Richtlinie zur Offenlegung von Sicherheitslücken

Eaton ist auf eine vertrauensvolle Zusammenarbeit mit einzelnen Forschern und Sicherheitsbehörden eingestellt. Das gilt vor allem für das U.S. Department of Homeland Security Industrial Control Systems Cyber Emergency Response Team (ICS-CERT), verschiedene Sicherheitsbehörden sowie unsere Kunden und Außendienstmitarbeitenden, die möglicherweise Schwachstellen in Zusammenhang mit unseren Produkten entdecken und einen entsprechenden Bericht einreichen. Sicherheitslücken können hier gemeldet werden.

Eaton verpflichtet sich, keine rechtlichen Schritte gegen Personen einzuleiten, die:

• sich an Tests bzw. der Forschung von Eaton Smart Products beteiligen, ohne dabei die Interessen von Eaton oder seinen Kunden zu beeinträchtigen;
• Sicherheitsprüfungen durchführen – im Rahmen unserer Richtlinie zur Offenlegung von Sicherheitsrisiken oder mit unserer vorherigen Genehmigung bzw. Zustimmung;
• Produkte testen, ohne dabei die Interessen unserer Kunden zu beeinträchtigen, oder mit vorhandener Erlaubnis bzw. Zustimmung der Kunden, Sicherheitstests bei entsprechenden Geräten/Software durchführen;
• sich an die gesetzlichen Bestimmungen ihres eigenen und des Standorts von Eaton halten;
• einen Schwachstellenbericht über unseren „Report an issue“-Prozess melden;
• Details über Sicherheitslücken nicht vor Ablauf eines gemeinsam vereinbarten Zeitrahmens der Öffentlichkeit zugänglich machen.

Eingangsbestätigung und Voruntersuchung

Eaton hat einen internen Risikobewertungsprozess für den Empfang und die Eingangsbestätigung von Schwachstelleninformationen implementiert. Es folgt eine Voruntersuchung, die die gemeldete Sicherheitslücke in eine erste Bewertung einstuft. Allen extern gemeldeten Schwachstellen in Softwarebibliotheken von Drittanbietern ordnen wir eine Risikobewertung zu. Dafür verwenden wir die CVSS v3-Sicherheitsbewertungsmethode, die für das betroffene Eaton Produkt und seinen Einsatzbereich gilt. Jede Sicherheitslücke, deren CVSS Gesamtwert bei 7,0 oder höher liegt, oder vom CCoE als hohes Sicherheitsrisiko eingestuft wird, behandeln wir vorrangig.

Beseitigung oder Minimierung von Sicherheitslücken

Festgestellte Sicherheitsanfälligkeiten bei aktuell betreuten Produkten werden von Eaton behoben. Um die Sicherheitslücke gemäß der zugewiesenen Priorität zu beheben, arbeitet das CCoE-Team mit dem Produktentwicklungsteam zusammen. Ein voraussichtlicher Zeitplan für die Korrektur des Problems wird eingeschätzt und den zuständigen Stellen für Sicherheitsforschung mitgeteilt (d. h. einzelnen Wissenschaftlern, ICS-CERT oder anderen Behörden).  In dieser Phase agiert das CCoE-Team als Single Point of Contact für externe Partner und arbeitet gemeinsam mit den internen Teams, um die Sicherheitslücke zu beheben und zu testen.  Solange wir an der Lösung des Problems arbeiten, kann die Kommunikation mit der betreffenden Stelle aufrechterhalten werden, die die Sicherheitslücke gemeldet hat.

Veröffentlichung der Korrekturen

Eaton veröffentlicht die Beseitigung von Sicherheitsrisiken über den standardisierten Vertriebskanal der betroffenen Produkte Die detaillierten technischen Informationen im Zusammenhang mit den behobenen Problemen werden als Sicherheitshinweis für das betreffende Eaton Produkt veröffentlicht.

Um eine abgestimmte Veröffentlichung zu gewährleisten, arbeitet Eaton eng zusammen mit den zuständigen Stellen für Schwachstellenforschung (Vulnerability Research). Von den entsprechenden Einrichtungen erwartet Eaton, dass diese der Öffentlichkeit vor Ablauf eines gemeinsam vereinbarten Zeitrahmens keine Details über die Sicherheitslücken mitteilen.

Eaton Security Advisories

Die Veröffentlichung von Informationen über Sicherheitslücken finden Sie auf unserer Webseite über Benachrichtigungen zur Cyber-Sicherheit. Diese Webseite beinhaltet alle wichtigen Informationen zur Produktsicherheit der elektrischen Produkten von Eaton. Unseren Kunden empfehlen wir, die aktuellen Sicherheitshinweise auf dem Portal aufmerksam zu beobachten.

Wir beabsichtigen, Sicherheitshinweise für bestätigte Sicherheitslücken zu veröffentlichen, wenn eine praktische Abhilfe oder Lösung gefunden wurde. Es kann Fälle geben, in denen eine Sicherheitsmeldung herausgegeben wird, ohne dass eine Abhilfe vorliegt. Da jede Sicherheitslücke spezifisch ist, können wir alternative Maßnahmen in Verbindung mit der Bekanntgabe von Sicherheitshinweisen ergreifen. 

Eaton übernimmt keine Garantie dafür, dass für jedes einzelne Sicherheitsproblem, das die Kunden für wichtig halten, ein Sicherheitshinweis herausgegeben wird, oder dass diese zu einem bestimmten Zeitpunkt veröffentlicht werden.

Eaton behält sich das Recht vor, diese Richtlinie nach eigenem Ermessen jederzeit zu ändern.

Auszeichnung und Anerkennung

In der Eaton Hall of Recognition würdigen wir die Beiträge von Sicherheitsexperten, die Cyber-Sicherheitsprobleme untere Einhaltung der vorliegenden Richtlinie melden.