Tư vấn Sản phẩm Bảo mật

Chính sách bảo mật sản phẩm

CyberPower thực hiện quy trình nội bộ về quản lý lỗ hổng bảo mật và đánh giá rủi ro nhằm đảm bảo việc tiếp nhận, xác minh, đánh giá và xử lý các lỗ hổng bảo mật được thực hiện một cách nhất quán, hiệu quả và phù hợp với các yêu cầu quản trị an ninh thông tin. Sau khi nhận được thông tin về lỗ hổng bảo mật, CyberPower sẽ tiến hành xem xét và xác minh báo cáo, đánh giá mức độ nghiêm trọng và tác động tiềm ẩn của lỗ hổng, xác định các sản phẩm hoặc phiên bản bị ảnh hưởng (nếu có), đồng thời ưu tiên các hoạt động khắc phục hoặc giảm thiểu rủi ro dựa trên kết quả đánh giá mức độ rủi ro. Trong suốt quá trình xác minh và đánh giá, CyberPower sẽ duy trì liên lạc với người báo cáo và, khi thích hợp, sẽ cung cấp các cập nhật về tình trạng xử lý, bao gồm tiến độ triển khai các biện pháp khắc phục hoặc giảm thiểu rủi ro.Xin lưu ý rằng CyberPower có thể không thể đánh giá hoặc xử lý các báo cáo không đầy đủ hoặc không cung cấp đầy đủ các thông tin được yêu cầu để phục vụ quá trình xác minh và đánh giá lỗ hổng bảo mật.

Đối với các lỗ hổng bảo mật đã được xác minh và đáp ứng tiêu chí phải công bố theo quy định, sau khi xác định được biện pháp khắc phục hoặc giảm thiểu rủi ro phù hợp, CyberPower sẽ công bố các thông tin liên quan thông qua các kênh phù hợp, bao gồm nhưng không giới hạn ở Thông báo Bảo mật (Security Advisory), Ghi chú Phát hành (Release Notes), các bản cập nhật firmware hoặc phần mềm, hoặc các hướng dẫn giảm thiểu rủi ro. Thông tin công bố có thể bao gồm: mô tả lỗ hổng bảo mật; mức độ nghiêm trọng và tác động của lỗ hổng; điểm CVSS (Hệ thống Chấm điểm Mức độ Nghiêm trọng của Lỗ hổng Phổ biến) hoặc điểm đánh giá theo hệ thống xếp hạng tương đương; danh sách các sản phẩm và phiên bản bị ảnh hưởng; mô tả biện pháp khắc phục; cùng với thông tin chi tiết về các bản cập nhật bảo mật hoặc các biện pháp khắc phục khác đã được cung cấp cho người sử dụng. Trong trường hợp có thông tin liên quan, CyberPower cũng có thể công bố thông tin về các tác nhân độc hại đã hoặc đang khai thác lỗ hổng bảo mật đó nhằm hỗ trợ khách hàng đánh giá rủi ro và triển khai các biện pháp phòng vệ phù hợp.

Khi được yêu cầu theo quy định của pháp luật hiện hành, bao gồm nhưng không giới hạn ở Đạo luật Khả năng chống chịu An ninh mạng của Liên minh Châu Âu (EU Cyber Resilience Act – CRA), CyberPower sẽ thực hiện nghĩa vụ thông báo về các lỗ hổng bảo mật hoặc sự cố an ninh mạng tới các cơ quan nhà nước có thẩm quyền theo đúng quy định pháp luật áp dụng. Đối với các lỗ hổng bảo mật đang bị khai thác thực tế, nội dung thông báo có thể bao gồm: thông tin về sản phẩm bị ảnh hưởng; mô tả tổng quan về lỗ hổng và phương thức khai thác; các biện pháp khắc phục hoặc giảm thiểu rủi ro đã được triển khai hoặc cung cấp cho người sử dụng; mức độ nhạy cảm của thông tin được thông báo; và, khi phù hợp, danh sách các quốc gia thành viên Liên minh Châu Âu mà CyberPower biết rằng sản phẩm đã được đưa ra thị trường. Việc thực hiện các thông báo này sẽ được CyberPower tiến hành theo đúng thời hạn và các yêu cầu được quy định trong các văn bản pháp luật hiện hành.

Thời điểm và việc phát hành các bản cập nhật có thể khác nhau tùy thuộc vào nhiều yếu tố, bao gồm mức độ ảnh hưởng tiềm ẩn của lỗ hổng bảo mật, việc lỗ hổng đã được công khai hay chưa, sự tồn tại của các phương thức khai thác đã được biết đến, phạm vi các sản phẩm bị ảnh hưởng và khả năng áp dụng các biện pháp giảm thiểu rủi ro hiệu quả. Không phải mọi vấn đề được báo cáo đều được xác nhận là lỗ hổng bảo mật, và CyberPower không đảm bảo sẽ có một giải pháp hoặc biện pháp khắc phục cụ thể cho mọi báo cáo. Chính sách và thông báo bảo mật này áp dụng đối với tất cả các sản phẩm, dịch vụ và tài sản số do CyberPower phát triển, bảo trì hoặc vận hành. Các sản phẩm hoặc dịch vụ của bên thứ ba không do CyberPower phát triển hoặc quản lý không thuộc phạm vi áp dụng của chính sách và thông báo này. CyberPower có quyền sửa đổi hoặc cập nhật chính sách này vào bất kỳ thời điểm nào theo toàn quyền quyết định của mình mà không cần thông báo trước. Chúng tôi khuyến nghị người dùng thường xuyên theo dõi trang này để kịp thời cập nhật và triển khai các bản vá cũng như các bản cập nhật bảo mật mới nhất.