Smegs retningslinjer for koordinert rapportering av sikkerhetssårbarheter

1. Innledning

Smegs produktfilosofi er å kombinere høy teknologisk standard med attraktiv design for å tilby innovative og pålitelige produkter.

Å sikre høyest mulig pålitelighet for produktene våre er en av Smegs viktigste forpliktelser. Dette oppnås gjennom kontinuerlige og grundige kvalitetskontroller gjennom hele produksjonsprosessen.

Som produsent av holdbare produkter av høy kvalitet er Smeg opptatt av å ivareta sikkerheten til brukernes informasjon. Vi ønsker derfor bidrag fra eksterne sikkerhetsforskere velkommen for å forbedre sikkerheten til våre tilkoblede produkter og tilhørende tjenester ytterligere.

Disse retningslinjene beskriver hvordan sikkerhetssårbarheter og sikkerhetshendelser kan rapporteres til Smeg, og hvordan Smeg håndterer slike rapporter på en ansvarlig og koordinert måte.

Smeg forbeholder seg retten til å endre og oppdatere sine retningslinjer for koordinert rapportering av sikkerhetssårbarheter ved behov, for å sikre ytterligere åpenhet og tydelighet i samarbeidet med eksterne sikkerhetsforskere. Det er derfor alltid den nyeste versjonen av retningslinjene som gjelder.

Vi anbefaler at du leser gjennom retningslinjene i sin helhet før du rapporterer en sikkerhetssårbarhet, og at du alltid følger dem.

Vi setter pris på alle som bruker tid og ressurser på å rapportere sikkerhetssårbarheter i samsvar med disse retningslinjene. Vi tilbyr imidlertid ingen økonomisk belønning for rapportering av sikkerhetssårbarheter.

2. Omfang

Disse retningslinjene gjelder alle tilkoblede produkter, inkludert komponentene deres, som utvikles, produseres og markedsføres av Smeg, samt alle tilhørende tjenester.

En oversikt over produktene som omfattes av disse retningslinjene, finner du på følgende side: Smegs tilkoblede produkter og tjenester.

På hver produktside finner du informasjon om produktets støtteperiode, som er den minste tidsperioden det vil bli levert sikkerhetsoppdateringer. Dersom støtteperioden for et produkt utløper, påvirker ikke dette produktets funksjon. Produktet kan som regel fortsatt oppdateres, men vi kan ikke garantere oppdateringer for eventuelle sikkerhetssårbarheter som oppdages.

På siden med sikkerhetsmeldinger publiserer vi informasjon om sikkerhetssårbarheter som er oppdaget gjennom Smegs ordinære tester eller rapportert via vårt eget nettskjema, og som deretter er verifisert og utbedret av Smegs laboratorier.

3. Klassifisering av sikkerhetshendelser

Innenfor rammen av disse retningslinjene skiller Smeg mellom følgende kategorier:

• Sikkerhetssårbarhet: en svakhet i sikkerheten som kan påvirke konfidensialiteten, integriteten, tilgjengeligheten eller autentisiteten til et produkt, en tjeneste eller tilhørende data.
• Aktivt utnyttet sikkerhetssårbarhet: en sikkerhetssårbarhet der det finnes bevis for at den utnyttes i ondsinnet hensikt og påvirker et produkt med digitale komponenter.
• Sikkerhetshendelse: en hendelse som påvirker eller potensielt kan påvirke konfidensialiteten, integriteten, tilgjengeligheten eller autentisiteten til et produkt, tilhørende tjenester eller brukerdata.
• Alvorlig sikkerhetshendelse: en sikkerhetshendelse som har eller kan ha betydelig innvirkning på sikkerheten til et produkt, tilhørende tjenester, brukerdata eller berørte systemer.

Rapporterte sikkerhetsproblemer kan vurderes og klassifiseres av Smeg som sikkerhetssårbarheter, aktivt utnyttede sikkerhetssårbarheter, sikkerhetshendelser eller alvorlige sikkerhetshendelser, avhengig av omstendighetene og i samsvar med gjeldende regelverk og interne prosedyrer.

Rapporter som gjelder noen av kategoriene ovenfor, kan sendes inn via kanalene som er beskrevet i disse retningslinjene.

