Die ZAHORANSKY AG ist bestrebt, die Sicherheit ihrer Produkte, Systeme und Dienstleistungen kontinuierlich zu verbessern. Wir heißen Meldungen zu potenziellen Schwachstellen willkommen, da sie zur Produktsicherheit beitragen. Unter psirt@zahoransky.com wird eine Möglichkeit geboten anonyme Schwachstellenmeldungen auf Deutsch oder Englisch entgegenzunehmen. Hierbei streben wir einen konstruktiven Dialog an, um eine koordinierte Offenlegung von Schwachstellen (Coordinate Vulnerability Disclosure) zu ermöglichen. Die einzelnen Prozessschritte lauten:

Eine Schwachstelle wird an die ZAHORANSKY AG gemeldet. Die Zusammenarbeit erfordert keinen Geheimhaltungsvertrag und gutgläubige Sicherheitsforschung wird von uns nicht rechtlich verfolgt. Je detaillierter eine Meldung ist, desto schneller und zielgerichteter kann auf die Schwachstellenmeldung reagieren werden. Meldungen sollten eine Produktbezeichnung, die Kritikalität der potenziellen Schwachstelle und Schritte zur Reproduktion beinhalten.Die ZAHORANSKY AG beachtet das Traffic Light Protocol (TLP) in der Version 2.0, das unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/TLP/merkblatt-tlp.html beschrieben ist.

Eingehende Meldung werden von der ZAHORANSKY AG auf Vollständigkeit und Relevanz geprüft.Die Meldungen werden mit verantwortlichen Personen und Abteilungen geteilt und es erfolgt einregelmäßiger Austausch mit dem Ersteller der Meldung. Bei Bedarf werden Behörden, CERTs oderandere Partner über die Meldung informiert.

Zusammen mit den verantwortlichen Bereichen wird eine Lösung entwickelt, um die Schwachstelle angemessen zu behandeln. Falls es vom Melder gewünscht ist, wird er oder sie über den Ablauf der Aktivitäten informiert. Auf Wunsch kann die Lösung gemeinsam getestet werden.

Die Schwachstelle wird zu einem abgestimmten Zeitpunkt auf der Homepage der ZAHORANSKY AG veröffentlicht. Die Veröffentlichung umfasst eine Beschreibung der Schwachstelle, eine Einstufung des Schweregrads sowie Maßnahmen zur Beseitigung oder zur Minimierung des Risikos der Schwachstelle.Wenn diesem koordinierten Offenlegungsprozess gefolgt wurde, kann der Entdecker der Schwachstelle öffentlich gewürdigt werden.