Product Security / PSIRT

La presente politica si applica a tutti i sistemi, le applicazioni e i servizi di GRIMME accessibili al pubblico, salvo espressa esclusione. 

Non rientrano nell'ambito di applicazione: 

• Attacchi Denial-of-Service (DoS) o test di carico
• Ingegneria sociale
• Attacchi fisici
• Attacchi a terzi o fornitori 

La gestione delle segnalazioni di vulnerabilità ricevute viene effettuata a livello centrale dal GRIMME Product Security Incident Response Team (PSIRT). 

Il PSIRT è responsabile di: 

• la ricezione e la documentazione delle segnalazioni
• la valutazione tecnica e la definizione delle priorità delle vulnerabilità
• il coordinamento interno delle misure di analisi e di risoluzione
• la comunicazione esterna coordinata delle informazioni rilevanti per la sicurezza 
  

Sosteniamo una ricerca responsabile in materia di sicurezza e ci impegniamo a non intraprendere azioni legali nei confronti di persone che agiscono in buona fede e rispettano la presente linea guida. 

Ciò vale in particolare alle seguenti condizioni: 

• Non vengono consultati, modificati o sottratti dati di terzi, salvo nella misura in cui ciò sia inevitabile e strettamente necessario per dimostrare la vulnerabilità.
• Non vengono compromessi intenzionalmente sistemi (ad es. tramite attacchi DoS, cancellazione di dati o interruzione del servizio).
• Le vulnerabilità individuate ci vengono segnalate immediatamente e in via riservata e non vengono rese pubbliche prima che abbiamo avuto tempo sufficiente per porvi rimedio. 

Nell’ambito delle presenti condizioni, consideriamo le vostre attività autorizzate e non intraprenderemo alcuna azione civile o penale. Qualora fossero involontariamente coinvolti dati sensibili, ci aspettiamo che non li salviate, non li divulghiate né li utilizziate in altro modo e che ci informiate immediatamente. 

Si prega di notare che il presente «Safe Harbor» non si applica ad attività che violino la legge vigente o che vadano oltre le condizioni sopra menzionate. 

GRIMME segue il principio della gestione coordinata delle vulnerabilità. Tutte le segnalazioni ricevute vengono trattate in modo riservato e sottoposte a verifica, valutazione e definizione delle priorità da parte del PSIRT. La divulgazione esterna di informazioni rilevanti per la sicurezza avviene in modo coordinato e solo dopo il completamento della valutazione e l’attuazione di adeguate misure correttive. L’obiettivo è ridurre al minimo i rischi per i clienti e gli operatori ed evitare divulgazioni non verificate o senza patch. 

In caso di vulnerabilità o incidenti di sicurezza soggetti a obbligo di segnalazione, ci riserviamo il diritto di trasmettere le informazioni alle autorità competenti e agli organismi di vigilanza in conformità con i requisiti di legge vigenti.  

Si prega di tenere presente che, a causa di disposizioni di legge, requisiti di riservatezza o indagini in corso, potremmo non essere in grado di divulgare tutti i dettagli relativi alle vulnerabilità segnalate o di comunicare lo stato completo dell’elaborazione.  

È quindi possibile che un riscontro al segnalante avvenga solo dopo una valutazione conclusiva o con la pubblicazione di un’informazione sulla sicurezza.