Der VAHLE CERT-Prozess

VAHLE entwickelt und liefert Produkte und Lösungen mit höchsten Ansprüchen an Qualität, Zuverlässigkeit und Cybersicherheit.

Das VAHLE Computer Emergency Response Team (CERT) unterstützt diese Zielsetzung, indem es Sicherheitslücken bearbeitet, die von Sicherheitsforschern, Kunden, Partnern oder anderen Stakeholdern in VAHLE Produkten identifiziert und gemeldet werden.

Der VAHLE CERT-Prozess basiert auf bewährten Industriestandards und umfasst vier Phasen:

1. Entdeckung
2. Triage
3. Behebung
4. Offenlegung

Entdeckung

Dem VAHLE CERT wird eine potenzielle Sicherheitslücke in einem Produkt, einer Software oder einem System gemeldet. Jede Meldung wird erfasst und einer ersten Bewertung unterzogen.

Triage

Das VAHLE CERT arbeitet gemeinsam mit den zuständigen Entwicklungs- und Produktexperten, um die gemeldete Schwachstelle zu analysieren, nachzustellen und ihre Auswirkungen zu bewerten. Während der Untersuchung erfolgt ein regelmäßiger Austausch falls notwendig mit dem Melder, um zusätzliche Informationen zu erhalten und den Bearbeitungsstatus transparent zu kommunizieren. Falls erforderlich, werden betroffene Kunden oder deren Security-Teams frühzeitig über relevante Sicherheitsrisiken informiert.

Behebung

Nach Abschluss der Analyse wird entschieden, welche Maßnahmen zur Risikominimierung erforderlich sind. Dies kann die Entwicklung eines Sicherheitsupdates, die Implementierung geeigneter Schutzmaßnahmen oder die Bereitstellung von Handlungsempfehlungen umfassen. Das VAHLE CERT arbeitet nach Möglichkeit mit dem Melder zusammen, um die Wirksamkeit der entwickelten Maßnahmen zu überprüfen und zu validieren. Anschließend werden die erforderlichen Korrekturen für die Bereitstellung und Verteilung vorbereitet.

Offenlegung

Das VAHLE CERT stimmt den Zeitpunkt und Umfang einer möglichen Veröffentlichung mit dem Melder ab. Sofern eine öffentliche Bekanntgabe vorgesehen ist, veröffentlicht VAHLE eine entsprechende Sicherheitsmitteilung über die vorgesehenen Kommunikationskanäle.

Eine Sicherheitsmitteilung enthält in der Regel folgende Informationen:

• Beschreibung der Schwachstelle einschließlich CVE-Referenz und CVSS-Bewertung (falls verfügbar)
• Identifikation betroffener Produkte sowie relevanter Software- und Hardwareversionen
• Informationen zu möglichen Schutzmaßnahmen und Umgehungslösungen
• Verfügbarkeit von Sicherheitsupdates, Korrekturen oder sonstigen Abhilfemaßnahmen
• Zeitlicher Ablauf der Bearbeitung und Veröffentlichung

Durch einen strukturierten und transparenten Umgang mit gemeldeten Sicherheitslücken trägt das VAHLE CERT dazu bei, die Sicherheit der Produkte und Systeme kontinuierlich zu verbessern und Kunden bestmöglich zu unterstützen.