Polityka SMEG dotycząca zgłaszania incydentów

pokaż więcej

1. Wstęp

Podejście SMEG do produktów polega na łączeniu wysokich standardów technologicznych z atrakcyjnym designem, aby dostarczać innowacyjne i niezawodne urządzenia.

Gwarantowanie absolutnej niezawodności naszych produktów jest jednym z głównych zobowiązań SMEG, o czym świadczą stałe i rygorystyczne testy kontrolne przeprowadzane na każdym etapie procesu produkcyjnego.

Jako producent wysokiej jakości i trwałych produktów, SMEG dba o bezpieczeństwo informacji użytkowników i z zadowoleniem przyjmuje wkład zewnętrznych badaczy bezpieczeństwa w poprawę bezpieczeństwa naszych produktów z możliwością podłączenia do sieci oraz powiązanych z nimi usług.

Niniejsza polityka wyjaśnia, w jaki sposób można zgłaszać SMEG luki w zabezpieczeniach oraz incydenty bezpieczeństwa, a także w jaki sposób SMEG zarządza takimi zgłoszeniami w sposób odpowiedzialny i skoordynowany.

SMEG zastrzega sobie prawo do modyfikowania i aktualizowania Polityki skoordynowanego ujawniania podatności, gdy będzie to konieczne w celu zapewnienia większej przejrzystości i jasności w relacjach z zewnętrznymi badaczami bezpieczeństwa. Polityka skoordynowanego ujawniania podatności SMEG będzie więc obowiązywać w swojej najnowszej wersji.

Zalecamy dokładne przeczytanie niniejszej polityki przed zgłoszeniem podatności i zawsze działanie zgodnie z jej postanowieniami.

Cenimy osoby, które poświęcają czas i wysiłek na zgłaszanie luk w zabezpieczeniach zgodnie z niniejszą polityką. Nie oferujemy jednak nagród pieniężnych za ujawnianie podatności.

2. Zakres

Niniejsza polityka dotyczy wszystkich produktów z możliwością podłączenia do sieci, w tym ich komponentów, które są opracowywane, produkowane i wprowadzane na rynek przez SMEG, a także wszystkich powiązanych z nimi usług.

Listę produktów objętych niniejszą polityką znajdziesz na następującej stronie: Produkty i usługi SMEG z możliwością podłączenia do sieci.

Na stronie każdego produktu znajdziesz informacje o okresie wsparcia, czyli minimalnym czasie, przez który będą dostarczane aktualizacje bezpieczeństwa. Ewentualne wygaśnięcie okresu wsparcia dla danego produktu nie wpływa na jego działanie: produkt nadal pozostaje zasadniczo aktualizowalny, jednak nie możemy zagwarantować aktualizacji w przypadku wykrycia luk w zabezpieczeniach.

Na stronie Komunikaty bezpieczeństwa publikujemy informacje o wykrytych lukach, zarówno tych odkrytych w ramach standardowych działań testowych SMEG, jak i tych zgłoszonych za pośrednictwem dedykowanego formularza online, które następnie są weryfikowane i naprawiane przez laboratoria SMEG.

3. Klasyfikacja zdarzeń bezpieczeństwa

Na potrzeby niniejszej polityki SMEG rozróżnia następujące kategorie:

Podatność (Vulnerability): słabość bezpieczeństwa, która może wpływać na poufność, integralność, dostępność lub autentyczność produktu, usługi lub powiązanych danych.
Aktywnie wykorzystywana podatność (Actively Exploited Vulnerability): podatność, w przypadku której istnieją dowody złośliwego wykorzystania wpływającego na produkt zawierający elementy cyfrowe.
Incydent bezpieczeństwa (Security Incident): zdarzenie wpływające lub mogące wpływać na poufność, integralność, dostępność lub autentyczność produktu, powiązanych usług lub danych użytkownika.
Poważny incydent bezpieczeństwa (Severe Security Incident): incydent bezpieczeństwa, który ma lub może mieć znaczący wpływ na bezpieczeństwo produktu, powiązanych usług, danych użytkownika lub dotkniętych systemów.

Zgłoszone problemy bezpieczeństwa mogą być oceniane i klasyfikowane przez SMEG jako Podatności, Aktywnie wykorzystywane podatności, Incydenty bezpieczeństwa lub Poważne incydenty bezpieczeństwa, w zależności od okoliczności oraz zgodnie z obowiązującymi wymogami regulacyjnymi i wewnętrznymi procedurami.

Zgłoszenia dotyczące którejkolwiek z powyższych kategorii można składać za pośrednictwem kanałów opisanych w niniejszej polityce.

