Műszaki termékbiztonsági és sebezhetőség-bejelentési irányelvek

Az Európai Unió kiberbiztonsági szabványaival és a 2024/2847/EU rendelettel (Cyber Resilience Act – CRA) összhangban az AISS dedikált keretrendszert tart fenn felhőalapú digitális signage platformja és integrált médialejátszó eszközei folyamatos biztonságának és ellenállóképességének biztosítására.
Ez az irányelv rögzíti az AISS hardver-, firmware- vagy szoftvertermékeivel kapcsolatos biztonsági sebezhetőségek vagy műszaki megfelelési problémák bejelentésének hivatalos csatornáját és eljárásrendjét.

1. Hivatalos bejelentési csatorna

Amennyiben az AISS kliensalkalmazásban, az operációs rendszer rétegben vagy a felhőalapú platformon biztonsági sebezhetőséget vagy biztonsági anomáliát észlelsz, kérünk, küldj hivatalos értesítést közvetlenül a biztonsági menedzsment csapatunknak a office@aiss.hu e-mail címre.

2. A bejelentéshez szükséges információk

Az uniós szabályozási határidők szerinti azonnali osztályozás és feldolgozás érdekében minden bejelentésnek tartalmaznia kell az alábbi objektív műszaki adatokat:

  • A komponens azonosítása: Az érintett szoftververzió, a médialejátszó hardvermodellje vagy a platform pontos URL-címe.
  • Műszaki leírás: A feltételezett sebezhetőség vagy biztonsági rendellenesség egyértelmű elméleti leírása.
  • Reprodukálási lépések: Az ügy ellenőrzéséhez szükséges objektív technikai lépések, naplófájlok (logok) vagy a működést igazoló bizonyítékok (Proof-of-Concept).
3. Hatósági osztályozási és kármentesítési folyamat

A hivatalos csatornánkon keresztül beérkező műszaki jelentések fogadását követően az AISS a következő kötelező eljárásokat hajtja végre:

  • Visszaigazolás: Az AISS a jelentés kézhezvételét 3 munkanapon belül hivatalosan visszaigazolja a bejelentő felé.
  • Validálás: Mérnöki részlegünk elemzi és ellenőrzi a benyújtott adatok műszaki megalapozottságát.
  • Kötelező közzétételi értékelés: Amennyiben bebizonyosodik, hogy a sebezhetőséget már aktívan kihasználják, vagy az súlyos biztonsági kockázatot jelent, az AISS a jogszabályban előírt határidőn belül elindítja a kötelező értesítési protokollt az Európai Unió Kiberbiztonsági Ügynöksége (ENISA) és az illetékes nemzeti hatóságok felé.
  • Kármentesítés: A visszaigazolt hibákat a vállalat a kockázat súlyossági szintje alapján – a távoli frissítési infrastruktúrán keresztül telepített – rendszerfrissítésekkel vagy biztonsági javításokkal (patchekkel) hárítja el.