Verfahren zum Schwachstellenmanagement
Wie mögliche Schwachstellen aufgenommen, priorisiert, behoben und überprüft werden.
Erkennung und Aufnahme
Mögliche Schwachstellen können durch Entwicklungsprüfungen, Tests, Abhängigkeitshinweise oder Meldungen von Nutzern und Forschern erkannt werden. Dokumentieren Sie betroffene Komponente, Version oder Änderung, Belege und mögliche Auswirkungen. Meldungen dürfen keine echten Kundendaten enthalten, wenn ein minimales, nicht sensibles Beispiel das Problem zeigen kann.
Validierung und Risikobewertung
Validieren Sie das gemeldete Verhalten und bewerten Sie Ausnutzbarkeit, Exposition, erforderlichen Zugriff und Kundenauswirkungen. Priorisieren Sie unbefugten Zugriff, unternehmensübergreifende Datenoffenlegung, kompromittierte Zugangsdaten und aktive Ausnutzung. Bewerten Sie die Priorität bei neuen Belegen erneut.
Behebung
Wählen Sie eine risikogerechte Korrektur oder vorläufige Risikominderung. Weisen Sie Verantwortung zu, verfolgen Sie das Problem und prüfen Sie Änderungen auf Nebenwirkungen. Berücksichtigen Sie bei Drittanbieter-Komponenten verfügbare Sicherheitsupdates, Konfigurationsänderungen oder die Entfernung betroffener Funktionen. Eine ungeprüfte Umgehungslösung gilt nicht als abgeschlossene Korrektur.
Prüfung und Abschluss
Prüfen Sie, dass die Korrektur das ursprüngliche Problem behebt und keine offensichtliche Regression verursacht. Dokumentieren Sie Ergebnis und verbleibende Einschränkungen. Schließen Sie das Problem erst nach Prüfung der Korrektur oder akzeptierten Risikominderung. Öffnen Sie die Untersuchung erneut, wenn spätere Belege ein fortbestehendes Risiko zeigen.
Verantwortungsvolle Meldung
Melden Sie Schwachstellen vertraulich über unseren Kontaktkanal und ermöglichen Sie Koordination vor einer Veröffentlichung. Greifen Sie nicht auf Informationen anderer Kunden zu, stören Sie den Dienst nicht und setzen Sie Tests nach unbeabsichtigtem Zugriff nicht fort. Diese Richtlinie erlaubt keine invasiven Tests und begründet kein Prämienprogramm für Schwachstellen.
Sicherheitsfragen und Meldungen
Kontaktieren Sie XtraCRM bei einem vermuteten Sicherheitsproblem oder Fragen zu diesen Richtlinien. Beschreiben Sie kurz den Sachverhalt und den betroffenen Dienst; senden Sie keine Passwörter, Zugriffstoken oder unnötigen personenbezogenen Daten.
XtraCRM kontaktieren →