Smegs policy för samordnad rapportering av säkerhetsbrister

1. Introduktion

Smegs produktfilosofi är att kombinera hög teknisk standard med attraktiv design för att erbjuda innovativa och tillförlitliga produkter.

Att säkerställa högsta möjliga tillförlitlighet hos våra produkter är ett av Smegs viktigaste åtaganden. Detta uppnås genom kontinuerliga och noggranna kvalitetskontroller under hela produktionsprocessen.

Som tillverkare av högkvalitativa och hållbara produkter värnar Smeg om säkerheten för användarnas information. Vi välkomnar därför bidrag från externa säkerhetsforskare för att ytterligare förbättra säkerheten hos våra uppkopplade produkter och tillhörande tjänster.

Denna policy beskriver hur säkerhetsbrister och säkerhetsincidenter kan rapporteras till Smeg och hur Smeg hanterar sådana rapporter på ett ansvarsfullt och samordnat sätt.

Smeg förbehåller sig rätten att vid behov ändra och uppdatera sin policy för samordnad rapportering av säkerhetsbrister för att ytterligare säkerställa transparens och tydlighet i samarbetet med externa säkerhetsforskare. Det är därför alltid den senaste versionen av policyn som gäller.

Vi rekommenderar att du läser igenom hela policyn innan du rapporterar en säkerhetsbrist och att du alltid följer dess riktlinjer.

Vi uppskattar dem som lägger tid och engagemang på att rapportera säkerhetsbrister i enlighet med denna policy. Vi erbjuder dock ingen ekonomisk ersättning för rapportering av säkerhetsbrister.

2. Omfattning

Denna policy gäller alla uppkopplade produkter, inklusive deras komponenter, som utvecklas, tillverkas och marknadsförs av Smeg samt alla tillhörande tjänster.

En lista över de produkter som omfattas av denna policy finns på följande sida: Smegs uppkopplade produkter och tjänster.

På varje produktsida hittar du information om produktens supportperiod, vilket är den minsta tidsperiod under vilken säkerhetsuppdateringar tillhandahålls. Att supportperioden för en viss produkt löper ut påverkar inte produktens funktion. Produkten kan i regel fortfarande uppdateras, men vi kan inte garantera att uppdateringar tillhandahålls för eventuella säkerhetsbrister som upptäcks.

På sidan med säkerhetsmeddelanden publicerar vi information om säkerhetsbrister som har upptäckts genom Smegs ordinarie tester eller rapporterats via vårt särskilda onlineformulär och därefter verifierats och åtgärdats av Smegs laboratorier.

3. Klassificering av säkerhetshändelser

Inom ramen för denna policy skiljer Smeg mellan följande kategorier:

• Säkerhetsbrist: en svaghet i säkerheten som kan påverka konfidentialitet, integritet, tillgänglighet eller autenticitet hos en produkt, tjänst eller tillhörande data.
• Aktivt utnyttjad säkerhetsbrist: en säkerhetsbrist där det finns belägg för att den utnyttjas i skadligt syfte och påverkar en produkt med digitala komponenter.
• Säkerhetsincident: en händelse som påverkar eller potentiellt kan påverka konfidentialitet, integritet, tillgänglighet eller autenticitet hos en produkt, tillhörande tjänster eller användardata.
• Allvarlig säkerhetsincident: en säkerhetsincident som har eller kan ha en betydande påverkan på säkerheten hos en produkt, tillhörande tjänster, användardata eller berörda system.

Rapporterade säkerhetsproblem kan bedömas och klassificeras av Smeg som säkerhetsbrister, aktivt utnyttjade säkerhetsbrister, säkerhetsincidenter eller allvarliga säkerhetsincidenter, beroende på omständigheterna och i enlighet med tillämpliga regelverk och interna rutiner.

Rapporter som rör någon av ovanstående kategorier kan skickas in via de kanaler som beskrivs i denna policy.

