Plataforma de comunicação de segurança da QNAP
Comunicações no âmbito do Cyber Resilience Act da UE
Em conformidade com o Regulamento de Ciber-resiliência da UE (Cyber Resilience Act, CRA), a QNAP criou este ponto de contacto único para comunicar vulnerabilidades ativamente exploradas e incidentes graves confirmados, para que as obrigações de comunicação sejam cumpridas dentro dos prazos legais.
Informações importantes
O que a plataforma de comunicação do CRA aceita
Esta plataforma aceita comunicações nas duas categorias seguintes:
| Categoria | Descrição |
|---|---|
| Vulnerabilidade ativamente explorada | Existem provas fiáveis de que um agente malicioso explorou efetivamente a vulnerabilidade num sistema sem autorização, não se tratando apenas de uma CVE conhecida ou de uma fragilidade genérica |
| Incidente de segurança grave confirmado | Um incidente de segurança com impacto grave na segurança do produto, incluindo, entre outros, fuga de dados, interrupção de serviço ou comprometimento de sistemas |
Os assuntos seguintes são do âmbito do apoio ao cliente (Serviço de apoio ao cliente - QNAP) e não são aceites nesta plataforma:
-
Pedidos de assistência técnica (configuração do NAS, atualizações de sistema, reparação de hardware)
-
Questões sobre vulnerabilidades já divulgadas publicamente (constantes dos nossos avisos de segurança)
-
Pedidos de assistência técnica para a instalação de correções
-
Vulnerabilidades em produtos de terceiros ou questões sobre os detalhes dessas vulnerabilidades
-
Vulnerabilidades encontradas em sites diferentes de qnap.com
-
Software malicioso encontrado em dispositivos móveis
-
Outras questões de caráter geral sem relação com a segurança
Se pretender comunicar uma vulnerabilidade de segurança que não tenha sido explorada e candidatar-se a uma recompensa no âmbito do Bug Bounty Program, consulte os requisitos e a forma de envio na página Bug Bounty Program.
Os canais de comunicação e as diferenças entre eles
Atenção: a QNAP disponibiliza três canais distintos de comunicação e serviço, de acordo com a natureza do problema. Escolha o canal que corresponde à situação com que se depara.
| Critério | CRA Security Reporting Esta página |
Serviço de apoio ao cliente da QNAP Adequado na maioria dos casos |
Bug Bounty Program Security Bounty Program |
|---|---|---|---|
| Finalidade | Comunicar incidentes de segurança ou vulnerabilidades exploradas que cumprem os critérios de comunicação legalmente exigida | Assistência técnica, questões sobre vulnerabilidades conhecidas, apoio na aplicação de correções e pedidos semelhantes | Vulnerabilidades de segurança não exploradas e elegíveis para o Bug Bounty Program |
| Tratado por | PSIRT da QNAP, dentro dos prazos legais (por exemplo, comunicação em 24 horas) | Equipa do serviço de apoio ao cliente | Equipa de avaliação do Bounty, de acordo com as regras do programa |
| Quando utilizar | Incidentes de segurança sujeitos a obrigações de comunicação ao abrigo do CRA ou de regulamentação equivalente | A maioria das questões dos utilizadores | Comunicações de vulnerabilidades de caráter geral e não urgentes |
Como escolher o canal adequado?
Comece por analisar a situação com que se depara:
-
Trata-se de configuração, atualizações, reparação ou um problema conhecido? → É do âmbito do apoio ao cliente (Serviço de apoio ao cliente - QNAP)
-
Dispõe de provas claras de que uma vulnerabilidade está a ser ativamente explorada ou ocorreu um incidente de segurança grave? → É do âmbito desta plataforma (CRA Security Reporting)
Escolha o canal correspondente à sua situação, para que a sua questão chegue o mais rapidamente possível à equipa mais indicada para a tratar.
Preencher o formulário de comunicação do CRA
Preencha a sua comunicação em detalhe no formulário abaixo, para que a equipa PSIRT da QNAP possa concluir a análise e a avaliação iniciais o mais rapidamente possível.
Este formulário destina-se apenas à comunicação de vulnerabilidades ativamente exploradas ou de incidentes de segurança graves confirmados. Após o envio, será designado um especialista de comunicação de segurança que entrará em contacto consigo.
Para que a comunicação seja completa e correta e para facilitar a determinação dos prazos legais e a comunicação às autoridades, forneça informações tão detalhadas e concretas quanto possível. Material comprovativo, como registos de ataque, registos de sistema ou código de prova de conceito, pode ser carregado com o formulário.
Todo o conteúdo enviado é tratado como confidencial e utilizado apenas para a avaliação interna de segurança e as comunicações legalmente exigidas da QNAP. Não é divulgado publicamente, mas será fornecido às autoridades competentes quando a regulamentação o exigir.
Cifrar informações sensíveis
Se o que pretende enviar incluir detalhes técnicos muito sensíveis, por exemplo detalhes de vulnerabilidades exploráveis, código de prova de conceito ou informações de acesso a sistemas, recomendamos vivamente que os cifre antes do envio com a chave PGP pública apresentada no final desta página, para impedir acessos não autorizados durante a transmissão.