4. Jak zgłosić lukę w zabezpieczeniach

Jeśli uważasz, że zidentyfikowałeś potencjalny problem bezpieczeństwa dotyczący jednego z produktów SMEG z możliwością podłączenia do sieci lub powiązanych usług, prosimy o przekazanie swoich ustaleń poprzez wypełnienie formularza dostępnego pod poniższym linkiem: zgłoszenie cyberbezpieczeństwa.

Aby przyspieszyć proces zgłaszania, Twoja wiadomość powinna zawierać wszystkie szczegóły problemu bezpieczeństwa zgodnie z polami określonymi w formularzu. Dokładniej, w zgłoszeniu prosimy o podanie:

Tytuł: zwięzłe podsumowanie ułatwiające prawidłową kategoryzację zgłoszonego problemu bezpieczeństwa;
Kategoria zgłoszenia: wskazanie charakteru problemu (luka bezpieczeństwa, incydent bezpieczeństwa), pomagające SMEG w ocenie i działaniach naprawczych;
Kategoria produktu: wybierz rodzaj produktu lub usługi, której dotyczy problem bezpieczeństwa (np. piekarnik, zmywarka, aplikacja mobilna itp.);
Kod produktu: aby zidentyfikować kod produktu, zobacz jak znaleźć kod produktu i numer seryjny;
Numer seryjny produktu: aby zidentyfikować numer seryjny produktu, zobacz jak znaleźć kod produktu i numer seryjny;
Opis: krótki opis zgłoszonego problemu bezpieczeństwa oraz ewentualne środki zaradcze lub zalecenia;
Kroki do odtworzenia: podaj jasne i szczegółowe kroki pozwalające na odtworzenie problemu oraz kod testowy, jeśli jest dostępny;
Wpływ: potencjalne konsekwencje zgłoszonego problemu bezpieczeństwa;
Poziom ważności: poziomy na podstawie oceny zgłaszającego dotyczącej potencjalnego wpływu na bezpieczeństwo (niski, średni, wysoki, krytyczny). W stosownych przypadkach jako punkt odniesienia można użyć punktacji CVSS;
Dowody aktywnego wykorzystania: wskaż, czy zgłoszony problem bezpieczeństwa jest znany lub podejrzewany o aktywne wykorzystanie, oraz podaj wszelkie dostępne informacje potwierdzające;
Słabość: jeśli chcesz, możesz odnieść się do portalu CWE (Common Weakness Enumerations);
Pliki pomocnicze: np. zrzuty ekranu lub wideo;
Imię, nazwisko i adres e-mail kontaktowy.

Formularz umożliwia również podanie imienia, nazwiska i adresu e-mail. Informacje te nie są obowiązkowe do złożenia zgłoszenia bezpieczeństwa, ale są wymagane, aby powiadomić Cię o przyjęciu zgłoszenia, przesyłać aktualizacje dotyczące zgłoszenia oraz prosić o dodatkowe szczegóły dotyczące zgłoszonego problemu.

5. Czego można się spodziewać

Po potwierdzeniu złożenia zgłoszenia bezpieczeństwa otrzymasz w ciągu dwóch dni roboczych wiadomość potwierdzającą z numerem protokołu. Numer protokołu jest unikalnym identyfikatorem, który będzie używany do identyfikacji wszystkich kolejnych aktualizacji SMEG dotyczących Twojego zgłoszenia.

Po przypisaniu numeru protokołu do zgłoszenia bezpieczeństwa zostanie ono zarejestrowane w naszych systemach.

SMEG ocenia zgłoszone zdarzenia bezpieczeństwa, biorąc pod uwagę ich charakter, wagę, potencjalny wpływ na użytkowników i usługi oraz wszelkie dowody aktywnego wykorzystania. Ocena i usunięcie zgłoszonych problemów bezpieczeństwa może wymagać różnej ilości czasu w zależności od ich złożoności, wagi i potencjalnego wpływu.

W przypadku podania danych kontaktowych SMEG dołoży uzasadnionych starań, aby przekazywać informacje o statusie na kluczowych etapach procesu oceny, naprawy i ujawniania. Częstotliwość aktualizacji może się różnić w zależności od złożoności i wagi zgłoszonego problemu bezpieczeństwa.

Jeśli podałeś nam swoje dane kontaktowe, będziemy starać się informować Cię o postępach w sprawie złożonego zgłoszenia tak szybko, jak to możliwe; w przeciwnym razie możesz pytać o status, ale nie częściej niż raz na 14 dni. Pozwala to naszym zespołom skupić się na naprawie.

