Řešení bezpečnostních incidentů a zranitelností¶
Kdo komu a v jakých lhůtách oznamuje incidenty a zranitelnosti Produktu; bezpečnostní doporučení; kontakty
Verze: 1.0.0
Klasifikace: Důvěrné
Vlastník: Jednatel MAZEVAULT s.r.o.
Poslední aktualizace: 2026-05-01
Cyklus revize: Roční a při změně smluvní dokumentace
1. Východiska¶
- Produkt provozuje Zákazník ve své infrastruktuře. Poskytovatel nemá přístup k prostředí Zákazníka a incidenty v něm nedetekuje ani neřeší — detekce, zadržení a obnova v prostředí Zákazníka jsou odpovědností Zákazníka (resp. Partnera jako provozovatele).
- Poskytovatel odpovídá za vady a zranitelnosti Produktu: jejich posouzení, zmírňující opatření, opravu a informování Partnera.
- Jediným kontaktem Zákazníka pro technickou podporu je Partner (SLA čl. 1.2, 3.1). Poskytovatel komunikuje s Partnerem; přímé zapojení Poskytovatele lze dohodnout pro konkrétní incident.
- Zákonné ohlašovací povinnosti vůči NÚKIB, ČNB či ÚOOÚ plní Zákazník. Poskytovatel plní vlastní zákonné povinnosti jen ve vztahu ke svým systémům (licenční server) a jako výrobce softwaru.
Pojmy Incident, Bezpečnostní incident, Tiket a Upstream eskalace mají význam dle SLA.
2. Klasifikace (SLA čl. 5)¶
| Priorita | Kritéria (zkráceně) |
|---|---|
| P1 – Kritická | Úplná nedostupnost Produktu v produkci bez náhradního řešení; potvrzený nebo důvodně předpokládaný Bezpečnostní incident; kompromitace Bezpečnostních aktiv; porušení integrity dat; nedostupnost CA bránící vydávání či validaci certifikátů |
| P2 – Vysoká | Klíčová funkce podstatně omezena bez přiměřeného náhradního řešení; selhání auditního logování, MFA nebo > 25 % agentů; potenciální Bezpečnostní incident v šetření |
| P3 – Střední | Nekritická funkce omezena s náhradním řešením |
| P4 – Nízká | Kosmetická vada, dotaz, požadavek na funkci |
Prioritu navrhuje Zákazník, Partner ji může po diagnostice odůvodněně změnit; změna nesmí odložit reakci na možný Bezpečnostní incident (SLA čl. 5.1).
3. Oznamovací řetězec a lhůty¶
| Krok | Kdo → komu | Lhůta | Smluvní základ |
|---|---|---|---|
| Zákazník zjistí incident nebo zranitelnost Produktu | Zákazník → Partner a info@mazevault.com | Neprodleně, nejpozději do 72 hodin; bez zveřejnění do nápravy (zodpovědné zveřejnění) | Licenční podmínky čl. XI |
| Reakce Partnera na Tiket | Partner → Zákazník | Dle licenční varianty (např. P1: 1 pracovní den Standardní / 4 h Rozšířená / 60 min Prémiová); průběžné stavové aktualizace | SLA čl. 7 a tabulky |
| Upstream eskalace vady Produktu | Partner → Poskytovatel | P1 bez cesty k řešení po 2 hodinách | SLA čl. 12.1 |
| Reakce Poskytovatele na úplnou eskalaci | Poskytovatel → Partner | P1: 1 hodina; P2: 4 hodiny; P3: 1 pracovní den; P4: 3 pracovní dny; stavové aktualizace P1 každých 60 min | SLA čl. 8 a tabulka |
| Aktivně zneužívaná zranitelnost Produktu | Poskytovatel → Partner | Bezodkladné zahájení nouzové reakce; do 4 hodin dostupné předběžné varování a zmírňující opatření | SLA čl. 10.2 |
