協調式弱點揭露（CVD）政策
瑞傳科技 (Portwell) 致力於打造安全的產品，並在產品的支援生命週期內，負責任地回應產品資安漏洞通報。
我們的承諾
瑞傳科技 ( Portwell ) 重視外部安全研究人員、客戶、合作夥伴及其他利害關係人所提出的資安弱點通報。我們依循協調式弱點揭露（Coordinated Vulnerability Disclosure, CVD）原則，以負責任、透明且以降低客戶風險為核心的方式處理已通報或疑似存在的弱點。我們致力於和通報者保持建設性的合作關係，妥善評估影響範圍、安排修補或緩解措施，並在適當時機協調對外揭露。
資安治理與法規韌性
瑞傳科技 ( Portwell ) 於 2026 年取得 IEC G2443-4-1 認證，持續將安全開發生命週期、產品弱點管理及供應鏈協作納入產品資安治理。我們的揭露與通報活動將視適用情況，與歐盟 Cyber Resilience Act（CRA）的要求保持一致，包括對已遭積極利用的弱點、重大資安事件及相關修補措施進行適當評估與協調。然而，本政策的目的不限於 CRA；瑞傳科技 ( Portwell ) 也致力於符合或支援其他適用的產品資安、資安韌性、隱私及通報法規與客戶契約要求。
適用範圍
本政策適用於仍在支援生命週期內的標準瑞傳科技 ( Portwell ) 產品、韌體、軟體、瑞傳科技 ( Portwell ) 營運的服務及官方網站。客製化產品、已終止支援產品或第三方元件，瑞傳科技 ( Portwell ) 將在合理可控制的修補或協調範圍內處理；個別客製化產品的責任仍以適用合約為準。本政策不取代產品文件、保固條款、服務合約或法令上的義務。
漏洞通報
通報政策與原則
瑞傳科技 ( Portwell ) 致力於建立嚴謹、可追溯且持續改善的產品資安漏洞管理機制，並向客戶提供可靠的產品資安資訊、風險評估與可行的緩解建議，以降低產品資訊安全漏洞可能造成的影響。我們設立產品資安事件應變小組（Product Security Incident Response Team, PSIRT），作為產品資安事件與漏洞通報的專責窗口，統籌通報受理、技術驗證、風險評估、修補協調及對外揭露相關作業。
瑞傳科技 ( Portwell ) 持續參考國際標準、法規要求及產業公認實務，精進漏洞處理流程與應變能力，並與研究人員、客戶、供應商及其他利害關係人進行適當協作。透過及時、負責任且透明的處理方式，我們致力於強化工業與嵌入式產品的資安韌性，成為客戶值得信賴的產品資安合作夥伴。
通報窗口與注意事項
請將產品或服務的潛在資安漏洞寄送至 Portwell PSIRT。為提升驗證、調查與回應效率，通報內容請盡可能包含下列資訊；所列項目為建議內容，並非限制通報人提供其他有助於判斷的資料。
- 通報者的聯絡資訊，包括姓名、所屬單位與電子郵件地址。
- 受影響的瑞傳科技 ( Portwell ) 產品名稱、型號、硬體版本，以及韌體或軟體版本。
- 漏洞的技術描述、預期與實際行為，以及已知或可能的影響。
- 可重現問題的步驟；如適用，請說明所需設備、軟體、組態、網路環境及操作順序。
- 概念驗證（PoC）、螢幕截圖、日誌、封包側錄、非惡意測試程式碼或其他佐證資料。
- 攻擊者可能利用該弱點的方式、必要條件及可能的攻擊流程。
- 其他有助於釐清漏洞範圍、影響或修補建議的資訊。
為了讓提交流程盡可能簡便，我們提供兩種通報方式：
選項 1：安全電子郵件（適用於機密附件）
如果您的通報包含高度機密的佐證資料（例如詳細的紀錄檔或 PoC 測試程式碼），我們強烈建議您透過電子郵件使用 PGP 加密。
※ 請使用瑞傳的公鑰對機密的通報內容進行加密。
個資保護 :
為安全提交敏感資訊，您可使用 瑞傳科技 ( Portwell ) 提供的公開金鑰加密電子郵件內容。請僅提供處理通報所必要的個人資料，並避免傳送不必要的客戶資料、憑證或其他未經授權分享的資訊。
善意研究保障 :
對於以善意進行、遵循本政策並以識別及降低資安風險為目的的漏洞研究，瑞傳科技 ( Portwell ) 不會僅因該等合規研究而對安全研究人員採取法律行動。
資安漏洞管理程序
瑞傳科技 ( Portwell ) 持續依據國際標準、適用法規與業界公認實務，強化產品資安漏洞的辨識、評估、修補及揭露能力。本程序以協調式弱點揭露精神為基礎，兼顧通報者溝通、客戶保護、產品安全與法規遵循；時程將依風險、可重現性、受影響範圍、可利用性與案件複雜度調整。除另有明示的法定義務外，下列時程為作業目標，並非對個別案件的保證。
