Politica di gruppo sulla segnalazione responsabile

Introduzione

Verisure si impegna a garantire la sicurezza dei propri Prodotti e Sistemi e di tutti i dati di clienti, partner e dipendenti. Apprezziamo la collaborazione con la nostra comunità di utenti e ricercatori, che possono contribuire all’individuazione delle vulnerabilità nella sicurezza nei nostri Prodotti e Sistemi. 

La presente Politica descrive la procedura per una segnalazione responsabile delle Vulnerabilità nella Sicurezza, con l’obiettivo di facilitare una collaborazione efficace e una rapida risoluzione dei problemi di sicurezza. La presente Politica stabilisce le linee guida per segnalare e gestire le Vulnerabilità nella Sicurezza in modo responsabile, in base alle regole di intervento descritte di seguito, e si applica a qualsiasi Vulnerabilità nella Sicurezza tu stia valutando di segnalare a Verisure.

Consigliamo di leggere la presente Politica per intero prima di segnalare una potenziale Vulnerabilità nella Sicurezza.

Ricordiamo che Verisure non offre premi monetari per le segnalazioni delle Vulnerabilità nella Sicurezza.

Come segnalare una Vulnerabilità

Verisure indaga su tutte le segnalazioni di Vulnerabilità nella Sicurezza che interessano Prodotti e Servizi. Se ritieni di aver rilevato una Vulnerabilità nella Sicurezza in un Prodotto o Servizio Verisure, invia la segnalazione della vulnerabilità tramite l’apposito modulo sottostante, fornendo dettagli sufficienti per consentirci di riprodurre e indagare sulle azioni che hai eseguito. Tutti i campi obbligatori devono essere compilati correttamente e quando si segnala una Vulnerabilità nella Sicurezza ai sensi della presente Politica è essenziale mantenere la riservatezza. Ti chiediamo di non rendere pubblicamente nota l’indagine fino a quando Verisure non l’avrà completata, non avrà risolto o mitigato la Vulnerabilità nella Sicurezza e non ti avrà autorizzato a farlo.

Politica di Gruppo sulla segnalazione responsabile | Verisure

Fasi successive

Una volta inviata la segnalazione, Verisure informerà il segnalatore della sua corretta ricezione e ne inizierà la classificazione. Verisure può contattare il segnalatore tramite il portale web anonimo per raccogliere ulteriori informazioni sulla segnalazione e tenerlo aggiornato sui progressi fino alla chiusura.

Il nostro processo interno volto ad affrontare la Vulnerabilità nella Sicurezza inizierà rivedendo la segnalazione e determinandone l’impatto, la gravità e la complessità prima di implementare le azioni correttive appropriate.

Verisure si riserva il diritto di condividere con le parti interessate i contenuti della segnalazione inviata sulla Vulnerabilità nella Sicurezza e qualsiasi risultato successivo, ma non renderà noti i dettagli associati al segnalatore.

Prodotti o Servizi di terzi

I prodotti, i sistemi e i dati che non sono di proprietà di Verisure non sono coperti dalla presente Politica. Se i segnalatori desiderano eseguire ricerche o test su questi sistemi, devono seguire le politiche di segnalazione responsabile fornite dai rispettivi terzi.

Regole di intervento

Verisure apprezza gli sforzi e i contributi della comunità di ricerca sulla sicurezza e richiede di rispettare le seguenti regole. Verisure non avvierà azioni legali nei confronti di segnalatori che hanno scoperto e reso note le Vulnerabilità nella Sicurezza in buona fede e in conformità alla presente Politica.