| Vydání bezpečnostní záplaty (cíl) | Poskytovatel | Kritická (CVSS ≥ 9,0 nebo přístup k Bezpečnostním aktivům): do 48 h; vysoká: do 7 dnů; střední/nízká: dle vydávacího cyklu, do 90 dnů | SLA tabulka záplat |
| Nasazení záplaty | Zákazník (provozovatel) | Kritická: do 7 dnů od vydání; vysoká: do 30 dnů; ostatní: nejbližší okno údržby, max. 90 dnů; přísnější zákonné lhůty mají přednost | Licenční podmínky čl. V; SLA tabulka záplat |
| Porušení zabezpečení osobních údajů | Partner → Zákazník; Poskytovatel → Partner a Zákazník (jen u údajů dle DPA čl. 2.3) | Bez zbytečného odkladu, nejpozději do 24 hodin od zjištění; doplňující informace postupně | DPA čl. 7 |
Lhůty vydání záplaty jsou předběžným cílem při vynaložení odborného úsilí; nelze-li je dodržet, Poskytovatel sdělí důvody, náhradní opatření a aktualizovaný odhad (SLA čl. 10.2). SLA nezakládá nárok na servisní kredit (SLA čl. 12.3).
4. Co Poskytovatel poskytne při incidentu¶
- produktovou triage, předběžné vyhodnocení příčiny, návrh diagnostického kroku, náhradního řešení nebo plánu opravy (SLA čl. 8.1),
- zmírňující opatření, není-li příčina známa (SLA čl. 8.1),
- bezpečnostní doporučení (security advisory) k potvrzené zranitelnosti: popis, dotčené verze, závažnost (CVSS), zmírnění, opravená verze — Partnerovi a Zákazníkům s aktivní licencí; u PoC licencí formou oznámení (Seznam nezbytných programů čl. 5),
- informace o příčině a nápravě vady Produktu jako podklad pro hlášení Zákazníka orgánu dohledu — prostřednictvím Partnera,
- uchování vlastních důkazů týkajících se vady Produktu.
Do Tiketu ani eskalace se nevkládají přístupové údaje, privátní klíče, hesla ani jiná tajemství; logy se předávají v minimalizované podobě (SLA čl. 6.2, 11.1).
5. Podpora Produktu pro řešení incidentů u Zákazníka¶
Produkt poskytuje Zákazníkovi funkce využitelné při vlastní reakci na incidenty — popis implementace v sekci Bezpečnost:
- auditní log s ochranou integrity (řetězení hashů) a exportem do SIEM (Auditní logování, Pravidla SIEM),
- revokace certifikátů, rotace klíčů a tajemství (Životní cyklus certifikátů),
- správa relací a revokace přístupů (Autentizace).
Retenci a dlouhodobou archivaci auditních záznamů zajišťuje Zákazník ve svém SIEM/archivu (SLA čl. 11 a tabulka auditních záznamů).
6. Výluky (SLA čl. 9.3)¶
Reakční a komunikační závazky se neuplatní v rozsahu, v jakém je incident způsoben nepodporovanou konfigurací, neoprávněnou úpravou Produktu, neaplikovanou bezpečnostní záplatou, infrastrukturou či službou třetí strany, porušením dokumentace, vyšší mocí nebo neposkytnutím součinnosti. Výluka nezbavuje Partnera ani Poskytovatele povinnosti incident přijmout, provést přiměřenou triage a sdělit zjištění.
7. Kontakty¶
| Účel | Kontakt |
|---|---|
| Hlášení incidentů a zranitelností Poskytovateli | info@mazevault.com (jediný komunikační e-mail Poskytovatele) |
| Hlášení incidentů Zákazníkem, technická podpora | Partner — kanál a kontakty dle Objednávky (SLA čl. 6.1, 13) |
| Manažerská eskalace | Partner → info@mazevault.com; potvrzení do 2 pracovních hodin (SLA čl. 12.2) |