Politica di divulgazione delle vulnerabilità
1. Finalità
FLEX-Elektrowerkzeuge GmbH (di seguito denominata "l'Organizzazione") si impegna a ricevere, valutare e gestire le segnalazioni di vulnerabilità relative alla cibersicurezza dei suoi prodotti con elementi digitali. La presente Politica descrive il nostro processo di divulgazione coordinata delle vulnerabilità e garantisce la nostra conformità ai requisiti applicabili del Regolamento (UE) 2024/2847 (il Regolamento dell'UE sulla ciberresilienza "EU Cyber Resilience Act" o "CRA").
Ci impegniamo a migliorare costantemente i nostri prodotti, concentrandoci sull’evoluzione delle esigenze del mercato, affrontando le minacce emergenti e adattandoci ai nuovi vettori di attacco.
2. Ambito di applicazione
Avrai la possibilità di segnalare una potenziale vulnerabilità relativa alla cibersicurezza, che puoi aver riscontrato nei seguenti prodotti durante il loro utilizzo:
Applicazioni (APP) e prodotti in grado di connettersi alle APP
Prodotti dotati di interfacce diagnostiche e relativi strumenti diagnostici controllabili a distanza
3. Modalità di segnalazione di una vulnerabilità
3.1 Canale di trasmissione
Ti preghiamo di non inviarci alcuna informazione relativa al problema tramite canali non sicuri. Ti invitiamo invece a trasmetterci le segnalazioni delle vulnerabilità tramite il nostro indirizzo e-mail:
Contatto per la sicurezza: psirt@flex-tools.com
Se la segnalazione contempla l'indicazione di codice exploit, credenziali di accesso, dati personali o altre informazioni sensibili, contattaci preventivamente, così ti forniremo un metodo di trasferimento sicuro e adeguato.
Si tratta di un punto di contatto monitorato da personale qualificato, che non si limita all'uso di strumenti automatizzati.
3.2 Contenuto della segnalazione
I segnalanti dovrebbero fornire, per quanto possibile, le seguenti informazioni al fine di garantire un triage efficiente:
Prodotto o app interessati: nome e versione, versione del firmware o del software esatti (indispensabile)
Descrizione della vulnerabilità: una descrizione dettagliata della vulnerabilità e del suo potenziale impatto
Procedura da seguire: istruzioni passo-passo, compresi i dettagli relativi agli strumenti e all'ambiente di lavoro
Documentazione a sostegno: screenshot, acquisizioni di rete, log o codice Proof of Concept (PoC)
Valutazione della gravità: raccomandato punteggio CVSS v3.1 o v4.0
Informazioni di contatto: indirizzo e-mail o altri recapiti per ulteriori comunicazioni (indispensabili)
3.3 Linee guida per ricerche sulla sicurezza
Quando effettui ricerche o test sulla sicurezza, ti preghiamo di:
evitare di accedere a dati appartenenti ad altri utenti, di copiarli, modificarli o cancellarli;
non ricorrere a tecniche di ingegneria sociale, truffe informatiche (phishing), attacchi per il blocco dei servizi (denial-of-service), attacchi fisici o altri metodi atti ad arrecare pregiudizio ai nostri prodotti, servizi o utenti;
limitare i test a quanto ragionevolmente necessario per confermare e documentare la vulnerabilità;
interrompere i test e avvisarci tempestivamente qualora tu acceda a dati personali, credenziali, informazioni riservate o sistemi al di fuori dell'ambito previsto; e di
non divulgare pubblicamente la vulnerabilità prima di concederci una ragionevole opportunità di indagare e porvi rimedio, nel rispetto della normativa vigente.
Questa Politica non autorizza comportamenti illeciti o che superino i permessi di accesso che ti sono stati concessi.
4. Processo di gestione delle vulnerabilità
Il Product Security Incident Response Team (PSIRT) effettuerà la valutazione delle vulnerabilità e l'analisi dei rischi non appena riceverà una segnalazione di vulnerabilità. Le vulnerabilità accertate saranno risolte e divulgate, mantenendo i necessari contatti con il segnalante. Se si conferma che la vulnerabilità risiede in un componente a monte, lo PSIRT lo comunicherà al fornitore.
Prima di qualsiasi divulgazione al pubblico, entrambe le parti dovrebbero raggiungere un accordo sui seguenti punti:
Data della divulgazione
Contenuto di qualsiasi annuncio o dichiarazione pubblici
Periodo di non divulgazione necessario per tutelare gli utenti
5. Riservatezza
L'Organizzazione garantirà la riservatezza delle segnalazioni di vulnerabilità e non condividerà i dati personali dei segnalanti con terzi senza il loro esplicito consenso, salvo nei casi previsti dalla legge.
Il segnalante può anche scegliere di rimanere anonimo; tuttavia, l’anonimato potrebbe limitare la capacità dell’Organizzazione di fornirgli ulteriori comunicazioni in merito.
6. Divulgazione delle vulnerabilità risolte
Non risultano vulnerabilità risolte registrate.