Scopo
Exentec si impegna a mantenere la sicurezza, la protezione e la resilienza informatica dei propri prodotti con elementi digitali.
La presente Politica di divulgazione coordinata delle vulnerabilità (CVD) spiega come ricercatori di sicurezza, clienti, partner e altre terze parti possono segnalare vulnerabilità a Exentec e come queste vengono gestite, corrette e divulgate.
La presente politica supporta il processo di gestione delle vulnerabilità di Exentec e i suoi obblighi ai sensi delle leggi sulla cibersicurezza applicabili, incluso il Regolamento (UE) 2024/2847 (Cyber Resilience Act).
Ambito di applicazione
La presente politica si applica alle sospette vulnerabilità di sicurezza che interessano i prodotti Exentec con elementi digitali, inclusi firmware, software, componenti incorporati e, ove applicabile, servizi digitali necessari affinché un prodotto possa svolgere le proprie funzioni previste.
Esclusi dall'ambito di applicazione:
- Vulnerabilità di sicurezza fisica prive di impatto sulla cibersicurezza
- Servizi di terze parti non sotto il controllo di Exentec
- Ingegneria sociale, phishing, spam o attacchi fisici
- Test di denial-of-service, test di carico o attività disruptive
Qualora una problematica segnalata riguardi un componente di terze parti incorporato in un prodotto Exentec, Exentec può valutare e coordinare la segnalazione con il fornitore o il manutentore pertinente, ove opportuno.
Come segnalare una vulnerabilità
Si prega di segnalare le sospette vulnerabilità a Exentec via email:
Email: security@exentec.net
Le segnalazioni dovrebbero essere inviate in inglese, ove possibile.
Exentec tratta le segnalazioni di vulnerabilità e le relative comunicazioni come riservate e gestisce le informazioni in conformità agli obblighi applicabili in materia legale, normativa, di riservatezza e di protezione dei dati.
Si prega di non segnalare vulnerabilità di sicurezza tramite forum pubblici o social media.
Informazioni da includere nella segnalazione
Si prega di includere il maggior numero possibile delle seguenti informazioni:
- Prodotto interessato, inclusi modello, versione del firmware o del software e dettagli di configurazione, ove disponibili
- Descrizione della vulnerabilità, incluso il potenziale impatto e istruzioni dettagliate per riprodurla
- Informazioni di supporto, come codice proof-of-concept, log, tracce o altre evidenze tecniche
- Riferimenti pubblici, se presenti. Si prega di indicare se la vulnerabilità è già stata divulgata pubblicamente o è attivamente sfruttata
I tuoi recapiti (facoltativi)
Come Exentec gestisce le segnalazioni di vulnerabilità
Exentec adotta un processo di divulgazione coordinata delle vulnerabilità volto a supportare una segnalazione responsabile, una correzione tempestiva, la riduzione del rischio e un'appropriata divulgazione pubblica.
Ove opportuno, Exentec può:
- Confermare la ricezione della segnalazione
- Convalidare e valutare la vulnerabilità
- Determinare la gravità e il potenziale impatto
- Sviluppare misure correttive o mitigative
- Coordinarsi con fornitori, manutentori o partner interessati
Pubblicare un avviso di sicurezza, ove opportuno
Exentec può comunicare con il segnalante durante il processo di valutazione e correzione qualora siano necessarie ulteriori informazioni o chiarimenti.
Gli avvisi di sicurezza possono includere prodotti interessati, gravità, identificativo CVE, indicazioni per la correzione, versioni corrette e riconoscimento del segnalante, ove concordato.
Segnalazione ai sensi del Cyber Resilience Act dell'UE
Ove richiesto dal Regolamento (UE) 2024/2847 (Cyber Resilience Act), Exentec segnalerà le vulnerabilità attivamente sfruttate e gli incidenti di sicurezza gravi che interessano prodotti con elementi digitali al CSIRT designato e a ENISA entro i termini di legge applicabili.
Safe Harbour
Exentec accoglie e sostiene la ricerca sulla sicurezza condotta in modo responsabile.
Exentec non intende intraprendere azioni legali contro persone che agiscono in buona fede, rispettano la presente politica, evitano danni a utenti e sistemi e concedono a Exentec un'opportunità ragionevole di indagare e porre rimedio alle vulnerabilità segnalate prima della divulgazione pubblica.
Il presente safe harbour si applica solo alla ricerca sulla sicurezza lecita, responsabile e non disruptive e non si applica ad attività illecite, malevole, imprudenti, ingannevoli o dannose.
Coordinamento della supply chain
Qualora una vulnerabilità interessi un componente di terze parti o open-source utilizzato all'interno di un prodotto Exentec, Exentec può coordinare le attività di correzione e divulgazione con il fornitore, il manutentore, il produttore o il progetto upstream pertinente.
Si prega di includere nomi dei componenti, versioni, repository o dettagli del fornitore, ove disponibili.
Riservatezza e riconoscimento
Exentec tratta le segnalazioni di vulnerabilità come riservate e si aspetta che i segnalanti facciano lo stesso fino a quando non sia avvenuta la divulgazione coordinata o Exentec non abbia approvato la divulgazione pubblica.
Con il consenso del segnalante, Exentec può riconoscere pubblicamente persone o organizzazioni che segnalano in modo responsabile vulnerabilità confermate.
Esclusione di responsabilità
La presente politica costituisce un invito volontario a segnalare vulnerabilità e non crea obblighi contrattuali ulteriori rispetto a quelli previsti dalla legge applicabile.
Nessuna disposizione della presente esclusione di responsabilità è intesa a limitare gli obblighi di Exentec ai sensi della legge applicabile, incluso il Cyber Resilience Act ove applicabile.