Beleid van VTech inzake gecoördineerde openbaarmaking van kwetsbaarheden

1. Doel en toezegging

VTech zet zich in voor de bescherming van de beveiliging, veiligheid en privacy van klanten en gebruikers van VTech-producten met digitale elementen. Dit beleid beschrijft het gecoördineerde proces van VTech voor het melden van kwetsbaarheden, dat is bedoeld voor het ontvangen, beoordelen, verhelpen en, indien van toepassing, openbaar maken van informatie over mogelijke kwetsbaarheden die door interne en externe bronnen worden gemeld.

Dit beleid ondersteunt de verplichtingen van VTech inzake de afhandeling van kwetsbaarheden krachtens de toepasselijke wetgeving, met inbegrip van Verordening (EU) 2024/2847 (de Cyber Resilience Act of CRA), voor zover van toepassing. Het vervangt niet de interne procedures van VTech op het gebied van productbeveiliging, incidentrespons, melding aan toezichthouders, software-updates, privacy of leveranciersbeheer.

2. Toepassingsgebied

Dit beleid is van toepassing op potentiële kwetsbaarheden die van invloed zijn op VTech-producten met digitale elementen en aanverwante diensten die door VTech beschikbaar worden gesteld, met inbegrip van relevante hardware, software, firmware, mobiele applicaties, online diensten en oplossingen voor gegevensverwerking op afstand die zijn ontworpen of ontwikkeld door of namens VTech en die noodzakelijk zijn voor het functioneren van die producten.

Dit beleid geeft geen toestemming voor het testen van activa die uitsluitend eigendom zijn van of beheerd worden door derden. Wanneer een melding echter betrekking heeft op een component, bibliotheek, dienst of leveranciersproduct van een derde partij dat is geïntegreerd in of noodzakelijk is voor een VTech-product, kan VTech samenwerken met de betreffende leverancier, beheerder, het computerbeveiligingsincidententeam (CSIRT), het Europees Agentschap voor cyberbeveiliging (ENISA), de bevoegde autoriteit of een andere geschikte partij om de kwetsbaarheid te valideren, te verhelpen en openbaar te maken.

3. Onderzoek te goeder trouw en toestemming

Met inachtneming van dit beleid en de toepasselijke wetgeving staat VTech beveiligingsonderzoek te goeder trouw toe dat uitsluitend gericht is op het identificeren en melden van potentiële kwetsbaarheden in activa die onder het toepassingsgebied vallen. VTech zal niet willens en wetens civiele vorderingen instellen of dergelijk te goeder trouw uitgevoerd, geautoriseerd onderzoek doorverwijzen voor wetshandhavingsmaatregelen uitsluitend op grond van dat onderzoek.

Deze toestemming geldt alleen wanneer de onderzoeker zich aan dit beleid houdt, evenredig handelt om schade te voorkomen en de kwetsbaarheid onmiddellijk aan VTech meldt. Het geeft geen toestemming voor gedrag dat onwettig is, wezenlijke schade veroorzaakt of dreigt te veroorzaken, inbreuk maakt op rechten van derden of buiten het aangegeven toepassingsgebied valt. VTech kan geen afstand doen van rechten van derden of de vereisten van de toepasselijke wetgeving terzijde schuiven.

Als een onderzoeker twijfelt of de voorgestelde activiteit binnen het toepassingsgebied valt of is toegestaan, dient de onderzoeker contact op te nemen met VTech via VulnerabilityReporting@vtech.com alvorens verder te gaan.

