KONCERNENS POLITIK OM ANSVARLIG OFFENTLIGGØRELSE

Verisure har forpligtet sig til at beskytte sikkerheden af vores produkter, systemer og alle kunde-, partner- og medarbejderoplysninger. Vi værdsætter samarbejde med vores fællesskab af brugere og forskere, som kan bidrage til identifikation af sikkerhedssårbarheder i vores produkter og systemer.

Denne politik beskriver en proces til ansvarlig offentliggørelse af sikkerhedssårbarheder med det formål at sikre et effektivt samarbejde og hurtig afhjælpning af sikkerhedsproblemer.

Denne politik fastlægger retningslinjer for indberetning og håndtering af sikkerhedssårbarheder på en ansvarlig måde i henhold til adfærdsreglerne nedenfor, og gælder for eventuelle sikkerhedssårbarheder, som du overvejer at indberette til Verisure.

Vi anbefaler, at du læser denne politik fuldt ud, før du indberetter en potentiel sikkerhedssårbarhed. Bemærk, at Verisure ikke tilbyder økonomisk belønning for identificering af sikkerhedssårbarheder.

Sådan indberetter du en sårbarhed

Verisure undersøger alle indberetninger af sikkerhedssårbarheder, der påvirker produkter og tjenester.

Hvis du mener, at du har opdaget en sikkerhedssårbarhed i et Verisure-produkt eller -tjeneste, skal du foretage indberetningen af sårbarheden via formularen nedenfor, og tilvejebringe tilstrækkelige oplysninger til, at vi kan gengive og undersøge dine handlinger.

Alle obligatoriske felter skal udfyldes korrekt, og det er vigtigt, at du opretholder fortrolighed, når du indberetter en sikkerhedssårbarhed i henhold til denne politik. Vi beder dig om ikke at offentliggøre din undersøgelse, før Verisure har afsluttet undersøgelsen, løst eller afbødet sikkerhedssårbarheden og givet dig tilladelse til at gøre det.

Du finder formularen her: Koncernens politik om ansvarlig offentliggørelse

Næste trin

Efter indsendelse af din indberetning vil Verisure underrette den indberettende part om, at indberetningen er blevet modtaget korrekt, og påbegynde undersøgelse af indberetningen. Verisure kan kontakte den indberettende part via den anonyme webportal for at indsamle yderligere oplysninger om indberetningen og for at holde dig opdateret om status indtil lukning.

Vores interne proces til håndtering af sikkerhedssårbarheden starter med gennemgang af indberetningen og vurdering af dens indvirkning, alvor og kompleksitet, inden der implementeres relevante, afhjælpende foranstaltninger.

Verisure forbeholder sig ret til at dele indholdet af indberetningen af sikkerhedssårbarheder og eventuelle efterfølgende resultater med relevante parter, men vil ikke videregive oplysninger forbundet med den indberettende part.

Tredjepartsprodukter eller -tjenester

Produkter, systemer og data, der ikke ejes af Verisure, er ikke omfattet af denne politik. Indberettende parter skal følge de politikker for ansvarlige offentliggørelse, der tilvejebringes af de respektive tredjeparter, hvis de ønsker at udføre forskning eller test af disse systemer.

Adfærdsregler

Verisure værdsætter indsatsen og bidragene fra sikkerhedsforskere og kræver, at du overholder følgende regler. Verisure vil ikke tage retslige skridt mod indberettende parter, der opdager og videregiver sikkerhedssårbarheder i god tro og i overensstemmelse med denne politik.

Den indberettende part må ikke:

Overtræde eventuelle gældende love eller retningslinjer.
Introducere en ny, eller forsøge at udnytte en eksisterende, sikkerhedssårbarhed.
Deltage i social engineering eller phishing af kunder eller medarbejdere.
Kræve økonomisk kompensation til gengæld for indberetning af en sikkerhedssårbarhed.
Skaffe sig adgang til systemer eller data ud over, hvad der er nødvendigt for at identificere og indberette en sikkerhedssårbarhed.
Manipulere med alarmsystemenheder eller systemer, der tilhører eksisterende kunder, heller ikke selvom det er deres egne.
Ændre, kopiere, dele, ødelægge eller på anden måde påvirke data, der behandles eller lagres i Verisure-produkter eller -systemer.
Bruge højintensitets-, invasive eller destruktive scanningsværktøjer til at finde sikkerhedssårbarheder eller udføre forstyrrende aktiviteter, herunder, men ikke begrænset til, angreb med voldelige midler, denial-of-service-angreb eller fysiske angreb mod Verisure-faciliteter eller -datacentre.
Forstyrre alarmsignaler, meddelelser eller på nogen måde fysisk manipulere med dit eget alarmsystem.
Udføre test eller forskning mod tredjepartstjenester eller -systemer, der ikke tilhører Verisure såsom mod infrastruktur tilhørende eksterne cloud-udbydere.
Få adgang til unødvendige, overdrevne eller betydelige mængder data, bortset fra hvad der kræves for at opdage og bekræfte sikkerhedssårbarheden.

Den indberettende part skal:

Kun tilegne sig adgang til data og systemer i det omfang, det er nødvendigt for at bekræfte eksistensen af en sikkerhedssårbarhed.
Stoppe forsknings- og/eller testaktiviteter ved bekræftelse af eksistensen af en sikkerhedssårbarhed, og straks indberette resultaterne til Verisure.
Slette alle data, der er hentet under forskningen, på en sikker måde, så snart sikkerhedssårbarheden er blevet indberettet, og bekræftelse på modtagelse er modtaget fra Verisure.
Vente på skriftlig godkendelse fra Verisure, før oplysninger om sikkerhedssårbarheden offentliggøres. Indholdet af offentliggørelsen skal også godkendes af Verisure.

Hvad der ikke skal indberettes:

Duplikerede indberetninger af sikkerhedssårbarheder.
Indberetninger, der beskriver ikke-udnyttelige sikkerhedssårbarheder.
Fejl i brugergrænsefladen, brugeroplevelsesproblemer eller stavefejl.
Indberetninger der angiver, at produkter og tjenester ikke fuldt ud er i overensstemmelse med “bedste praksis” såsom manglende sikkerhedsoverskrifter eller scripting på tværs af websteder.

Verisure skal:

Bekræfte modtagelse af indberetningen af sikkerhedssårbarheden inden for 30 dage efter modtagelse af indberetningen.
Give statusopdateringer til den indberettende part hver anden uge fra ovenstående bekræftelse af modtagelse indtil lukning af indberetningen af sikkerhedssårbarheden.
Afgive en skriftlig afgørelse af hvorvidt den indberettende part kan offentliggøre sikkerhedssårbarheden eller ej. Hvis det tidligere er aftalt med Verisure, skal Verisure gennemgå indholdet af meddelelsen inden offentliggørelse.

DEFINITIONER

Sikkerhedssårbarhed:

Specifikke sikkerhedssårbarheder, der opdages i Verisure-produkter eller -tjenester, der repræsenterer en svaghed, der findes i software- eller hardwarekomponenter, der, når de udnyttes, kan resultere i en negativ indvirkning på fortrolighed, integritet eller tilgængelighed af Verisure-data eller -tjenester.

Verisure-produkt/-tjeneste:

Produkter eller systemer udviklet eller fremstillet af Verisure. Produkter, systemer og data, der ikke ejes af Verisure, er ikke omfattet af denne politik.

Spørgsmål og support

Verisures sikkerhedsteam er blevet udpeget til at håndtere offentliggørelser af sikkerhedssårbarheder, og de kan kontaktes ved at udfylde og indsende formularen nedenfor.