Koordinierte Offenlegung zur Produkt-Cybersicherheit

Angaben, die im Bericht enthalten sein sollten:

• Ihre Kontaktdaten, einschließlich Name(n), Organisationsname, E-Mail-Adresse und Telefonnummer, damit wir bei Rückfragen mit Ihnen in Kontakt treten können. Darüber hinaus benötigen wir Ihre Kontaktdaten ausschließlich, um sie im Rahmen der Bearbeitung Ihres Berichts, mit uns vorliegenden Daten abgleichen und Ihre Schilderungen nachvollziehen zu können. Ihre Kontaktdaten werden niemals weitergegeben.

• Produktname und betroffene Versionen

• Klasse oder Art der Sicherheitslücke, optional unter Verwendung einer Taxonomie wie CWE

• Mögliche Ursache, Proof-of-Concept-Code oder andere aussagekräftige Nachweise

• Werkzeuge und Schritte zur Reproduktion des verwundbaren Verhaltens

• Einschätzung von Auswirkungen und Schweregrad

• Bewertung des Umfangs, andere Produkte, Komponenten oder Anbieter, die möglicherweise betroffen sein könnten

• Alle weiteren Informationen, die Sie für hilfreich halten

• Ob Sie bereits andere Stellen über die potenzielle Sicherheitslücke informiert haben, z. B. Regulierungsbehörden, Anbieter, Koordinatoren für Sicherheitslücken, oder ob Sie dies planen

Analyse:

• Wir werden die potenzielle Sicherheitslücke untersuchen.

• Wir führen eine Risikoanalyse durch, um geeignete Maßnahmen festzulegen.

• Wenn die Lücke bestätigt wird, werden unsere verschiedenen Fachteams – einschließlich Forschung und Entwicklung (dazu gehört auch Produktsicherheit) sowie Qualität und Datenschutz – geeignete Maßnahmen ergreifen.

Kommunikation und Offenlegung:

• Wir bestätigen den Eingang Ihres Berichts innerhalb von 5 Werktagen.

• Nach Abschluss der Untersuchung erhalten Sie eine Zusammenfassung unserer Ergebnisse.

• Bestätigt mylife Diabetes Care betreffende Produktsicherheitslücken, werden diese in koordinierter Form als Bulletins veröffentlicht.

Wichtige Hinweise:

• Wir bitten Sie, bei Ihrer Recherche alle geltenden Gesetze und Vorschriften einzuhalten und Handlungen zu vermeiden, die Produkten oder Personen Schaden zufügen könnten, wie z. B. Brute-Force-Tests, Tests an aktiven Geräten, Tests an produktiv eingesetzter Software, Maßnahmen zur Ausnutzung von Sicherheitslücken oder Änderungen an einem Produkt oder System nach Durchführung des Tests.

• Wir behalten uns das Recht vor, jederzeit Änderungen an unserem koordinierten Offenlegungsprozess vorzunehmen, ohne dies vorher anzukündigen, und Ausnahmen im Einzelfall zu gewähren.