Kiepe Coordinated Vulnerability Disclosure Policy (CVD)
1.1 Zweck
Kiepe Electric entwickelt und liefert sicherheitsrelevante Antriebs- und Steuerungssysteme für Stadtbahnfahrzeuge und Betreiber des öffentlichen Nahverkehrs. Die Gewährleistung der Cybersicherheit und Sicherheit dieser Produkte während ihres gesamten Lebenszyklus ist eine Kernaufgabe von Kiepe.
Der Zweck dieser Richtlinie zur koordinierten Offenlegung von Sicherheitslücken (Coordinated Vulnerability Disclosure, CVD) besteht darin, einen strukturierten und transparenten Prozess für die Meldung, Bewertung, Koordination, Behebung und Offenlegung von Cybersicherheitslücken bereitzustellen, die Produkte, Dienstleistungen und Lösungen von Kiepe betreffen.
Diese Richtlinie definiert die Verantwortlichkeiten von Kiepe, dem Meldenden und anderen an der koordinierten Bearbeitung von Sicherheitslücken beteiligten Akteuren.
Das Kiepe Product Security Incident Response Team (PSIRT) ist für die Steuerung des Prozesses zur Offenlegung von Sicherheitslücken verantwortlich.
1.2 Geltungsbereich
Diese Richtlinie gilt für Cybersicherheitslücken, die folgende Bereiche betreffen:
- Kiepe-Antriebssysteme;
- Fahrzeugsteuerungs- und -managementsysteme;
- Kommunikationssysteme;
- Diagnose- und Wartungssysteme;
- Von Kiepe bereitgestellte Software, Firmware, Hardware und unterstützende Dienstleistungen;
- Produkte, die derzeit von Kiepe unterstützt werden.
Die Richtlinie umfasst Schwachstellen, die entdeckt wurden von:
- Stakeholdern und Servicepartnern;
- Externe unabhängige Cybersicherheitsexperten Sicherheitsforschern;
- Lieferanten und Partnern;
1.3 Meldung von Sicherheitsschwachstellen an das Kiepe PSIRT
Kiepe begrüßt die verantwortungsvolle Meldung von Cybersicherheitsschwachstellen.
Meldungen können über einen der folgenden Kanäle eingereicht werden:
Kontakt:
Email: psirtkiepe-group.com
Security.txt: https://kiepe-group.com/.well-known/security.txt
PGP Key: https://kiepe-group.com/pgp-keys/kiepe-psirt-public.asc
Website: https://www.kiepe-group.com
Verfügbarkeit:
Kiepe ist bestrebt, die Meldung von Sicherheitslücken für alle Beteiligten zugänglich zu gestalten. Personen, die Unterstützung bei der Einreichung von Meldungen benötigen, können sich über die auf der Kiepe-Website angegebenen alternativen Kundensupportkanäle an Kiepe wenden.
1.4 Sichere Kommunikation
Da Schwachstellenmeldungen häufig sensible Sicherheitsinformationen enthalten, empfiehlt Kiepe nachdrücklich die Verwendung verschlüsselter Kommunikationswege.
Kiepe unterstützt die verschlüsselte E-Mail-Kommunikation über seine RFC 9116-konforme „security.txt“-Datei:
Der öffentliche PGP-Schlüssel des Kiepe PSIRT ist verfügbar unter:
Meldende werden gebeten, Schwachstellenberichte nach Möglichkeit mit diesem Schlüssel zu verschlüsseln.
1.5 Vom Berichterstatter bereitzustellende Informationen
Um eine effiziente Untersuchung und Analyse zu ermöglichen, bittet Kiepe gegebenenfalls um folgende Informationen:
- Kontaktdaten des Meldenden (bei anonymen Meldungen nicht erforderlich);
- Produktname und -version;
- Informationen zur Systemkonfiguration;
- Detaillierte Beschreibung der Sicherheitslücke;
- Mögliche Sicherheitsauswirkungen auf übergeordneter System- bzw. Fahrzeugebene;
- Informationen zur Reproduktion des Problems;
- Informationen zu bekannten Ausnutzungsmethoden;
Berichte mit unvollständigen Angaben werden dennoch angenommen und geprüft.
