Daikin Europe Csoport Sebezhetőségi Jelentési és Közzétételi Szabályzata

Utolsó módosítás: 2026. szeptember 11.

Bevezetés

Daikin Europe N.V. (DENV) a japán székhelyű Daikin Industries Ltd. tulajdonában álló leányvállalata. A Daikin Csoport – együtt – légkondicionálási, fűtési, szellőztetési és hűtési berendezések és megoldások gyártásával, értékesítésével és népszerűsítésével foglalkozik a leányvállalataival együtt.

A Daikin Europe N.V. a leányvállalataival együtt (a továbbiakban mint: „Daikin Europe Csoport”) elkötelezett a termékei, rendszerei, szolgáltatásai és alkalmazásai (a továbbiakban: „Eszközök”) biztonságának és integritásának biztosítása mellett, többek között az adatok védelmének -ideértve a személyes adatokat is,- és a végfelhasználók adatvédelmének biztosítása érdekében, továbbá a hálózat működését veszélyeztető negatív hatások megelőzése és a hálózati források helytelen használatának elkerülése érdekében.

A jelen irányelv célja

A jelen irányelv célja a következő:

1. a Daikin Europe Csoport Eszközeinél felfedezett potenciális sebezhetőségek felelősségteljes közzétételének ösztönzése, és
2. a biztonsági problémák a Daikin Europe Csoporthoz történő bejelentési folyamatának meghatározása, illetve az ilyen jellegű problémák gyors, hatékony és a vonatkozó törvénykezéssel összhangban történő kezelése.

Célközönség

A sebezhetőségek bejelentésére jogosult személyek közé tartoznak - nem kizárólagosan,- a biztonsági kutatók, végfelhasználók, független szakértők, ipari partnerek, és a nyilvánosság tagjai (a továbbiakban: „a Bejelentő”). Egy sebezhetőség bejelentése előtt a Daikin Europe Csoport javasolja a sebezhetőségek közzétételére vonatkozó jelen irányelv teljes elolvasását, illetve az azzal összhangban történő cselekvést.

A Daikin Europe Csoport nagyra becsüli az összes érintett fél hozzájárulását a Daikin Europe Csoport támogatásában az Eszközei biztonsága elősegítéséhez. Ugyanakkor a Daikin Europe Csoport nem kínál pénzbeli jutalmat a sebezhetőségi problémák bejelentéséért.

Hatálya

A jelen Sebezhetőségi Jelentés és Közzétételi irányelv minden olyan Eszközre vonatkozik, amelyek károsodása potenciálisan ártalmas a Daikin Europe Csoportra és hatással lesz annak tevékenységére. Ide tartozik - de nem kizárólagosan,- a Daikin Europe Csoport által gyártott és/vagy beszállított összes termék, illetve a digitális eszközök, harmadik felek alkalmazásai, és a Daikin Europe Csoport üzleti környezetén belül használt IT infrastruktúra.

Bejelentés

Amennyiben biztonsági sebezhetőséget észlel, kérjük, e-mailben küldje el azt a Daikin Europe Csoportnak. Javasoljuk a nyilvános PGP titkosítási kulcsunk használatát a sebezhetőségi jelentéssel kapcsolatok kommunikáció bizalmas kezelésének és hitelességének biztosítása érdekében. Ugyanakkor a PGP használata opcionális, a kevésbé biztonságos kommunikációs csatornákon keresztül beküldött jelentéseket is fogadjuk:

A PGP titkosítási kulcs letöltése

E-mail küldése

Egy sebezhetőség bejelentésekor kérjük, adja meg a következő információkat:

• Az érintett Eszközök modellneve és azonosítója és/vagy azon információk, amelyek lehetővé teszik az érintett Eszközök azonosítását;
• A sebezhetőség leírása, ideértve az azonosításuk és reprodukálhatóságuk módját;
• A sebezhetőség potenciális hatása;
• A „proof-of-concept” kód (ha van) vagy más bizonyíték, amely a sebezhetőség reprodukálásának lépéseit demonstrálja;
• a Bejelentő kapcsolattartási információi (a személyes adatok megadása nem kötelező).