4. Regels voor onderzoekers

Om deel te nemen aan het gecoördineerde proces voor het melden van kwetsbaarheden, moeten onderzoekers:

• zich houden aan alle toepasselijke wetgeving en dit beleid;
• alleen accounts gebruiken die eigendom zijn van de onderzoeker, aangewezen testaccounts of accounts waarvoor de onderzoeker uitdrukkelijke schriftelijke toestemming heeft;
• het openen, verzamelen, kopiëren, wijzigen, verzenden, bewaren of verwijderen van gegevens van VTech, klanten of gebruikers vermijden, behalve in de minimale mate die strikt noodzakelijk is om de kwetsbaarheid aan te tonen en alleen wanneer dit wettelijk is toegestaan;
• onmiddellijk verdere toegang of verzameling stopzetten indien zij onbedoeld persoonlijke, vertrouwelijke of gebruikersgegevens tegenkomen, slechts het minimaal noodzakelijke bewijsmateriaal bewaren en VTech onmiddellijk via een beveiligd kanaal op de hoogte stellen;
• onderbreking, verslechtering of vernietiging van diensten te vermijden; denial-of-service-, resource-exhaustion- en soortgelijke tests zijn verboden, tenzij VTech hiervoor uitdrukkelijk schriftelijke toestemming heeft gegeven;
• geen gegevens exfiltreren, geen malware introduceren, geen persistentie tot stand brengen, niet doordringen naar andere systemen, of een kwetsbaarheid niet verder uitbuiten dan het minimum dat nodig is om het bestaan ervan vast te stellen;
• geen gebruik te maken van social engineering, fysieke aanvallen, bedreigingen, afpersing of dwang;
• geen details over de kwetsbaarheid openbaar te maken voordat er overeenstemming is bereikt met VTech overeenkomstig artikel 7; en
• informatie over kwetsbaarheden vertrouwelijk te houden totdat VTech en de melder overeenstemming hebben bereikt over een tijdschema voor openbaarmaking, met inachtneming van de toepasselijke wetgeving en het algemeen belang.

5. Een kwetsbaarheid melden

Meldingen dienen te worden ingediend bij VulnerabilityReporting@vtech.com. Meldingen kunnen anoniem worden ingediend.

Onderzoekers dienen de onderwerpregel „DRINGEND — vermoedelijk actief misbruik” te gebruiken wanneer zij redelijke gronden hebben om aan te nemen dat een kwetsbaarheid actief wordt misbruikt of een onmiddellijk wezenlijk risico voor gebruikers vormt.

Om een tijdige beoordeling mogelijk te maken, moeten meldingen, indien beschikbaar, het volgende bevatten:

• identificatie van het getroffen VTech-product, de productversie, het onderdeel, de firmware-/softwareversie, de dienst, het domein of de applicatie;
• indien relevant, het land of het kanaal waarlangs het product is aangeschaft en de locatie waar het probleem is geconstateerd;
• een beschrijving van de kwetsbaarheid, de mogelijke gevolgen ervan en alle informatie die wijst op daadwerkelijke of vermoedelijke actieve misbruik;
• duidelijke, reproduceerbare stappen, proof-of-concept-code, logbestanden, schermafbeeldingen of ander bewijsmateriaal dat voldoende is om het probleem te valideren, waarbij de openbaarmaking van persoonlijke of vertrouwelijke gegevens tot een minimum wordt beperkt;
• eventuele bekende risicobeperkende maatregelen, tijdelijke oplossingen, voorgestelde oplossingen, getroffen componenten van derden of bijbehorende identificatiegegevens; en
• een veilige contactmethode en eventuele voorkeurswijze voor bevestiging of vermelding van de bron, indien de melder gecontacteerd of vermeld wenst te worden.

6. Afhandelingsproces van VTech

Na ontvangst van een melding zal VTech:

