漏洞披露政策
智電系統股份有限公司
智電系統股份有限公司 致力於維持其產品與服務的安全性、完整性與可靠性。
我們歡迎客戶、資安研究人員、合作夥伴及相關利害關係人，針對影響我們產品或服務的潛在網路安全問題，向我們提出負責任的漏洞通報。
- 聯絡資訊與適用範圍
本政策涵蓋本公司申請計畫及產品中所包含的所有設備。若您發現任何與安全性相關的問題或潛在漏洞，請透過以下管道提交通報：
— Email: [email protected]
— 網站: https://www.spstaiwan.com.tw/聯絡我們/ - 法律聲明與研究指南
智電系統股份有限公司 感謝並歡迎出於善意、負責任且依法進行的網路安全研究與測試活動。
未經事前書面授權，嚴禁進行任何可能影響產品可用性、客戶營運環境、個人資料或正常服務運作的破壞性測試。
智電系統股份有限公司 保留對本政策的最終解釋權、範圍認定權及修訂權。 - 通報所需提供之資訊
當使用者、資安研究人員或第三方遇到安全性相關問題時，請透過上述指定管道（網站或 Email）提出通報。為確保後續調查能迅速且準確地進行，提交通報時請務必提供以下資訊：
— 產品型號與設備資訊
— 韌體或軟體版本
— 漏洞的詳細說明
— 重現步驟或測試條件
— 潛在影響與風險評估（若已知）
— 概念驗證資料（PoC 程式碼或螢幕截圖，若有）
— 通報者聯絡資訊（包括姓名、Email 地址等） - 漏洞處理流程
收到網路安全漏洞通報後，本公司將依據以下標準應變流程，管理並處理所有受影響的設備：
— 確認收到與聯絡確認： 收到安全問題通報後（原則上於 5 個工作天內），我們將主動透過 Email 聯絡通報者，以確認通報細節與漏洞資訊。
— 調查與驗證： 我們的資安團隊將進行技術測試或實地調查，以驗證通報問題的真實性與可利用性。
— 分級與評估嚴重程度： 針對已確認的漏洞，我們將評估其潛在影響、可利用性及威脅風險，並依嚴重程度進行分級。
— 修復與緩解計畫： 我們將制定系統強化方案、軟體/韌體修補程式或臨時緩解措施，並建立具體的修復時程表。
— 通知受影響使用者： 我們將透過 Email 主動告知受影響的使用者關於受影響的產品型號、漏洞威脅等級（嚴重程度分級）及整體修復計畫。
— 修復執行與驗證： 進行程式碼修復與內部安全測試，以確保漏洞得到解決且不影響系統穩定性。
— 完成通知與更新發布： 修復完成後，我們將透過 Email 發布後續通知，並透過授權的維護程序提供修改後的韌體或軟體更新（包括發布說明或網站公告）。 - 協調披露政策
智電系統股份有限公司 實行協調漏洞披露（CVD）原則。所有網路安全漏洞資訊，僅會在完成充分驗證、風險評估、修復計畫及更正措施後，才會向公眾披露。
披露的資訊可能包含：受影響的產品型號、嚴重程度評估、影響範圍、緩解建議及維護更新指南。
我們懇請通報者在修復工作完成且受影響客戶獲得適當通知之前，切勿向公眾披露漏洞細節。 - 韌體與軟體更新政策
所有韌體與軟體更新必須由本公司或授權的服務人員，透過「受控且授權的標準維護程序」進行。
在安裝之前，所有更新包皆必須經過完整性與真實性驗證，以確保未遭篡改。 - 客戶通知
本《漏洞披露政策》將以電子文件（如 PDF 格式）或透過官方專屬網頁的方式，完整提供給購買本公司產品的客戶，確保系統交付時，客戶已明確獲知網路安全應變與通報機制。
