Segnalazione coordinata delle vulnerabilità

MC Elettronica progetta e produce sistemi elettronici per macchine agricole e industriali. La sicurezza dei nostri prodotti è parte della loro qualità. Se hai individuato una possibile vulnerabilità di sicurezza in un nostro prodotto o servizio, vogliamo saperlo e lavorare con te per risolverla.

Come segnalare
Scrivi a cybersecurity@mcelettronica.it oppure usa il modulo alla pagina
https://www.mcelettronica.it/cybersecurity-normativa-cra/ . Per aiutarci a verificare rapidamente, includi quando possibile:

• Il prodotto e la versione del firmware interessati.
• Una descrizione della vulnerabilità e del suo potenziale impatto.
• I passaggi per riprodurla (configurazione, condizioni, eventuali proof-of-concept).
• Come preferisci essere ricontattato e se desideri il riconoscimento pubblico.
  
  

I nostri impegni

• Conferma di ricezione della segnalazione entro 3 giorni lavorativi.
• Forniamo una prima valutazione entro 10 giorni lavorativi.
• Ti teniamo aggiornato sullo stato della risoluzione e concordiamo con te i tempi di
  pubblicazione.
• Trattiamo la tua segnalazione con riservatezza e non condividiamo i tuoi dati senza il tuo
  consenso, salvo obblighi di legge.
  
  

Tempi di divulgazione
Adottiamo una divulgazione coordinata. Concordiamo la pubblicazione dei dettagli dopo che una
correzione è disponibile, di norma entro 90 giorni dalla conferma della vulnerabilità. Per problemi
che richiedono modifiche hardware o cicli di rilascio più lunghi, possiamo estendere il termine fino a
120 giorni, informandoti. L’obiettivo comune è proteggere gli utenti prima della divulgazione
pubblica.

Cosa ti chiediamo (safe harbor)
Se segnali in buona fede e nel rispetto di questa policy, consideriamo la tua attività di ricerca
autorizzata: non avvieremo né sosterremo azioni legali nei tuoi confronti per la ricerca e la
segnalazione. In cambio ti chiediamo di:

• Agire in buona fede ed evitare violazioni della privacy, interruzioni del servizio, distruzione di
  dati o danni ai sistemi e alle macchine.
• Limitarti a quanto necessario per dimostrare la vulnerabilità; non accedere, modificare o
  esfiltrare dati altrui più del necessario.
• Non sfruttare la vulnerabilità oltre la dimostrazione, e non divulgarla a terzi prima della
  pubblicazione concordata.
• Non eseguire test su macchine in esercizio dove possa essere messa a rischio la sicurezza di
  persone o cose.
  
  

Restano esclusi: il reverse engineering a fini commerciali e la pubblicazione di dati riservati o di terzi.
La buona fede e il rispetto di questa policy sono condizione del safe harbor.

Riconoscimento
Non offriamo ricompense economiche. Su tua richiesta, riconosciamo pubblicamente il tuo
contributo (nome o pseudonimo) nei nostri security advisory, una volta risolta la vulnerabilità.

Ambito
Questa policy riguarda i prodotti e i servizi di MC Elettronica. Le segnalazioni relative a prodotti di
terzi integrati nei nostri sistemi saranno, ove possibile, inoltrate al fornitore competente.