• bevestigen dat de melding is ontvangen, zodra dit redelijkerwijs mogelijk is;
• beoordelen of de melding binnen het toepassingsgebied valt en of deze wijst op vermoedelijk actief misbruik, een ernstig incident of een urgent risico voor gebruikers;
• het probleem valideren en analyseren, met inbegrip van de ernst ervan, de getroffen producten en versies, de uitbuitbaarheid, de potentiële impact en eventuele getroffen componenten van derden;
• prioriteit toekennen aan, ontwikkelen, testen en implementeren van passende corrigerende of risicobeperkende maatregelen, waaronder beveiligingsupdates, tijdelijke oplossingen, configuratiewijzigingen, begeleiding van klanten of andere herstelmaatregelen, al naar gelang de situatie;
• samenwerken met getroffen leveranciers, beheerders, CSIRT’s, bevoegde autoriteiten en andere relevante partijen waar dit nodig is voor een effectieve oplossing;
• de melder, voor zover redelijkerwijs haalbaar, op de hoogte houden van de stand van zaken, rekening houdend met de aard en de gevoeligheid van de melding; en
• de beoordeling, het herstel, de openbaarmaking en elk besluit om openbaarmaking uit te stellen documenteren in overeenstemming met de toepasselijke interne procedures.

VTech streeft ernaar om binnen 24 uur na ontvangst van een melding een bevestiging te verstrekken en, voor zover redelijkerwijs haalbaar, een eerste triage-uitslag of een wezenlijke statusupdate te geven. De daadwerkelijke reactie- en hersteltijden zijn afhankelijk van de ernst, complexiteit, uitbuitbaarheid, de getroffen producten, de beschikbaarheid van risicobeperkende maatregelen en de verstrekte informatie.

7. Gecoördineerde openbaarmaking en beveiligingsadviezen

VTech verzoekt melders om details over kwetsbaarheden niet openbaar te maken voordat VTech een redelijke gelegenheid heeft gehad om het probleem te valideren, te beoordelen en te verhelpen. VTech zal te goeder trouw met de melder samenwerken om een gecoördineerd tijdschema voor openbaarmaking overeen te komen, waarbij rekening wordt gehouden met de uitbuitbaarheid, actieve uitbuiting, getroffen gebruikers, de beschikbaarheid van mitigerende maatregelen, de beschikbaarheid van een beveiligingsupdate en het algemeen belang.

Zodra een beveiligingsupdate of andere corrigerende maatregel beschikbaar is, zal VTech informatie over de verholpen kwetsbaarheid delen en openbaar maken in een passend beveiligingsadvies, tenzij VTech redelijkerwijs vaststelt en documenteert dat de cyberbeveiligingsrisico’s van onmiddellijke openbaarmaking zwaarder wegen dan de beveiligingsvoordelen. In dat geval kan VTech de publicatie uitstellen voor niet langer dan nodig is om die risico’s te beheersen en, indien van toepassing, getroffen gebruikers een redelijke gelegenheid bieden om eerst de relevante patch of corrigerende maatregel toe te passen.

Een beveiligingsadvies bevat, indien van toepassing:

• een beschrijving van de kwetsbaarheid;
• het getroffen product, de component en de versie of het versiebereik;
• de impact en ernst van de kwetsbaarheid;
• duidelijke, toegankelijke instructies waarmee gebruikers het probleem kunnen verhelpen of de gevolgen ervan kunnen beperken; en
• informatie over de relevante beveiligingsupdate, tijdelijke oplossing of andere corrigerende maatregel.

VTech mag een melder alleen in een beveiligingsadvies vermelden of erkennen met toestemming van de melder en met inachtneming van de toepasselijke wetgeving, beveiligingsoverwegingen en de door de melder aangegeven voorkeuren.

8. Meldingen aan toezichthouders en dringende escalaties

VTech zal beoordelen of een melding betrekking heeft op een actief misbruikte kwetsbaarheid of een ernstig incident dat de beveiliging van een VTech-product met digitale elementen aantast. Indien van toepassing zal VTech meldingen doen via het CRA Single Reporting Platform en aan de relevante ontvangers binnen de termijnen die worden vereist door Verordening (EU) 2024/2847 en andere toepasselijke wetgeving.

Dit openbare meldingskanaal vervangt niet de wettelijk voorgeschreven meldingsprocedures van VTech. VTech zal, indien van toepassing, overwegen om te voorzien in een vroegtijdige beoordeling en escalatie die het mogelijk maken om binnen 24 uur na constatering een eerste melding te doen, binnen 72 uur een volledige melding en binnen 14 dagen een eindrapport voor een actief misbruikte kwetsbaarheid, of binnen één maand voor een ernstig incident, waarin het incident, de onderliggende oorzaak en de genomen mitigerende maatregelen worden beschreven.

