HITI 產品安全公告

產品資安漏洞揭露政策

 

第一條：目的

因應歐盟《網路韌性法案》(Cyber Resilience Act, CRA) 規範要求，擬訂定並對外公告本公司「產品資安漏洞揭漏政策 (CVD, Coordinated Vulnerability Disclosure)」，並設立產品安全事件應變小組 (Product Security Incident Response Team, PSIRT) 作為專責處理單位。

 

第二條：適用範圍

涵蓋本公司開發、製造、行銷且具數位元素及銷往歐盟市場之所有軟硬體產品與相關支援服務。

 

第三條：內容說明

一、漏洞回報方式：
   (一) 研究人員應透過受保護之官方專用管道向本公司 PSIRT 通報，切勿提前公開揭露漏洞。
   (二) 官方通報管道：請於官方漏洞通報網頁填入相關資訊並傳送。
   (三) 通報內容應包含：
1. 通報人全名和有效聯絡方式 (含電子郵件與電話號碼)。
2. 受影響之產品或軟體名稱、描述及完整版本號。
3. 問題之完整詳細描述、背景資訊及有助於重現問題之相關資料 (含清晰之重現步驟、概念驗證程式碼 PoC、螢幕截圖或說明影片)。
4. 通報人關於本通報內容無侵害第三方智慧財產權之聲明。
 
二、處理過程：
  當接獲漏洞通報後，本公司 PSIRT 將依下列流程與時程進行處置：
1. 確認收件：本公司將於 3 個工作天內確認收件並展開驗證。
2. 進度更新：本公司將於收到通報後 30 天內提供合理之評估回應 (確認接受或拒絕)。若決定接受，得提供不具法律約 束力之預計緩解期限；若決定拒絕，將說明理由，惟通報者若提供新補充資訊，本公司仍保持審查立場。
3. 資訊補充與案件關閉：若 PSIRT 團隊需要額外資訊以進行驗證，將主動聯繫通報者。若經兩次聯繫且自第二次聯繫發出日起逾 14 個工作天通報者均未獲回覆，致關鍵資訊無法補齊時，本公司得逕行關閉該案件。
4. 漏洞修復：本公司將依漏洞嚴重程度排定修復優先順序，並以首次確認接受後 90 天內完成軟體修復與緩解為最佳努力目標 (Best Effort)。惟因下列不可抗力或合理因素，修復時程得予順延，本公司不承擔給付遲延責任：
- 上游供應商 (Third-party Vendor) 修復時程延宕。
- 需對硬體或系統架構進行重大變更。
- 受限於產品生命週期資源。
- 解決方案需透過多個更新管道、生態系或不同發布頻率進行部署。
5. 安全公告 (Security Advisory)：本公司保留自主決定發布安全公告之權利。涉及歐盟 CRA 或主管機關之法定通報，統一由本公司 PSIRT 辦理，通報者不得擅自代表本公司向外部機關或第三方通報。
 
三、安全行為準則：
  研究人員於進行安全性測試時，應嚴格遵守下列規範，不得從事任何破壞性或侵害本公司及第三方權益之行為：
1. 不得利用漏洞存取、查看、下載或修改未經授權之數據，或破壞任何數據完整性。
2. 不得對本公司使用者、系統、資料庫、網站、服務或應用程式造成潛在或實際之干擾、癱瘓或損害 (含拒絕服務攻擊 DoS/DDoS)。
3. 不得使用自動化掃描工具發動高頻率暴力破解。
4. 不得利用社交工程 (Social Engineering)、釣魚郵件、偽造身份、實體侵入或脅迫勒索等手段進行測試。
5. 若測試過程中不慎存取未授權數據，應立即停止測試，將數據存取量限制於證明概念 (PoC) 之最小必要範圍，並即刻通報 PSIRT，不得留存或複製該數據。
6. 僅得使用研究人員本人持有之測試帳號；使用他人帳號須事前取得該帳號所有人之書面授權。
7. 嚴格保密義務與禁言期 (Embargo Period)：自通報日起至本公司正式發布安全公告或取得本公司事前書面同意前，通報者不得以任何形式(包括但不限於個人部落格、社群媒體、學術發表、研討會或媒體採訪)向任何第三方公開或透露漏洞之存在、細節或重現方式。
 
四、安全港條款：
   (一) 免責承諾：通報者於進行資安測試及漏洞通報過程中，若完全恪遵本政策所有規範 (包括安全行為準則與保密義務)，且未要求任何未經核准之經濟報酬或附加條件時，本公司承諾認定該行為屬善意資安研究，不會就該測試行為對通報者提起民事或刑事法律訴訟。
   (二) 權利保留與追訴：若通報者違反本政策任何規定 (包括但不限於擅自公開漏洞細節、進行破壞性測試或利用漏洞進行勒索/索酬)，本安全港條款自動失效，本公司保留所有法律追訴權 (包括刑事舉發及民事損害賠償請求權)。
 
五、智慧財產權與授權：
     通報者同意其向本公司提供之所有通報資料、說明文件、概念驗證程式碼（PoC）及相關修補建議，均授予本公司於全球範圍內無償、永久、不可撤銷、非專屬之使用、重製、修改、編輯及衍生創作之權利，以供本公司進行漏洞驗證、修復、產品安全改進與公告。通報者保證該內容無侵害第三方智慧財產權，且不得據此向本公司主張任何專利權或著作權相關之經濟利益。
 
六、獎勵與致謝：
   (一) 致謝名單：漏洞完成修復並發布安全公告後，經通報者事前書面同意，本公司得於官方網站感謝頁面公開表彰其資安貢獻。
   (二) 無賞金聲明：本公司目前未實施漏洞賞金計畫 (Bug Bounty)，通報行為屬無償性質，本公司不接受任何形式之經濟補償、商業宣傳或積分轉換請求。
 
七、安全支援年限與範圍：
   (一) 支援期間：本公司針對符合歐盟《網路韌性法案》(CRA)之具數位元素產品，提供自該個別產品投放歐盟市場之日起算，至少 5 年 (或依產品實際預期壽命較長者為準) 之產品安全支援期。支援期間內，本公司免費提供安全性更新與韌體/軟體修補程式。
   (二) 支援終止後之處理：產品安全支援期屆滿後，若發現新漏洞，本公司得透過安全公告提供風險緩解與防護建議，並保留停止提供直接韌體/軟體修復更新之權利。

 

follow us on f      Copyright© HiTi Digital, Inc. All Rights Reserved       l       請使用1360x768螢幕解析度及Chrome、Firefox或IE8以上版本瀏覽器以獲得最佳網頁瀏覽環境