第一階段：首次事件回應
PSIRT 收到外部對瑞傳科技 ( Portwell ) 產品提出的漏洞通報後，將進行收件登錄、初步確認及溝通窗口建立。我們的目標是在兩個工作天內回覆通報者，確認已受理並在可行範圍內說明後續處理方式；必要時，PSIRT
會要求補充資訊以利驗證與調查。
第二階段：評估與分類
PSIRT 將儘速確認通報的可重現性，並依漏洞特徵、受影響產品與版本、可利用性、暴露程度、營運或安全影響，以及可用的補償性控制進行風險分類與初步分析。每一項已受理之漏洞通報均將指派唯一追蹤編號，並納入瑞傳科技 ( Portwell ) 漏洞管理流程進行追蹤與管理。相關紀錄、評估結果、修補措施及揭露決策將予以保存，以支援產品資安管理、法規遵循及持續改善。我們的目標是在取得足夠資訊後 24小時內向通報者提供初步評估或進度說明。對於適用 CRA 或其他法規所定通報義務的案件，Portwell將依法律規定評估是否需向指定主管機關、協調 CSIRT 或 ENISA 等相關單位進行通知；例如，CRA 適用且確認為已遭積極利用的弱點時，將依規定於知悉後最遲 24 小時內提出預警通報。
第三階段：調查與通報
瑞傳科技 ( Portwell ) 將由 PSIRT 協調產品工程、品質、供應商及其他必要單位，調查漏洞根因、受影響範圍、利用條件與潛在影響，並研擬初步修正或緩解措施。我們的目標是在 72 小時內完成可行的初步調查與資訊整理，並向通報者說明已知的漏洞性質、影響概況及可採取的措施。若案件觸發適用法規的外部通報義務，Portwell將於法定時限內提供所需資訊；例如，在 CRA 適用且確認為已遭積極利用的弱點時，相關通知須於知悉後最遲 72小時內完成，並包含已知的一般性漏洞、利用情形及修正或緩解措施資訊。如通報之漏洞涉及第三方軟體、韌體、硬體元件、開源軟體或外部供應商，Portwell 得依實際情況與相關供應商、維護者、開發者或其他受影響之利害關係人協調修補、風險緩解及揭露作業。
第四階段：修復與驗證
瑞傳科技 ( Portwell ) 相關單位將共同開發、測試及驗證軟體、韌體、設定調整或其他適當的修復與緩解措施。對於已知遭利用或具重大影響的弱點，瑞傳科技 ( Portwell ) 將優先評估可立即採取的風險降低措施，並在修正或緩解方案可用時通知通報者及受影響客戶。適用 CRA的案件，若法規要求最終報告，瑞傳科技 ( Portwell ) 將依規定在修正或緩解措施可用後最遲 14 天內提交所需報告。
第五階段：協調揭露
瑞傳科技 ( Portwell ) 將依據完成的技術分析、客戶風險、修補可用性及適用法規，與通報者協調合理的揭露時程。確認後的產品資安漏洞得透過官網資安通告（Security Advisory）公開說明，內容可包括漏洞描述、可能受影響的產品與版本、風險資訊、可行的緩解措施、修補計畫或安全更新資訊，以及必要的修訂紀錄。若存在已知積極利用、即時安全或營運風險、事前公開揭露，或法令要求，瑞傳科技 ( Portwell ) 得於完整修補完成前發布必要且適度的資訊或緩解建議。
善意研究與安全港原則
對於以善意、遵循本政策、以識別及降低資安風險為目的且及時通報的研究活動，瑞傳科技 ( Portwell ) 將視為獲授權的安全研究。研究人員應僅使用自己擁有或已獲授權的帳號、設備與資料，將影響降到最低，並於發現個人、機密、憑證或客戶資料時立即停止。請在協調揭露前對未公開的弱點資訊保密。此承諾不適用於阻斷服務、破壞性或影響可用性的測試、社交工程、網路釣魚、實體入侵、憑證竊取、惡意程式、持久化、大規模掃描、暴力破解或任何違反適用法律的行為。
隱私、保密與責任保留
瑞傳科技 ( Portwell ) 僅會將通報資訊用於收件、驗證、風險評估、修補、供應鏈協調、資安改善及適用之法規遵循。除非為處理弱點、遵循法律義務或已取得適當同意所必需，我們不會公開通報者身分或未公開技術細節。本政策不是漏洞獎勵計畫，不保證報酬、致謝、特定修補方式或完成日期。瑞傳科技 ( Portwell ) 得因法規、產品或威脅情勢變化更新本政策。
聯絡方式
如需通報疑似弱點或詢問本政策，請聯絡 [email protected]