VTech kan informatie over kwetsbaarheden of incidenten melden of delen met bevoegde autoriteiten, CSIRT’s, ENISA, leveranciers, onderhoudspartijen, dienstverleners of andere relevante partijen, indien dit wettelijk vereist is of redelijkerwijs noodzakelijk is om het incident te onderzoeken, te verhelpen, de openbaarmaking te coördineren of gebruikers te beschermen.

Naast het melden aan het bevoegde CSIRT en ENISA zal VTech de getroffen gebruikers zonder onnodige vertraging informeren dat er een kwetsbaarheid of incident is vastgesteld die de beveiliging van hun product kan beïnvloeden, samen met eventuele maatregelen die gebruikers kunnen nemen om de gevolgen te beperken, zelfs wanneer er nog geen permanente beveiligingsupdate beschikbaar is.

9. Coördinatie met derden

Wanneer een gemeld probleem betrekking heeft op een component, bibliotheek, leverancier of dienst van een derde partij, kan VTech de minimaal noodzakelijke informatie delen met die partij of een geschikte coördinator ter ondersteuning van validatie, herstel en gecoördineerde openbaarmaking. Voor zover redelijkerwijs haalbaar, houdt VTech rekening met de gevoeligheid van de melding en de contactvoorkeuren van de melder. VTech kan dergelijke openbaarmakingen zonder voorafgaande kennisgeving doen wanneer dit noodzakelijk is om gebruikers te beschermen, aan de wet te voldoen of wezenlijke cyberbeveiligingsrisico’s te beheersen.

10. Persoonsgegevens en vertrouwelijkheid

VTech verwerkt persoonsgegevens uit kwetsbaarheidsmeldingen ten behoeve van kwetsbaarheidsbeheer, productbeveiliging, incidentrespons, naleving van regelgeving, wettelijke verplichtingen en de bescherming van VTech, haar gebruikers en andere betrokken personen. VTech behandelt meldingen in overeenstemming met haar privacybeleid.

Onderzoekers mogen geen onnodige persoonsgegevens, vertrouwelijke informatie, inloggegevens of gevoelige gegevens in een rapport opnemen. VTech kan informatie uit een rapport delen met relevante VTech-medewerkers, groepsmaatschappijen, dienstverleners, betrokken leveranciers of onderhoudspartijen, CSIRT’s, bevoegde autoriteiten of wetshandhavingsinstanties, voor zover dit wettelijk is toegestaan of vereist en noodzakelijk is voor de doeleinden die in dit beleid en de privacyverklaring worden beschreven.

11. Beheer, herziening en contact

VTech zal het beleid regelmatig herzien en na wezenlijke wijzigingen in de toepasselijke vereisten, VTech-producten, beveiligingsactiviteiten of lessen die zijn getrokken uit de afhandeling van kwetsbaarheden.

VTech beschikt over interne functies, procedures, documentatie, opleidingen en toezichtsregelingen ter ondersteuning van de implementatie en handhaving van dit beleid, de afhandeling van kwetsbaarheden gedurende de relevante ondersteuningsperioden en de voortdurende verbetering van de productbeveiliging.

Vragen over dit beleid of onduidelijkheden over geautoriseerd onderzoek kunt u richten aan VulnerabilityReporting@vtech.com.

12. Juridische kennisgeving

Dit beleid creëert geen contractuele verplichting, doet geen afbreuk aan enig wettelijk recht of rechtsmiddel, en machtigt geen activiteiten buiten het toepassingsgebied dat uitdrukkelijk in dit beleid is vermeld. Niets in dit beleid beperkt het vermogen van VTech om maatregelen te nemen met betrekking tot gedrag dat onwettig, kwaadwillig, roekeloos, frauduleus, afpersend, schadelijk of in strijd met dit beleid is.