riskienhallintatoimenpiteistä tai korjaavista toimista.

Tällaiset viranomaisilmoitukset ja viestintätoimet hoidetaan Smegin sisäisten tietoturvaprosessien kautta, eivätkä ne edellytä lisätoimia ilmoituksen tekijältä.

Versio: 11. syyskuuta 2026