Politika pre zodpovedné oznamovanie zraniteľností

Informácie pre oznamovanie bezpečnostných zraniteľností

1. Účel dokumentu

V súlade s európskou legislatívou (nariadenie EU Cyber Resilience Act – CRA, smernica NIS2), národnými odporúčaniami (NBÚ, SKCERT) a medzinárodnými normami (ISO/IEC 29147, RFC 9116) zverejňuje spoločnosť ANASOFT APR, spol. s r.o., povinné informácie a kontaktné kanály potrebné na bezpečné a dôverné oznamovanie bezpečnostných incidentov a zraniteľností.

2. Rozsah

Produkty s digitálnymi prvkami: produkty Signatus, Emans, Domus, Finus, ako aj všetky súvisiace cloudové prvky potrebné pre ich fungovanie.

3. Jednotné kontaktné miesto (Single Point of Contact)

Pre prijímanie hlásení o zraniteľnostiach, bezpečnostných nedostatkoch alebo incidentoch prevádzkuje spoločnosť vyhradený tím pre riešenie bezpečnostných incidentov (PSIRT / CSIRT):

4. Šifrovanie komunikácie (OpenPGP)

Na ochranu citlivých technických detailov pred ich vyriešením odporúčame všetky hlásenia šifrovať pomocou nášho verejného PGP kľúča:

5. Strojovo čitateľný súbor (security.txt)

Podľa štandardu RFC 9116 je na našich webových sídlach publikovaný strojovo čitateľný súbor security.txt na adrese:

https://www.anasoft.com/.well-known/security.txt

Obsah súboru security.txt:

6. Požadovaný obsah hlásenia

Aby sme mohli nahlásený incident alebo zraniteľnosť čo najrýchlejšie overiť, prosíme o poskytnutie nasledujúcich informácií:

  1. Identifikácia aktíva: Názov dotknutého produktu, verzia, webová adresa (URL) alebo IP adresa.
  2. Popis problému: Typ zraniteľnosti alebo charakteristika incidentu (napr. neoprávnený prístup, chyba v aplikácii, únik dát).
  3. Postup reprodukcie: Detailné kroky na overenie zraniteľnosti (Proof-of-Concept, kód, snímky obrazovky).
  4. Odhadovaný dopad: Dopad na dôvernosť, integritu alebo dostupnosť dát a systémov.
  5. Kontaktné údaje: Meno a e-mail pre ďalšiu komunikáciu (nepovinné, ak si želáte ostať v anonymite).

7. Záväzok bezpečného prístavu (Safe Harbor)

Spoločnosť garantuje, že voči osobám a výskumníkom, ktorí konajú v dobrej viere a dodržiavajú pravidlá zodpovedného oznamovania:

  • Nepodnikne žiadne právne kroky (občianskoprávne ani trestné) a nebude ich činnosť hlásiť orgánom činným v trestnom konaní.
  • Nebude vyžadovať podpísanie dohody o mlčanlivosti (NDA) ako podmienku prijatia alebo vyriešenia hlásenia.

Od oznamovateľov sa vyžaduje:

  • Vyhnúť sa poškodeniu systémov, modifikácii alebo úniku dát iných používateľov.
  • Nevykonávať útoky typu DoS/DDoS, spam, bruteforce alebo sociálne inžinierstvo.
  • Nezverejňovať kód ani návod, ako zraniteľnosť zneužiť.
  • Zachovať dôvernosť až do koordinovaného zverejnenia opravy spoločnosťou.

8. Časové rámce reakcie (SLA)

Fáza reakcie

Garantovaná lehota

Popis

Potvrdenie prijatia

Do 48 hodín (max. 5 pracovných dní)

Zaslanie potvrdenia s prideleným interným identifikátorom hlásenia.

Prvotné vyhodnotenie (Triage)

Do 7 kalendárnych dní

Overenie zraniteľnosti, určené závažnosti podľa CVSS a informovanie oznamovateľa.

Pravidelná aktualizácia

Každých 14 dní

Informovanie o priebehu vývoja bezpečnostnej opravy až do jej nasadenia.

9. Informácie o zverejňovaní opráv (Security Advisories / VEX)

Po úspešnom vývoji a nasadení bezpečnostnej oprave zverejňuje spoločnosť informácie o vyriešených zraniteľnostiach vo forme bezpečnostných bulletinov na adrese:

https://www.anasoft.com/sk/pages/security/advisories

Bulletiny sú publikované v štandardizovaných formátoch CSAF / VEX a obsahujú pridelený identifikátor CVE, závažnosť CVSS a návod pre používateľov na aplikáciu aktualizácií.

Politika pre zodpovedné oznamovanie zraniteľností

Verzia: č. 1.0

Informácie pre oznamovanie bezpečnostných zraniteľností

Dátum poslednej aktualizácie:

7. októbra 2026

Schválená: 11.9.2026