Productbeveiliging

Toepassingsgebied. Alle op de markt aangeboden Segway-Ninebot-producten met digitale elementen, met inbegrip van ingebedde software, mobiele applicaties en oplossingen voor gegevensverwerking op afstand die met deze producten samenhangen.
Segway-Ninebot-producten met digitale elementen omvatten: elektrische steps, zelfbalancerende voertuigen, e-bikes, Navimow-robotmaaiers en de bijbehorende software en mobiele applicaties.

Een kwetsbaarheid melden
Gebruik de onderstaande kanalen om vermoedelijke beveiligingskwetsbaarheden in onze producten, applicaties of gerelateerde diensten te melden.

• Beveiligings-e-mail: product-security@ninebot.com
• Anoniem melden: Anonieme meldingen worden geaccepteerd. Contactgegevens helpen ons echter om het probleem te valideren en het herstel af te stemmen.
• Openbare PGP-sleutel: Downloaden

Meld beveiligingskwetsbaarheden bij voorkeur via het e-mailadres. Als e-mail niet handig is, kunt u ook melden via de klantenservicekanalen in uw land of regio; uw melding wordt doorgestuurd naar ons Product Security Incident Response Team (PSIRT).

Hoe wij meldingen behandelen
Na ontvangst van een melding beoordelen wij de verstrekte informatie om vast te stellen of deze voldoende details bevat voor een beoordeling, gaan wij na of de melding een geldige beveiligingskwetsbaarheid betreft, beoordelen wij de ernst en de mogelijke impact, stellen wij vast welke producten of versies zijn getroffen en bepalen wij passende herstelmaatregelen.

Hoe te melden. Stuur een e-mail naar product-security@ninebot.com met de productnaam en softwareversie, een beschrijving van de kwetsbaarheid en de stappen om deze te reproduceren, en — indien bekend — of de kwetsbaarheid openbaar is of actief wordt misbruikt. Anonieme meldingen worden geaccepteerd. Wanneer het om gevoelige gegevens gaat (exploitcode, klantgegevens, sleutels, configuratiegegevens), raden wij aan deze te versleutelen met onze openbare PGP-sleutel; voeg indien mogelijk uw eigen PGP-sleutel toe, zodat wij gevoelige informatie veilig met u kunnen delen.

Wat u in uw melding opneemt

Neem zo veel mogelijk van de volgende informatie op, zodat wij het probleem kunnen beoordelen en reproduceren:

• Productnaam en model
• Betrokken software-, firmware- of appversie
• Gedetailleerde beschrijving van de kwetsbaarheid
• Stapsgewijze reproductie-instructies
• Verwacht en werkelijk gedrag
• Mogelijke impact
• Proof-of-concept-code, schermafbeeldingen, logbestanden of netwerktraces, indien beschikbaar
• Uw naam en contactgegevens (optioneel bij anonieme meldingen)
• Indien bekend — of de kwetsbaarheid openbaar is of actief wordt misbruikt

Wat u kunt verwachten. Wij houden gedurende het hele proces contact met u: wij bevestigen de ontvangst van uw melding binnen 3 werkdagen, geven binnen 10 werkdagen een eerste beoordeling en. Wij informeren u zodra de kwetsbaarheid is verholpen, beperkt of anderszins afgesloten. Waar passend delen wij ook verdere updates, bijvoorbeeld bij aanpassingen van het herstelplan, wijzigingen in de tijdlijn voor openbaarmaking of vertragingen door afstemming met betrokken derden. Kwetsbaarheden worden zonder onnodige vertraging verholpen; beveiligingsupdates worden kosteloos verstrekt.

Gecoördineerde openbaarmaking en embargoperiode
Bevestigde kwetsbaarheden kunnen worden behandeld volgens een proces van gecoördineerde openbaarmaking, met name wanneer nog geen oplossing beschikbaar is, wanneer het herstel afstemming tussen meerdere betrokken producten of partijen vereist, of wanneer componenten van derden, opensourcecomponenten of door leveranciers geleverde componenten in het spel zijn.
Tenzij anders overeengekomen bedraagt de standaard embargoperiode 90 werkdagen vanaf de bevestiging van de kwetsbaarheid.
Deze periode kan per geval worden aangepast, afhankelijk van de complexiteit van het herstel, de afstemming in de toeleveringsketen en het betrokken beveiligingsrisico. Gedurende de embargoperiode mogen details over de kwetsbaarheid niet openbaar worden gemaakt voordat er een oplossing of een advies beschikbaar is. Na het herstel kunnen wij relevante informatie publiceren via onze beveiligingsadviezen en, waar passend, informatie over de kwetsbaarheid ook delen met de EU-databank voor kwetsbaarheden (EUVD).

Onderzoek te goeder trouw. Onderzoek dat te goeder trouw en in overeenstemming met dit beleid wordt uitgevoerd, is toegestaan: raadpleeg geen gegevens van anderen, breng de beschikbaarheid of veiligheid van in gebruik zijnde producten niet in gevaar en houd u aan het toepasselijke recht. Segway-Ninebot zal geen juridische stappen ondernemen tegen onderzoek dat conform dit beleid wordt uitgevoerd.

Erkenning en vermelding.
Met uw toestemming vermelden wij uw bijdrage in ons beveiligingsadvies of op onze pagina met dankbetuigingen.