1.6 Kommunikation an den Berichterstatter
Kiepe ist bestrebt, während des gesamten Prozesses der Schwachstellenbearbeitung regelmäßig Informationen mit dem Berichterstatter auszutauschen.
Das PSIRT wird in gemeinsam vereinbarten Abständen Status-Updates bereitstellen und folgende Informationen übermitteln:
- Validierungsergebnisse;
- Geplante Maßnahmen zur Risikominderung;
- Voraussichtliche Zeitpläne für die Offenlegung;
- Maßnahmen zur Koordinierung der Veröffentlichung.
Die Reaktionsfristen können je nach Komplexität der Sicherheitslücke, den betrieblichen Auswirkungen und Sicherheitsaspekten variieren.
1.7 Offenlegungsstrategie von Schwachstellen
Kiepe hält sich an die Grundsätze der koordinierten Offenlegung von Sicherheitslücken.
Um das Risiko einer böswilligen Ausnutzung zu verringern:
- Informationen zu Sicherheitslücken sollten während der Untersuchung und Behebung vertraulich behandelt werden.
- Die öffentliche Bekanntgabe sollte so lange zurückgestellt werden, bis geeignete Abhilfemaßnahmen oder Korrekturen verfügbar sind.
- Die Zeitpläne für die Bekanntgabe können je nach Risiko, Komplexität und den Anforderungen der Beteiligten angepasst werden.
Kiepe ist bestrebt, ein Gleichgewicht zwischen Transparenz und der Notwendigkeit des Schutzes von Betreibern, Fahrgästen, öffentlicher Infrastruktur und betroffenen Systemen herzustellen.
1.8 Veröffentlichung
Bei Sicherheitslücken, die ein Risiko darstellen, gibt das Kiepe PSIRT Leitlinien zur Offenlegung der Sicherheitslücke vor: Das PSIRT koordiniert die Meldung und veröffentlicht Informationen in Form von Kiepe-Sicherheitshinweisen an die betroffenen Stakeholder zur Identifizierung und Behebung der Sicherheitslücke.
Die Kiepe Advisories enthalten detaillierte Informationen zu den Sicherheitslücken in Kiepe-Produkten und Dienstleistungen, die ein Produkt-Upgrade oder Maßnahmen seitens der Kunden erfordern.
Advisories können in mehreren Schritten mit einem Zwischen- und einem finalen Status veröffentlicht werden:
Dies kann bei vorübergehenden Abhilfemaßnahmen der Fall sein, die vom Betroffenen zur Risikominderung ergriffen werden können, da die Designänderung des Produkts (z. B. ein Software-Patch) nicht rechtzeitig bereitgestellt werden kann.
Im Zwischenstatus werden die Analyseergebnisse, gegebenenfalls temporäre Abhilfemaßnahmen sowie Informationen zum Zeitplan und zu den Veröffentlichungsterminen für das Produkt-Update festgelegt.
Im finalen Status ist die Remediation abgeschlossen.
Im Fall von Sicherheitslücken, die zu einem schwerwiegenden Vorfall geführt haben, oder im Fall von aktiv ausgenutzten Sicherheitslücken, die Kiepe-Produkte oder von Kiepe unterstützte Produkte oder kritische Dienste betreffen, wird Kiepe diese der zuständigen Behörde ENISA melden, die in der Europäischen Verordnung 2024/2847 festgelegt ist.
1.9 Policy Compliance
Alle über die in dieser Richtlinie beschriebenen Kanäle eingegangenen Berichte über Sicherheitslücken werden vom Kiepe PSIRT gemäß dem Prozess zur Behandlung von Sicherheitslücken der Organisation bearbeitet.
Das PSIRT führt Aufzeichnungen über gemeldete Sicherheitslücken, Untersuchungsmaßnahmen, Abhilfemaßnahmen, die Kommunikation sowie Entscheidungen zur Offenlegung.