1. Cel i zakres polityki

Niezawodność i bezpieczeństwo są fundamentem systemu Ampio. Niniejsza polityka określa zasady i proces Skoordynowanego Ujawniania Podatności (Coordinated Vulnerability Disclosure - CVD) oraz zarządzania incydentami bezpieczeństwa zgłaszanymi w produktach sprzętowych (Hardware), oprogramowaniu układowym (Firmware), aplikacjach mobilnych oraz usługach chmurowych marki Ampio.

Polityka uwzględnia wymagania Rozporządzenia (UE) 2024/2847, tzw. Cyber Resilience Act, w szczególności w zakresie obsługi podatności zgłaszanych ze źródeł wewnętrznych i zewnętrznych oraz skoordynowanego ujawniania podatności.

2. Zasady odpowiedzialnego badania i ochrona zgłaszających

Ampio nie zamierza podejmować działań przeciwko osobom, które działają w dobrej wierze i przestrzegają następujących zasad:

• Zgłaszają wykryte podatności bez zbędnej zwłoki za pośrednictwem oficjalnych kanałów Ampio wskazanych w niniejszej polityce lub za pośrednictwem właściwego CSIRT wyznaczonego jako koordynator do celów skoordynowanego ujawniania podatności.
• Unikają naruszania prywatności użytkowników, dostępu do logów lub konfiguracji instalacji, niszczenia danych oraz zakłócania działania usług (przestrzeganie zasad braku ataków typu DoS/DDoS).
• Unikają stosowania ataków socjotechnicznych (phishing) wobec pracowników lub użytkowników Ampio oraz fizycznego niszczenia sprzętu.
• Zachowują poufność i dają zespołowi Ampio czas na przygotowanie i dystrybucję poprawki bezpieczeństwa przed publicznym ujawnieniem szczegółów (tzw. Coordinated Vulnerability Disclosure).

3. Jak zgłosić podatność?

Zgłoszenia przyjmowane są dwoma kanałami:

• Formularz WWW: https://ampio.com/pl/security
• E-mail: security@cra.ampio.com

Informacje oczekiwane w zgłoszeniu

W celu sprawnej analizy i weryfikacji, zgłoszenie powinno zawierać:

1. Identyfikację wyrobu lub oprogramowania (np. nazwa modułu, numer PCB, wersja firmware, wersja aplikacji).
2. Szczegółowy opis podatności oraz kroki niezbędne do jej odtworzenia (Proof of Concept).
3. Ocenę potencjalnego wpływu na bezpieczeństwo systemu lub ciągłość jego działania.
4. Informację, czy podatność została już publicznie ujawniona lub czy istnieją przesłanki jej aktywnego wykorzystywania (jeśli są znane zgłaszającemu).
5. Zgłoszenie nie powinno zawierać danych poufnych, haseł, prywatnych kluczy dostępowych ani danych identyfikujących użytkowników końcowych instalacji Ampio.

4. Procedura obsługi zgłoszenia i czasy reakcji

1. Potwierdzenie odbioru: W przypadku zgłoszeń przesłanych na dedykowany adres security@cra.ampio.com lub za pośrednictwem formularza, potwierdzenie rejestracji zgłoszenia wraz z nadanym numerem sprawy przesyłane jest automatycznie. Pierwsza weryfikacja formalna i kontakt ze strony zespołu bezpieczeństwa następuje w miarę możliwości w ciągu 48 godzin (w dni robocze) od wpłynięcia wiadomości.
2. Weryfikacja i ocena: W ciągu 7 dni roboczych przeprowadzana jest wstępna analiza techniczna. Klasyfikacja ryzyka może być prowadzona z wykorzystaniem skali CVSS oraz wewnętrznej oceny wpływu podatności na produkty, usługi i użytkowników Ampio.
3. Usunięcie podatności: Zespół R&D opracowuje odpowiednie środki zaradcze (poprawka bezpieczeństwa, aktualizacja firmware lub oprogramowania). Czas realizacji zależy od stopnia krytyczności luki oraz złożoności problemu.
4. Informowanie i dystrybucja: Udostępnienie aktualizacji oraz, w uzasadnionych przypadkach, publikacja komunikatu bezpieczeństwa (Security Advisory) dla użytkowników.

5. Obowiązkowe raportowanie zgodne z rozporządzeniem CRA

Jeżeli Ampio poweźmie wiedzę, że podatność zawarta w produkcie z elementami cyfrowymi jest aktywnie wykorzystywana, albo że wystąpił poważny incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi, zgłoszenie zostanie objęte przyspieszoną ścieżką wewnętrznej oceny.

W takim przypadku zespół wyznaczony przez Ampio do obsługi zgłoszeń bezpieczeństwa ocenia, czy zdarzenie podlega obowiązkowi raportowania zgodnie z Rozporządzeniem (UE) 2024/2847 z dnia 23 października 2024 r. Akt o cyberodporności.

Jeżeli obowiązek raportowania występuje, Ampio dokona wymaganych zgłoszeń za pośrednictwem Single Reporting Platform, do CSIRT wyznaczonego jako koordynator oraz do ENISA, zgodnie z właściwymi przepisami i terminami, w szczególności:

• wczesne ostrzeżenie - bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od powzięcia wiedzy;
• pełne zgłoszenie - bez zbędnej zwłoki, nie później niż w ciągu 72 godzin od powzięcia wiedzy;
• raport końcowy - w terminie wymaganym przez właściwe przepisy, zależnie od charakteru zdarzenia.

Terminy raportowania wynikające z CRA są niezależne od orientacyjnych terminów komunikacji ze zgłaszającym wskazanych w niniejszej polityce.

6. Cykl wsparcia i aktualizacje urządzeń

Ampio określa okres wsparcia bezpieczeństwa dla produktów z elementami cyfrowymi z uwzględnieniem ich przewidywanego okresu użytkowania, charakteru produktu, jego przeznaczenia oraz uzasadnionych oczekiwań użytkowników.

W okresie wsparcia Ampio będzie udostępniać aktualizacje bezpieczeństwa lub inne działania ograniczające ryzyko dla wspieranych produktów, zgodnie z obowiązującymi wymaganiami prawa Unii Europejskiej.

Informacje o okresie wsparcia dla poszczególnych produktów lub grup produktów są publikowane w dokumentacji produktu, Ogólnych Warunkach Gwarancji, komunikatach bezpieczeństwa lub na stronie internetowej Ampio.