NIS2 KONFORM CYBER SECURITY

SICHERE ENTWICKLUNG LEBENSZYKLUSPROZESS

Honeywell hat ein robustes System entwickelt, um Sicherheit zu Beginn der Produktkonzeption und während der Entwicklung zu berücksichtigen und auf potenzielle Schwachstellen in bestehenden Produkten zu reagieren. Dieses System, die SSDLC - Secure Software Development Lifecycle-Initiative von Honeywell, hat sich in den letzten Jahren weiterentwickelt und ist noch robuster geworden.

Honeywell nimmt Produktsicherheit ernst. Unsere Produkte durchlaufen ein robustes und umfassendes Penetrationstestprogramm. In einigen Fällen werden zusätzliche unabhängige Sicherheitstests durchgeführt. Die Kriterien für diese zusätzlichen Tests sowie die dafür ausgewählten Produkte oder Angebote sind vertrauliche Informationen.

Wir verfügen über einen robusten und umfassenden Entwicklungslebenszyklus (SDLC) basierend auf Best Practices und Industriestandards und dieser umfasst Folgendes:

• Sicherheitsrisikobewertung basierend auf Bedrohungsumfeld, dem ein bestimmtes Produkt oder Angebot ausgesetzt ist, sowie die technischen Merkmale und Kundenbedürfnisse

• Sicherheitsanforderungen und Sicherheit Kontrollen basierend auf Industriestandards und Richtlinien wie BSIMM, ISA/IEC 99/62443, ISO 27001, PCI DSS, DSGVO, OWASP, geltende lokale Gesetze und Vorschriften und andere, abhängig vom Produkt oder Angebot und dem Sicherheitsrisiko Bewertung

• Datenschutz-Folgenabschätzungen

• Bedrohungsmodellierung

• Sicher durch Design, Datenschutz durch Design und Sichere Codierungsstandards und -praktiken

• Statische Anwendungssicherheitstests (SAST, auch bekannt als Quellcode-Scanning) zur Durchsetzung sicherer Design- und Codierungspraktiken. Wir scannen nach OWASP-Top-10- und SANS-Top-25-Schwachstellen sowie nach sprachspezifischen Qualitätsmaßstäben. Zu den aktuellen SAST- Tools gehören je nach Produkt- und Sprachanforderungen SonarQube und Coverity

• Binäres Scannen zur Identifizierung der Open-Source-Nutzung und potenzieller Schwachstellen

• Eine formelle Risikomanagementrichtlinie, die spezifische Zeitpläne zur Risikominderung je nach Schweregrad vorschreibt

• Überprüfung und Genehmigung der Cybersicherheit durch leitende Angestellte vor dem Versand des Produkts

• Lebenszyklus-Support und Kundenbenachrichtigung für Sicherheitsupdates.

Ein Audit-Team von Honeywell führt Kontrollen durch, um sicherzustellen, dass die im Rahmen der Honeywell-Prozesse des sicheren Entwicklungslebenszyklus erforderlichen Sicherheitsleistungen erbracht werden.

Honeywell führt für seine Mitarbeiter Schulungsprogramme zu den Sicherheitsprozessen des Unternehmens sowie zu spezifischen Problemen und Lösungen im Bereich der Cybersicherheit durch.

Alle Softwareentwickler bei Honeywell erhalten eine formelle Schulung zum Secure Development Life Cycle-Prozess und zu allgemeinen Cyber-/Produktsicherheitsthemen.

HONEYWELL CYBERSECURITY REPORTING POLITIK

Das Ziel unseres Product Security Incident Response Teams (PSIRT) besteht darin, das mit Sicherheitslücken verbundene Risiko für Kunden zu minimieren, indem wir rechtzeitig Informationen, Anleitung und Behebung von Schwachstellen in unseren Produkten, einschließlich Software und Anwendungen, Hardware und Geräten, Diensten und Lösungen, bereitstellen. Dieses Team verwaltet den Empfang, die Untersuchung, die interne Koordination, die Behebung und die Offenlegung von Informationen zu Sicherheitslücken im Zusammenhang mit Honeywell-Produkten.

PSIRT koordiniert die Reaktion und Offenlegung aller extern identifizierten Produktschwachstellen.

MELDUNG EINER POTENZIELLEN SICHERHEITSLÜCKE

Wir freuen uns über Berichte von unabhängigen Forschern, Branchenorganisationen, Anbietern und Kunden, die sich mit Produktsicherheit befassen.

Weitere Informationen zum Melden einer potenziellen Sicherheitslücke finden Sie auf der Webseite zur Meldung von Sicherheitslücken unter https://www.honeywell.com/us/en/product-security#vulnerability-reporting

KOORDINIERTE OFFENLEGUNG VON SCHWACHSTELLEN (CVD)

Wir sind bestrebt, die Coordinated Vulnerability Disclosure (CVD) einzuhalten. Dieser Prozess ermöglicht es unabhängigen Reportern, die eine Schwachstelle entdecken, direkt mit Honeywell Kontakt aufzunehmen und gibt uns die Möglichkeit, die Schwachstelle zu untersuchen und zu beheben, bevor der Reporter die Informationen der Öffentlichkeit preisgibt.

Das PSIRT wird sich während der gesamten Schwachstellenuntersuchung mit dem Meldenden abstimmen und ihn gegebenenfalls über den Fortschritt informieren. Mit ihrer Zustimmung kann das PSIRT den Meldenden in unseren Danksagungen für das Auffinden einer gültigen Produktschwachstelle und die private Meldung des Problems erwähnen. Nachdem Honeywell eine Aktualisierung oder Schadensbegrenzungsinformationen öffentlich veröffentlicht hat, kann der Reporter die Sicherheitslücke gerne öffentlich diskutieren.

Die Befolgung der CVD ermöglicht es uns, unsere Kunden zu schützen und gleichzeitig öffentliche Offenlegungen zu koordinieren und den Meldenden angemessen für seine Erkenntnisse zu würdigen. Wenn eine gemeldete Schwachstelle ein Produkt eines Anbieters betrifft, benachrichtigt das PSIRT den Anbieter direkt, stimmt sich mit dem Melder ab oder beauftragt ein Koordinierungszentrum eines Drittanbieters.

Weitere Informationen finden Sie unter https://www.honeywell.com/us/en/product-security