4. Så rapporterar du en säkerhetsbrist

Om du misstänker att du har upptäckt ett säkerhetsproblem som påverkar någon av Smegs uppkopplade produkter eller tillhörande tjänster ber vi dig att rapportera dina iakttagelser genom att fylla i webbformuläret via följande länk: rapportera säkerhetsproblem.

För att underlätta och påskynda hanteringen bör din rapport innehålla så mycket relevant information som möjligt enligt fälten i webbformuläret. Vi ber dig särskilt att ange följande:

• Rubrik: en kort sammanfattning som underlättar korrekt kategorisering av det rapporterade säkerhetsproblemet.

• Rapportkategori: ange vilken typ av problem det gäller (säkerhetsbrist eller säkerhetsincident) för att underlätta Smegs bedömning och åtgärdsarbete.

• Produktkategori: välj vilken typ av produkt eller tjänst säkerhetsproblemet gäller (t.ex. ugn, diskmaskin eller mobilapplikation).

• Produktkod: information om hur du hittar produktkoden finns här: hitta produktkod och serienummer.
• Produktens serienummer: information om hur du hittar serienumret finns här: hitta produktkod och serienummer.

• Beskrivning: en kort beskrivning av det rapporterade säkerhetsproblemet samt eventuella åtgärdsförslag eller rekommendationer.

• Steg för att återskapa problemet: tydliga och detaljerade instruktioner för hur problemet kan återskapas, inklusive testkod om sådan finns.

• Påverkan: vilka potentiella konsekvenser det rapporterade säkerhetsproblemet kan få.

• Allvarlighetsgrad: ange din bedömning av säkerhetsproblemets potentiella påverkan (låg, medel, hög eller kritisk). Där det är tillämpligt kan CVSS-poäng användas som referens.

• Belägg för aktivt utnyttjande: ange om säkerhetsproblemet är känt eller misstänks utnyttjas aktivt och bifoga eventuell information som styrker detta.

• Typ av svaghet: om du vill kan du hänvisa till CWE (Common Weakness Enumeration).

• Bilagor: exempelvis skärmbilder eller videoklipp.

• Förnamn, efternamn och e-postadress.

Formuläret ger dig även möjlighet att ange förnamn, efternamn och e-postadress. Dessa uppgifter är inte obligatoriska för att skicka in en säkerhetsrapport, men krävs för att vi ska kunna bekräfta att din rapport har tagits emot, informera dig om rapportens status och vid behov begära ytterligare information om det rapporterade problemet.

5. Vad händer efter att du skickat in en rapport?

När du har bekräftat att din säkerhetsrapport ska skickas in får du inom två arbetsdagar en bekräftelse med ett ärendenummer. Detta nummer är en unik identifierare som används vid all efterföljande kommunikation från Smeg som rör din säkerhetsrapport.

När säkerhetsrapporten har tilldelats ett ärendenummer registreras den i våra system.

Smeg bedömer rapporterade säkerhetshändelser utifrån deras karaktär, allvarlighetsgrad, potentiella påverkan på användare och tjänster samt eventuella belägg för aktivt utnyttjande. Tiden som krävs för att bedöma och åtgärda rapporterade säkerhetsproblem kan variera beroende på deras komplexitet, allvarlighetsgrad och potentiella påverkan.

Om kontaktuppgifter har lämnats kommer Smeg att göra rimliga ansträngningar för att ge statusuppdateringar vid viktiga steg i processen för bedömning, åtgärdande och offentliggörande. Hur ofta uppdateringar lämnas kan variera beroende på säkerhetsproblemets komplexitet och allvarlighetsgrad.

Om du har lämnat dina kontaktuppgifter strävar vi efter att hålla dig informerad om hur arbetet med din säkerhetsrapport fortskrider så snart som möjligt. Du är även välkommen att kontakta oss för att fråga om statusen, men vi ber dig att inte göra detta oftare än en gång var 14:e dag. Det ger våra team möjlighet att fokusera på att åtgärda problemet.

