Hitachi Vantara Sicherheitshinweise

Hitachi Vantara Richtlinie zur Offenlegung von Schwachstellen

Sicherheit Text

1. Richtlinieneinführung & -zweck

Der Zweck dieser Richtlinie besteht darin, eine Methode festzulegen, die alle Hitachi Vantara-Kunden und externen Beteiligten befolgen sollten, um potenzielle Schwachstellen und Bedrohungen zu melden.

Ziel dieser Richtlinie ist es, das Vertrauen der Kunden von Hitachi Vantara sicherzustellen, indem potenzielle Schwachstellen und Bedrohungen kontinuierlich angegangen werden, um potenzielle Risiken zu reduzieren, die sich auf den Betrieb, die Infrastruktur und die Dienstleistungen von Hitachi Vantara auswirken können.

2. Geltungsbereich

Diese Richtlinie gilt für alle Abteilungen und Regionen, sofern in diesem Dokument nichts anderes angegeben ist, und richtet sich an alle Mitarbeiter mit einer direkten oder indirekten Beziehung zu Kunden und Dritten, mit denen Hitachi Vantara Geschäfte tätigt.

Die folgenden Situationen sind von dieser Richtlinie ausgeschlossen:

• Wenn ein Hitachi Vantara-Kunde oder ein Dritter Maßnahmen über eine gültige Vertragsverlängerung hinaus anfordert.

3. Prozess zur Meldung potenzieller Schwachstellen und Bedrohungen

3.1. Jeder Hitachi Vantara-Kunde oder Dritte kann einen Bericht einreichen, um über potenzielle Schwachstellen oder Bedrohungen zu informieren. Eine Berichtseinreichung sollte die folgenden Informationen enthalten, ist aber nicht beschränkt darauf:

• Details des betroffenen Hitachi Vantara-Produkts oder der Lösung
• Versionen der Software und/oder Microcode von Hitachi Vantara-Komponenten
• Eine detaillierte Beschreibung der identifizierten Schwachstelle oder Bedrohung und
• Alle anderen relevanten Informationen wie Beweise oder Proof of Concept, bei denen die identifizierte Schwachstelle bereits veröffentlicht ist und bei denen die einzelne Meldung zu einer koordinierten Offenlegung verpflichtet ist.

3.2. Kontaktinformationen, um eine potenzielle Schwachstelle oder Bedrohung zu melden:

• Wenn eine potenzielle Sicherheitslücke in den Produkten von Hitachi Vantara entdeckt wird, werden Kunden oder Dritte aufgefordert, die Sicherheitslücke zu melden, indem sie sich an das Global Support Center (GSC) von Hitachi Vantara wenden.
• Das GSC-Team wird in Zusammenarbeit mit dem Cybersicherheitsteam von Hitachi Vantara das Problem in Übereinstimmung mit den Anforderungen des Kundenvertrags und den GSC-Standardarbeitsanweisungen untersuchen.
• Hitachi Vantara empfiehlt die Verwendung eines Verschlüsselungsprogramms, um vertrauliche und personenbezogene Daten sicher zu übertragen.
• Hitachi Vantara wird über das GSC eingereichte Berichte prüfen, jedoch werden Schwachstellen in bestehenden Kundeninstallationen, die auf individuelle Designs, Komponenten von Drittanbietern oder kompromittierte Zugangsdaten zurückzuführen sind, nicht als Schwachstellen in den Produkten von Hitachi Vantara angesehen.
• Alle Unternehmen ohne Kundenbeziehung zu Hitachi Vantara können hier Sicherheitslücken an das Cybersicherheitsteam melden. (security.vulnerabilities@hitachivantara.com)

3.3. Im Einvernehmen mit den meldenden Kunden oder Dritten muss Hitachi Vantara den Kunden oder Dritten für die Entdeckung der Schwachstelle im Rahmen des offiziellen Hitachi Vantara-Prozesses anerkennen. Hitachi Vantara hat kein „Bug Bounty“-Programm eingerichtet. Daher erkennt Hitachi Vantara die Entdecker von Schwachstellen durch die Veröffentlichung der Schwachstellen (CVE - Common Enumeration of Vulnerabilities) oder ein Anerkennungsschreiben für ihre Beiträge an.

3.4. Hitachi Vantaras Umgang mit Produktschwachstellen umfasst im Allgemeinen Folgendes:

• Erste Antwort,
• Initiale Sichtung,
• Untersuchung und Planung,
• Behebung und
• Offenlegung und Benachrichtigung.

Hitachi Vantara bemüht sich nach Kräften, Schwachstellen, die ein hohes Risiko für Hitachi Vantara, seine Kunden und Dritte darstellen, zeitnah zu beheben. Die Behebungszeiten können jedoch je nach Komplexität der Schwachstelle oder den Bedrohungsbedingungen variieren. Unter der Annahme, dass die gemeldeten Informationen nicht öffentlich bekannt sind, ist es die Absicht des Kunden oder Dritten, der eine Schwachstelle meldet, und von Hitachi Vantara, keine diesbezüglichen Informationen zu veröffentlichen, bis die Behebung erfolgt ist.

4. Haftungsausschluss

Die hierin enthaltenen Informationen können jederzeit ohne vorherige Ankündigung geändert werden. Die Aussagen in dieser Richtlinie ändern, ersetzen oder ändern in keiner Weise die Rechte, Pflichten oder Bedingungen des Kunden zwischen Hitachi Vantara LLC und einer anderen Partei. Die Verwendung der in dieser Richtlinie enthaltenen Informationen oder Links erfolgt auf eigenes Risiko.