Stratégie de sécurité

Interface de commentaires publics

Les chercheurs en sécurité peuvent informer EDIFIER des vulnérabilités de sécurité des appareils.

Contact du service sécurité d’Edifier

support@edifier.com

Rapport de sécurité d'un expert en sécurité indépendant

Edifier a signé un partenariat avec Security Corporation, qui fournira un rapport de test de sécurité pour les appareils Edifier.

Surveillance des vulnérabilités logicielles

Surveiller les informations publiques des sites Web suivants grâce à un contrôle régulier et continu

CVE (http://cve.mitre.org/)

NVD (https://nvd.nist.gov/)

CWE (http://cwe.mitre.org/)

Stratégie de mise à jour de la maintenance logicielle

Surveillez les mises à jour de version pour les composants tiers et mettez à jour vers la dernière version pour éviter l’existence de vulnérabilités connues.

Les correctifs pour les vulnérabilités de gravité seront regroupés dans les mises à jour existantes.

Lorsqu'une vulnérabilité est identifiée, mettez à jour le micrologiciel comme suit :

1.  Vulnérabilités identifiées par les clients, les utilisateurs, etc.

2.  Une réunion d'examen relative à la sécurité doit être organisée immédiatement et la solution correspondante doit être présentée.Les participants doivent notamment inclure un responsable des technologies de sécurité, un responsable du développement de projet, un responsable de l'architecture du micrologiciel et un directeur technique.CVSSv2 sera utilisé comme norme de référence pour évaluer et prioriser la vulnérabilité.

3.  Selon la solution, le développeur effectue l'implémentation spécifique.

4.  Révision des codes. Les évaluateurs doivent inclure le responsable de la technologie de sécurité et le développement du projet.

5.  Libérez le micrologiciel.

6.  L'équipe QA teste le firmware. En cas de problème, revenez à la troisième étape.

7.  Code fusionné dans la branche principale.

8.  Le chef de projet informe les clients qu’ils doivent mettre à jour le logiciel et obtient la confirmation de mise à niveau du client.

9.  Publier l'OTA pour la mise à jour des produits Edifier.

Plan de réponse de sécurité

Si un incident de sécurité survient, l’incident doit être traité comme étant urgent et de la plus haute priorité. Le PDG et le CTO doivent être au courant de cet incident et participer à la gestion de l'incident. Si l'incident est un problème de maintenance logicielle, il sera alors traité selon le processus de la « Stratégie de mise à jour de la maintenance logicielle » de ce document. Une réunion tripartite devrait avoir lieu immédiatement. Les participants sont Edifier, OEMS. La réunion doit collecter des informations, clarifier la situation de l'accident et estimer les délais de résolution d'un incident. S'il y a un incident spécial à impact majeur, Edifier discutera des délais de résolution avec le client.