Sicurezza dei prodotti ECS – Segnalazione di una vulnerabilità
ECS S.r.l. Unipersonale (in seguito ECS) considera la sicurezza dei propri prodotti una priorità e accoglie con favore le segnalazioni di vulnerabilità da parte di ricercatori di sicurezza, clienti e utenti. Questa pagina descrive come segnalare una vulnerabilità e come la gestiamo, secondo un modello di divulgazione coordinata (Coordinated Vulnerability Disclosure).
Ambito. Questa politica copre tutte le schede elettroniche sviluppate da ECS e il relativo firmware, oltre ai servizi e alle interfacce della piattaforma cloud associata ai nostri prodotti. Sono esclusi prodotti di terzi non forniti da ECS e attività che violino la legge o la privacy di terzi.
Come segnalare una vulnerabilità
Inviare la segnalazione a: product-security@ecsproject.com
Per aiutarci a valutare rapidamente la segnalazione, includere quando possibile:
- descrizione della vulnerabilità e del suo potenziale impatto;
- prodotto, modello e versione firmware interessati;
- passi per riprodurre il problema (proof of concept, se disponibile);
- configurazione e condizioni in cui si manifesta;
- un recapito per il coordinamento
I nostri impegni e le tempistiche
| Fase | Tempistica target |
|---|---|
| Conferma di ricezione | Entro 3 giorni lavorativi |
| Valutazione iniziale e triage | Entro 10 giorni lavorativi |
| Aggiornamenti periodici al segnalante | Almeno ogni 30 giorni fino a risoluzione |
| Sviluppo e rilascio della correzione | Secondo la severità della vulnerabilità |
| Divulgazione coordinata | Concordata con chi ha segnalato, di norma dopo il rilascio della correzione |
Principi di divulgazione coordinata
ECS e chi effettua la segnalazione concordano insieme tempi e contenuti dell’eventuale divulgazione pubblica. La divulgazione avviene di norma dopo che una correzione o mitigazione è disponibile, per non esporre gli utenti nel frattempo. Se una vulnerabilità risulta attivamente sfruttata, si applicano inoltre gli obblighi di notifica alle autorità competenti (ENISA/CSIRT Italia).
Impegno a non intraprendere azioni legali
A seguito della segnalazione di una vulnerabilità, ECS non intraprenderà azioni legali nei confronti di chi l’ha segnalata in buona fede e nel rispetto di questa politica, a condizione che chi segnala:
- agisca senza intento malevolo;
- non comprometta la riservatezza, l’integrità o la disponibilità dei dati altrui oltre il minimo necessario a dimostrare il problema;
- non esegua attacchi di tipo denial-of-service;
- non divulghi pubblicamente la vulnerabilità prima che sia stato concordato un coordinamento con ECS;
- rispetti le leggi applicabili.
Riconoscimenti
Con il consenso di chi ha effettuato la segnalazione, ECS può riconoscerne pubblicamente il contributo. Al momento il programma non prevede ricompense economiche, salvo diversa indicazione futura.