Átvételi bizonylat

A sebezhetőségi jelentés beérkezésekor a Daikin Europe Csoport sebezhetőségre reagáló csapata 7 naptári napon belül visszaigazolja a bejelentés beérkezését a Bejelentőnek.

Referencia céljából a bizonylat tartalmazni fog egy követési számot vagy azonosítót. Ha további információra van szükség a bejelentett sebezhetőség vizsgálatához, a Sebezhetőséget vizsgáló csapat felveszi a kapcsolatot a Bejelentővel.

Vizsgálat

A Daikin Europe Csoport SSebezhetőséget vizsgáló csapata vizsgálatot indít a szervezeten belül annak biztosítására, hogy az egyes sebezhetőségi bejelentések érvényessége, súlyossága és hatálya megfelelően legyen értékelve.

A Daikin Europe Csoport elismeri a transzparencia és az együttműködés fontosságát a bejelentett biztonsági sebezhetőségek hatékony kezelése során. Következésképpen a vizsgálati folyamat során a Sebezhetőséget vizsgáló csapat a sebezhetőségi jelentés kockázatával és összetettségével arányos időközönként, rendszeresen frissítést küld a Bejelentőnek az előrehaladás állapotáról, amely tartalmazza a vizsgálat során tapasztalt jelentős megállapításokat és az esetleges további fejleményeket is.

Kármentesítés

Ha a Daikin Europe Csoport szükségesnek találja egy javítás, konfigurációs módosítások vagy egyéb kármentesítési intézkedés („javítás” vagy „javítások”) alkalmazásával megoldani a sebezhetőségi problémát a kockázat elhárítása vagy enyhítése érdekében, akkor a Daikin Europe Csoport és/vagy harmadik fél beszállítói elkészítik a javításokat. A javításokat úgy tervezik meg, hogy az érintett Eszközök funkcionalitásának vagy használhatóságának veszélyeztetése nélkül célozzák meg az azonosított sebezhetőséget.

A javítások elkészítése és hatékonyságuk tesztelése után a hagyományos csatornákon keresztül lesznek elérhetőek, például vezeték nélküli (felhő alapú) frissítések, firmware frissítések vagy szoftverjavítások formájában, az adott sebezhetőség jellegétől függően. Szükség esetén a Daikin Europe Csoport üzleti partnerei, ideértve a viszonteladókat és telepítő szakembereket is,- értesítést kapnak az általuk elvégzendő teendőkről, mint pl. a javítások továbbítása a végfelhasználók számára vagy segítségnyújtás biztosítása a javítás alkalmazása során. Minden javításhoz kapcsolódhat egy embargóidőszak is.

A bejelentett sebezhetőségek kármentesítését követően a Daikin Europe Csoport megfigyeli a kármentesítést és utólagos végelemzéseket készít a fejlődés, a karbantartás és a válaszadási folyamatok hatékonyságának értékelése és a fejlődési területek azonosítása érdekében. Az egyes sebezhetőségek kármentesítési erőfeszítéseiből tanultakat dokumentálják és beépítik a jövőbeli válaszadási eljárásokba, a bejelentett sebezhetőségek kezelési folyamatának javítása érdekében.

Az érintett felek értesítést kapnak az elvégzett javításokról és a sebezhetőség enyhítése érdekében tett további lépésekről.

Titoktartás és a bejelentett sebezhetőségek közzététele

A Daikin Europe Csoport elkötelezett a biztonsági sebezhetőségek az érintett felek felé történő, felelős közzététele iránt. A sebezhetőség teljes körű kivizsgálása után a Daikin Europe Csoport meghatározza a megfelelő közzétételi tervet, mint a javítások elérhetőségét és azok alkalmazására vonatkozó utasításokat tartalmazó kommunikációt. A Sebezhetőséget vizsgáló csapat értesíteni fogja a Bejelentőt. A Daikin Europe Csoport biztonsági figyelmeztetéseket fog közzétenni, és amennyiben erről korábban megállapodtak, nyilvánosan elismeri a Bejelentő személy tevékenységét. A cél annak biztosítása, hogy az érintett felek értesítést kapjanak a súlyos biztonsági kockázatokról, illetve iránymutatást kapjanak azok enyhítésének módjáról.