Il segnalatore non deve:

• violare le leggi o i regolamenti applicabili;
• introdurre una nuova Vulnerabilità nella Sicurezza o tentare di sfruttare quella esistente;
• svolgere attività di ingegneria sociale o phishing ai danni di clienti o dipendenti;
• richiedere un compenso finanziario in cambio della segnalazione di una Vulnerabilità nella Sicurezza;
• accedere a sistemi o dati oltre a quelli necessari per identificare e segnalare una Vulnerabilità nella Sicurezza;
• manomettere i dispositivi dei sistemi di allarme o i sistemi appartenenti a clienti esistenti, anche se sono i propri;
• modificare, copiare, condividere, danneggiare o comunque influire sui dati trattati o archiviati nei Prodotti o Sistemi Verisure;
• utilizzare strumenti di scansione ad alta intensità, invasivi o distruttivi per individuare Vulnerabilità nella Sicurezza o eseguire attività di disturbo tra cui, a titolo esemplificativo ma non esaustivo, attacchi di forza bruta, attacchi denial-of-service o attacchi fisici contro strutture o data center di Verisure;
• interrompere i segnali di allarme, le notifiche o manomettere fisicamente il proprio sistema di allarme in qualsiasi modo;
• eseguire test o ricerche contro servizi o sistemi di terzi non appartenenti a Verisure, ad esempio contro l’infrastruttura di fornitori di servizi cloud esterni;
• accedere a quantità di dati non necessarie, eccessive o significative oltre a quelle necessarie per rilevare e confermare la Vulnerabilità nella Sicurezza.

Il segnalatore deve:

• accedere ai dati e ai sistemi solo nella misura necessaria a confermare l’esistenza di una Vulnerabilità nella Sicurezza;
• interrompere le attività di ricerca e/o test dopo aver confermato l’esistenza di una Vulnerabilità nella Sicurezza e segnalare i risultati a Verisure senza indugio;
• eliminare in modo sicuro tutti i dati recuperati durante la ricerca non appena la Vulnerabilità nella Sicurezza è stata segnalata e la conferma di accettazione da parte di Verisure è stata ricevuta;
• attendere l’approvazione scritta di Verisure prima di rendere pubblicamente noti i dettagli della Vulnerabilità nella Sicurezza. Anche il contenuto della segnalazione pubblica deve essere approvato da Verisure.

Cosa non segnalare:

• Segnalazioni duplicate delle stesse Vulnerabilità nella Sicurezza.
• Inviare segnalazioni che descrivono Vulnerabilità nella Sicurezza non sfruttabili.
• Bug dell’interfaccia utente, bug dell’esperienza utente o errori di ortografia.
• Inviare segnalazioni che indicano che i Prodotti e i Servizi non sono completamente in linea con le “best practice”, ad esempio in caso di intestazioni di sicurezza mancanti o self cross-site scripting.

Verisure deve:

• confermare la ricezione della segnalazione della Vulnerabilità nella Sicurezza entro 30 giorni dalla ricezione;
• fornire aggiornamenti sulla situazione al segnalatore con cadenza bisettimanale dalla conferma della ricezione di cui sopra fino alla chiusura della segnalazione sulla Vulnerabilità nella Sicurezza;
• comunicare una decisione scritta in merito alla possibilità o meno che il segnalatore possa rendere pubblicamente nota la Vulnerabilità nella Sicurezza. Se precedentemente concordato da Verisure, Verisure deve rivedere il contenuto della segnalazione pubblica prima della pubblicazione.

Definizioni

Vulnerabilità nella Sicurezza    

Vulnerabilità nella sicurezza specifiche riscontrate nei Prodotti o nei Servizi Verisure, che rappresentano una debolezza riscontrata nei componenti software o hardware che, se sfruttata, può avere un impatto negativo sulla riservatezza, sull’integrità o sulla disponibilità dei dati o dei servizi Verisure.

Prodotto/Servizio Verisure

Prodotti o sistemi sviluppati o fabbricati da Verisure. I prodotti, i sistemi e i dati che non sono di proprietà di Verisure non sono coperti dalla presente Politica.

Domande e assistenza

Per gestire le Segnalazioni delle Vulnerabilità nella Sicurezza abbiamo designato il team addetto alla sicurezza di Verisure, che può essere contattato compilando e inviando il modulo qui sotto.