Om du har lämnat dina kontaktuppgifter meddelar vi dig när det rapporterade problemet har åtgärdats. Du kan även bli ombedd att bekräfta att lösningen åtgärdar problemet på ett tillfredsställande sätt.

All kommunikation från Smegs produktsäkerhetsteam sker via e-postadressen [email protected]. Du kan använda denna adress både för allmänna frågor om produkternas cybersäkerhet och för frågor om statusen för en tidigare inskickad rapport.

För att säkerställa enhetlig vägledning och kommunikation till berörda användare uppmuntrar Smeg dem som rapporterar säkerhetsproblem att samordna eventuellt offentliggörande med Smeg.

När det är lämpligt samordnar Smeg hantering, åtgärdande och offentliggörande av säkerhetsbrister med rapportörer, leverantörer, tjänsteleverantörer och andra relevanta intressenter för att minska potentiella risker för användare, uppkopplade produkter och tillhörande tjänster.

Det slutliga ansvaret för klassificeringen av rapporterade säkerhetsbrister eller säkerhetsincidenter samt publiceringen av eventuella säkerhetsmeddelanden eller annan kommunikation ligger hos Smeg.

6. Rekommendationer vid rapportering av säkerhetsproblem

För att underlätta hanteringen av säkerhetsrapporter har vi sammanställt några rekommendationer som vi uppmuntrar dig att följa när du rapporterar säkerhetsproblem.

Vi ber dig att inte:

• Bryta mot tillämpliga lagar eller förordningar.
• Få åtkomst till onödiga, omfattande eller betydande mängder data.
• Ändra data i Smegs system eller tjänster.
• Använda intensiva, påträngande eller destruktiva skanningsverktyg för att identifiera säkerhetsbrister.
• Försöka genomföra eller rapportera någon form av överbelastningsattack (DoS), exempelvis genom att överbelasta en tjänst med ett stort antal förfrågningar.
• Störa Smegs tjänster eller system.
• Skicka in rapporter som enbart påpekar att tjänster inte fullt ut följer rekommenderad praxis, exempelvis att vissa säkerhetsheaders saknas.
• Offentliggöra säkerhetsbrister eller tillhörande information via andra kanaler än de som anges i denna policy.
• Använda social manipulation, nätfiske eller fysiska angrepp mot Smegs personal eller infrastruktur.
• Kräva ekonomisk ersättning för att offentliggöra säkerhetsbrister.

Vi uppmuntrar dig att:

• Alltid följa gällande dataskyddsregler och respektera integriteten för Smegs användare, personal, uppdragstagare, tjänster och system. Du får exempelvis inte dela, sprida vidare eller underlåta att skydda data som har hämtats från systemen eller tjänsterna.

• Radera all data som samlats in under din undersökning på ett säkert sätt så snart den inte längre behövs, eller senast inom en (1) månad efter att säkerhetsproblemet har åtgärdats, beroende på vilket som inträffar först (eller enligt vad som annars krävs enligt dataskyddslagstiftningen).

7. Juridiska villkor

Denna policy är utformad för att vara förenlig med etablerad god praxis för rapportering av säkerhetsbrister. Den ger dig inte tillstånd att agera på ett sätt som strider mot lagen eller som kan medföra att Smeg eller dess samarbetspartner bryter mot sina rättsliga skyldigheter.

8. Rapportering enligt lagstadgade krav

Smeg åtar sig att hantera säkerhetsbrister och säkerhetsincidenter i enlighet med tillämplig cybersäkerhetslagstiftning och god branschpraxis.

När det krävs enligt tillämpliga lagar och förordningar underrättar Smeg behöriga myndigheter, samarbetar med relevanta intressenter och informerar berörda användare om lämpliga skyddsåtgärder eller korrigerande åtgärder vid aktivt utnyttjade säkerhetsbrister eller allvarliga säkerhetsincidenter.

Sådan myndighetsrapportering och kommunikation hanteras genom Smegs interna säkerhetsprocesser och kräver inga ytterligare åtgärder från den som har rapporterat problemet.

Version: 11 september 2026