4. Slik rapporterer du en sikkerhetssårbarhet

Hvis du mener å ha oppdaget et mulig sikkerhetsproblem som påvirker et av Smegs tilkoblede produkter eller tilhørende tjenester, ber vi deg rapportere funnene dine ved å fylle ut nettskjemaet via følgende lenke: rapporter sikkerhetsproblemer.

For å gjøre rapporteringsprosessen raskere bør rapporten inneholde så mye relevant informasjon som mulig, i samsvar med feltene i nettskjemaet. Vi ber deg spesielt om å oppgi følgende:

• Tittel: en kort oppsummering som gjør det enklere å kategorisere det rapporterte sikkerhetsproblemet riktig.

• Rapportkategori: angi hvilken type problem det gjelder (sikkerhetssårbarhet eller sikkerhetshendelse), slik at Smeg lettere kan vurdere problemet og iverksette tiltak.

• Produktkategori: velg hvilken type produkt eller tjeneste sikkerhetsproblemet gjelder (f.eks. stekeovn, oppvaskmaskin eller mobilapplikasjon).

• Produktkode: informasjon om hvordan du finner produktkoden, finner du her: finn produktkode og serienummer.
• Produktets serienummer: informasjon om hvordan du finner serienummeret, finner du her: finn produktkode og serienummer.

• Beskrivelse: en kort beskrivelse av det rapporterte sikkerhetsproblemet samt eventuelle forslag til tiltak eller anbefalinger.

• Fremgangsmåte for å gjenskape problemet: tydelige og detaljerte instruksjoner for hvordan problemet kan gjenskapes, inkludert testkode dersom dette er tilgjengelig.

• Konsekvenser: hvilke potensielle konsekvenser det rapporterte sikkerhetsproblemet kan ha.

• Alvorlighetsgrad: angi din vurdering av sikkerhetsproblemets potensielle innvirkning (lav, middels, høy eller kritisk). Der det er relevant, kan CVSS-poengsum brukes som referanse.

• Bevis på aktiv utnyttelse: angi om sikkerhetsproblemet er kjent eller mistenkes å bli aktivt utnyttet, og legg ved eventuell dokumentasjon som støtter dette.

• Type svakhet: hvis du ønsker det, kan du henvise til CWE (Common Weakness Enumeration).

• Vedlegg: for eksempel skjermbilder eller videoer.

• Fornavn, etternavn og e-postadresse.

Skjemaet gir deg også mulighet til å oppgi fornavn, etternavn og e-postadresse. Disse opplysningene er ikke obligatoriske for å sende inn en sikkerhetsrapport, men er nødvendige for at vi skal kunne bekrefte at rapporten din er mottatt, gi deg oppdateringer om rapportens status og ved behov be om ytterligere informasjon om det rapporterte problemet.

5. Hva skjer etter at du har sendt inn en rapport?

Når du har bekreftet innsendingen av sikkerhetsrapporten, vil du innen to virkedager motta en bekreftelse med et saksnummer. Dette nummeret er en unik identifikator som brukes i all videre kommunikasjon fra Smeg om sikkerhetsrapporten din.

Når sikkerhetsrapporten har fått et saksnummer, blir den registrert i systemene våre.

Smeg vurderer rapporterte sikkerhetshendelser ut fra deres art, alvorlighetsgrad, potensielle innvirkning på brukere og tjenester samt eventuelle bevis på aktiv utnyttelse. Tiden som kreves for å vurdere og utbedre rapporterte sikkerhetsproblemer, kan variere avhengig av kompleksitet, alvorlighetsgrad og potensiell innvirkning.

Dersom kontaktopplysninger er oppgitt, vil Smeg gjøre rimelige anstrengelser for å gi statusoppdateringer ved viktige trinn i prosessen med vurdering, utbedring og offentliggjøring. Hvor ofte oppdateringer gis, kan variere avhengig av sikkerhetsproblemets kompleksitet og alvorlighetsgrad.

Hvis du har oppgitt kontaktopplysningene dine, vil vi forsøke å holde deg informert om fremdriften i behandlingen av sikkerhetsrapporten så snart som mulig. Du er også velkommen til å kontakte oss for å spørre om status, men vi ber deg om ikke å gjøre dette oftere enn én gang hver 14. dag. Dette gir teamene våre mulighet til å fokusere på å utbedre problemet.