Jeśli podałeś nam swoje dane kontaktowe, powiadomimy Cię, gdy zgłoszony problem zostanie usunięty, i możesz zostać poproszony o potwierdzenie, że rozwiązanie w wystarczającym stopniu obejmuje dany problem.

Zespół Bezpieczeństwa Produktów SMEG będzie wysyłał wszystkie komunikaty z adresu [email protected], który możesz traktować jako adres referencyjny zarówno w przypadku ogólnych informacji o cyberbezpieczeństwie produktów, jak i zapytań o status złożonego zgłoszenia.

Aby zapewnić spójne wskazówki i komunikację dla zainteresowanych użytkowników, SMEG zachęca zgłaszających do koordynowania wszelkich działań związanych z publicznym ujawnianiem z SMEG.

W stosownych przypadkach SMEG koordynuje działania związane z obsługą podatności, naprawą i ujawnianiem ze zgłaszającymi, dostawcami, dostawcami usług i innymi odpowiednimi interesariuszami, aby zmniejszyć potencjalne ryzyko dla użytkowników, podłączonych produktów i powiązanych usług.

Ostateczna klasyfikacja zgłoszonych podatności lub incydentów bezpieczeństwa, a także publikacja wszelkich komunikatów lub porad przez SMEG, pozostaje w gestii SMEG.

6. Najlepsze praktyki przy zgłaszaniu problemów bezpieczeństwa

Aby ułatwić obsługę zgłoszeń bezpieczeństwa, poniżej przedstawiamy niektóre z najlepszych praktyk, które zachęcamy do stosowania przy zgłaszaniu problemów bezpieczeństwa.

Prosimy, aby nie:

łamać żadnych obowiązujących przepisów prawa lub regulacji;
uzyskiwać dostępu do niepotrzebnych, nadmiernych lub znaczących ilości danych;
modyfikować danych w systemach lub usługach SMEG;
używać narzędzi do skanowania o wysokiej intensywności, inwazyjnych lub destrukcyjnych w celu wyszukiwania luk;
podejmować lub zgłaszać jakichkolwiek form ataku typu denial of service, np. przeciążania usługi dużą liczbą żądań;
zakłócać usług lub systemów SMEG;
składać zgłoszeń wskazujących, że usługi nie są w pełni zgodne z „najlepszymi praktykami”, na przykład brakujących nagłówków bezpieczeństwa;
ujawniać luk lub powiązanych szczegółów za pośrednictwem kanałów innych niż opisane w niniejszej polityce;
stosować inżynierii społecznej, phishingu lub ataków fizycznych wobec personelu lub infrastruktury SMEG;
żądać rekompensaty finansowej w zamian za ujawnienie jakichkolwiek luk.

Prosimy, aby:

zawsze przestrzegać przepisów o ochronie danych i nie naruszać prywatności użytkowników, pracowników, kontrahentów, usług lub systemów SMEG. Nie wolno na przykład udostępniać, rozpowszechniać ani nie zabezpieczać odpowiednio danych pobranych z systemów lub usług;
bezpiecznie usuwać wszystkie dane pobrane podczas badań, gdy tylko nie będą już potrzebne lub w ciągu 1 (jednego) miesiąca od rozwiązania problemu bezpieczeństwa – w zależności od tego, co nastąpi wcześniej (lub zgodnie z innymi wymogami prawa o ochronie danych).

7. Kwestie prawne

Niniejsza polityka została zaprojektowana tak, aby była zgodna z powszechnymi dobrymi praktykami ujawniania podatności. Nie daje ona zgody na działanie w sposób niezgodny z prawem lub taki, który mógłby spowodować naruszenie przez SMEG lub organizacje partnerskie jakichkolwiek zobowiązań prawnych.

8. Zgłoszenia regulacyjne

SMEG zobowiązuje się do obsługi podatności i incydentów bezpieczeństwa zgodnie z obowiązującymi przepisami dotyczącymi cyberbezpieczeństwa oraz dobrymi praktykami branżowymi.

W przypadku gdy wymagają tego obowiązujące przepisy prawa i regulacje, SMEG powiadamia właściwe organy, współpracuje z odpowiednimi interesariuszami oraz przekazuje zainteresowanym użytkownikom odpowiednie informacje, środki zaradcze lub działania naprawcze dotyczące Aktywnie wykorzystywanych podatności lub Poważnych incydentów bezpieczeństwa.

Takie działania regulacyjne i komunikacyjne są zarządzane poprzez wewnętrzne procesy bezpieczeństwa SMEG i nie wymagają żadnych dodatkowych działań ze strony zgłaszającego.

Wersja: 11 września 2026