Provozujeme váš Vulnerability Disclosure Program kompletně za vás – portál, právní rámec, triage etických hackerů, koordinaci s vývojem, přidělování CVE i povinné hlášení ENISA v lhůtách 24/72h dle Cyber Resilience Act.
Kompletní outsourcing CVD programu od provozu portálu po regulatorní reporting.
Veřejný portál pro hlášení zranitelností, security.txt dle RFC 9116, šifrované formuláře (PGP) a podpora anonymních submisí etických hackerů.
Profesionální komunikace s researchery, validace a klasifikace nahlášených zranitelností (CVSS, EPSS), prevence duplicit a falešných nálezů.
Povinné hlášení aktivně zneužívaných zranitelností ENISA single reporting platform a národním CSIRT v lhůtách 24h (early warning) / 72h / 14 dní.
Tvorba a údržba politiky koordinovaného zveřejňování dle ISO/IEC 29147 a 30111, právně závazné safe harbor klauzule pro etické hackery.
Asistence při získání statusu CNA, přidělování CVE identifikátorů, publikace advisories ve formátu CSAF 2.0 a VEX dokumentů.
Napojení na Jira, GitHub Security Advisories, Dependency-Track, ServiceNow a workflow vývojových týmů pro rychlou remediaci.
Provoz private nebo public bug bounty programu (HackerOne, Intigriti, Bugcrowd), nastavení scope, odměn, právního rámce a SLA.
Soulad s GDPR, ZKB, NIS2, CRA, US EO 14028 a CISA BOD 20-01. Smluvní zajištění, NDA s researchery, evidence pro auditory.
Měsíční reporting: počet reportů, průměrná doba triage/fix, MTTR, top kategorie zranitelností a benchmark vůči industry standardům.
CVD je dnes regulatorní povinnost, nikoliv volba. Pokrýváme klíčové rámce EU i USA.
CRA explicitně vyžaduje provoz koordinovaného zveřejňování zranitelností pro produkty s digitálními prvky uváděné na trh EU.
Článek 12 NIS2 ustanovuje koordinovaný rámec disclosure. Vyhláška o KB očekává procesy hlášení a řešení zranitelností.
Mezinárodní standardy pro vulnerability disclosure (29147) a vulnerability handling processes (30111) – základ vyspělého programu.
Federální požadavky USA na provoz VDP pro dodavatele do veřejného sektoru – nutnost pro export software do US.
Strukturovaný onboarding a 24/7 produkční provoz se SLA.
Tvorba CVD policy, security.txt, právní rámec, NDA šablony a integrace do vašich kanálů (web, GitHub, produktové portály).
Nasazení šifrovaného reporting portálu, PGP klíče, formulářů a notifikačního workflow do vašich systémů (Jira, Slack, Teams).
24/7 příjem reportů, komunikace s researchery, validace, CVSS/EPSS scoring, koordinace s vývojem a předání remediace.
Publikace bezpečnostních advisories (CSAF 2.0, VEX), přidělení CVE, hlášení regulátorovi a měsíční manažerské reporty.
Závazné lhůty pro triage a regulatorní reporting dle CRA.
Provoz CVD programu vyžaduje 24/7 dostupnost, právní expertízu, technickou triage a regulatorní know-how. Vybudovat vlastní PSIRT tým trvá 12+ měsíců a stojí miliony korun ročně. My to máme připravené.
Domluvit konzultaciPraktické odpovědi pro management, právní oddělení i security týmy.
VDP je strukturovaný proces, který umožňuje externím výzkumníkům a etickým hackerům hlásit zranitelnosti vašich produktů či systémů bezpečným a právně chráněným způsobem. Zahrnuje politiku, kanály pro hlášení, triage proces a koordinovanou publikaci.
Ano. Článek 13(8) CRA explicitně ukládá výrobcům produktů s digitálními prvky povinnost zavést a udržovat koordinovaný proces disclosure zranitelností včetně kontaktního bodu publikovaného v souboru security.txt.
VDP je povinná otevřená pozvánka k hlášení bez peněžní odměny – právní safe harbor. Bug Bounty je nadstavba, která za hlášení vyplácí finanční odměny dle závažnosti. Doporučujeme začít s VDP a postupně rozšířit na bug bounty.
RFC 9116 standard – textový soubor v /.well-known/security.txt s kontakty pro nahlášení zranitelností, PGP klíčem, expirací a odkazem na CVD policy. CRA fakticky vyžaduje publikovaný kontaktní bod – security.txt je de facto standardem.
Náš PSIRT tým (Product Security Incident Response Team) přebírá veškerou komunikaci v češtině i angličtině. S vaším vývojem komunikujeme přes Jira / GitHub / ServiceNow integraci. Vy se soustředíte na opravu, my řešíme zbytek.
Standardní onboarding 4-6 týdnů: 1-2 týdny právní a policy fáze, 2 týdny technická integrace portálu a vašich systémů, 1-2 týdny pilotní provoz. Poté přecházíme do plného produkčního provozu se SLA.
CRA vstoupil v platnost 10. 12. 2024. Reporting povinnosti platí od 11. 9. 2026. Připravte se v předstihu – onboarding 4-6 týdnů.