Daikin Europe Csoport termékbiztonsági javaslatok

A Daikin Europe Csoport elismeri a sebezhetőségi javítások idő előtti közzétételével kapcsolatos kockázatokat, és ezért hangsúlyozza a Bejelentőknek, hogy a sebezhetőség megoldása előtti közzététel jelentős biztonsági fenyegetést jelent, kiváltképpen az érintett Eszközök végfelhasználói számára.

A túl korai közzététel lehetőséget teremthet arra, hogy rosszindulatú szereplők kihasználják a sebezhetőséget. Ezért a Daikin Europe Csoport azt kéri a potenciális sebezhetőségek Bejelentőitől, hogy alkalmazzanak szigorú titoktartást, és tartózkodjanak a gyanított sebezhetőséggel kapcsolatos információk harmadik feleknek történő közzétételétől, kivéve ha ezt a Daikin Europe Csoport írásban kifejezetten jóváhagyja, vagy a vonatkozó törvények erre kötelezik őket.

Etikus hekkelési irányelvek

Mit NE TEGYEN a Bejelentő:

• Törvénytelen tevékenység: Kerülje az olyan tevékenységet, amely sérti a vonatkozó törvényeket és szabályozásokat.
• Túlzott mértékű adathozzáférés: Az adatokhoz való hozzáférést korlátozza a vizsgálathoz szükséges mértékre.
• Adatok módosítása: Tartózkodjon a szervezet rendszerein belüli adatok módosításától.
• Ártalmas tesztelés: Kerülje az olyan eszközök használatát, amelyek károsíthatják a szervezet rendszereit vagy ártalmasak lehetnek azokra nézve.
• Szolgáltatásmegtagadási támadások: Ne kísérelje meg túlterhelni vagy kikapcsolni a szolgáltatásokat.
• Zavaró magatartás: Tartózkodjon az olyan műveletektől, amelyek hatással lehetnek a szervezet műveleteire.
• Nem kihasználható sebezhetőségek: Ne jelentsen be olyan sebezhetőségeket, amelyek nem kihasználhatóak, vagy amelyek kisebb konfigurációs problémák.
• Gyenge TLS konfiguráció: Kerülje a gyenge TLS konfigurációhoz kapcsolódó sebezhetőségek bejelentését, kivéve ha azok jelentős biztonsági kockázatot jelentenek.
• Jogosulatlan kommunikáció: Ne tegye közzé a sebezhetőségeket senkinek, aki nem a kijelölt biztonsági csapat tagja, továbbá a közzétételt kizárólag a meghatározott csatornákon keresztül tegye meg.
• Pszichológiai manipuláció vagy fizikai támadások: Ne próbálja meg megtéveszteni vagy fizikailag megkárosítani a szervezet alkalmazottait vagy infrastruktúráját.
• Zsarolás: Ne követeljen pénzt a sebezhetőségek közzétételéért.

Mit TEGYEN a Bejelentő:

• Adatvédelem: Tartsa tiszteletben a Daikin Europe Csoport felhasználói és alkalmazottai adatainak védelmét.
• Adatbiztonság: Tárolja biztonságosan a kutatás során begyűjtött adatokat.
• Időben történő adattörlés: Azonnal törölje az adatokat, amint már nincs szükség azokra. Kivételes körülmények között, ahol az azonnali adattörlés technikailag lehetetlen vagy törvényileg korlátozott (pl. biztonsági mentések, törvényileg előírt megőrzés esetén), az adatokat egy hónappal a sebezhetőség javítása után törölni kell. Ez az egy hónapos időkeret az abszolút maximális megőrzési időtartam, és minden lehetséges erőfeszítést meg kell tenni a lehető legkorábbi adattörlés érdekében.

Megjegyzés

^{A jelen Sebezhetőségi jelentés és közzétételi irányelv rendszeres felülvizsgálat tárgyát képezi, és igény szerint frissíthető vagy kiegészíthető annak érdekében, hogy megfelelően tükrözze a technológia, a vonatkozó törvények vagy legjobb gyakorlatok változásait.}