Hvis du har oppgitt kontaktopplysningene dine, vil vi varsle deg når det rapporterte problemet er utbedret. Du kan også bli bedt om å bekrefte at løsningen håndterer problemet på en tilfredsstillende måte.

All kommunikasjon fra Smegs produktsikkerhetsteam skjer via e-postadressen [email protected]. Du kan bruke denne adressen både til generelle spørsmål om produktenes cybersikkerhet og til spørsmål om statusen for en tidligere innsendt rapport.

For å sikre enhetlig veiledning og kommunikasjon til berørte brukere oppfordrer Smeg dem som rapporterer sikkerhetsproblemer, til å koordinere eventuell offentliggjøring med Smeg.

Når det er hensiktsmessig, koordinerer Smeg håndtering, utbedring og offentliggjøring av sikkerhetssårbarheter med rapportører, leverandører, tjenesteleverandører og andre relevante interessenter for å redusere potensielle risikoer for brukere, tilkoblede produkter og tilhørende tjenester.

Det endelige ansvaret for klassifiseringen av rapporterte sikkerhetssårbarheter eller sikkerhetshendelser, samt publisering av eventuelle sikkerhetsmeldinger eller annen kommunikasjon, ligger hos Smeg.

6. Anbefalinger ved rapportering av sikkerhetsproblemer

For å gjøre håndteringen av sikkerhetsrapporter enklere har vi samlet noen anbefalinger som vi oppfordrer deg til å følge når du rapporterer sikkerhetsproblemer.

Vi ber deg om å ikke:

• Bryte gjeldende lover eller forskrifter.
• Skaffe deg tilgang til unødvendige, omfattende eller betydelige mengder data.
• Endre data i Smegs systemer eller tjenester.
• Bruke intensive, påtrengende eller destruktive skanneverktøy for å identifisere sikkerhetssårbarheter.
• Forsøke å gjennomføre eller rapportere noen form for tjenestenektangrep (DoS), for eksempel ved å overbelaste en tjeneste med et stort antall forespørsler.
• Forstyrre Smegs tjenester eller systemer.
• Sende inn rapporter som kun påpeker at tjenester ikke fullt ut følger anbefalt praksis, for eksempel manglende sikkerhetsheadere.
• Offentliggjøre sikkerhetssårbarheter eller tilhørende informasjon gjennom andre kanaler enn dem som er beskrevet i disse retningslinjene.
• Bruke sosial manipulering, nettfisking eller fysiske angrep mot Smegs ansatte eller infrastruktur.
• Kreve økonomisk kompensasjon for å offentliggjøre sikkerhetssårbarheter.

Vi oppfordrer deg til å:

• Alltid følge gjeldende personvernregler og respektere personvernet til Smegs brukere, ansatte og oppdragstakere, samt sikkerheten til tjenester og systemer. Du må for eksempel ikke dele, videredistribuere eller unnlate å beskytte data som er hentet fra systemene eller tjenestene.

• Slette alle data som er samlet inn under undersøkelsen, på en sikker måte så snart de ikke lenger er nødvendige, eller senest innen én (1) måned etter at sikkerhetsproblemet er løst, avhengig av hva som inntreffer først (eller i samsvar med andre krav i personvernlovgivningen).

7. Juridiske vilkår

Disse retningslinjene er utformet for å være i samsvar med etablert god praksis for rapportering av sikkerhetssårbarheter. De gir deg ikke tillatelse til å handle på en måte som er i strid med loven, eller som kan føre til at Smeg eller samarbeidspartnere bryter sine juridiske forpliktelser.

8. Rapportering i henhold til lovpålagte krav

Smeg forplikter seg til å håndtere sikkerhetssårbarheter og sikkerhetshendelser i samsvar med gjeldende cybersikkerhetslovgivning og god bransjepraksis.

Når det kreves i henhold til gjeldende lover og forskrifter, varsler Smeg kompetente myndigheter, samarbeider med relevante interessenter og informerer berørte brukere om passende beskyttelsestiltak eller korrigerende tiltak ved aktivt utnyttede sikkerhetssårbarheter eller alvorlige sikkerhetshendelser.

Slik myndighetsrapportering og kommunikasjon håndteres gjennom Smegs interne sikkerhetsprosesser og krever ingen ytterligere tiltak fra den som har rapportert problemet.

Versjon: 11. september 2026