Politica di divulgazione delle vulnerabilità del Gruppo Kistler

Il Gruppo Kistler accoglie i feedback dei ricercatori della sicurezza e del pubblico come contributi al miglioramento della sicurezza. Se ritenete di aver scoperto una vulnerabilità, un problema di privacy, dati esposti o altri problemi di sicurezza in una delle nostre risorse, non esitate a comunicarcelo. Questa politica illustra come segnalare le vulnerabilità, cosa ci aspettiamo e cosa potete aspettarvi da noi.

Sistemi che rientrano nell’ambito di applicazione

La presente politica si applica a

Tutti i prodotti del Gruppo Kistler
Tutti i sistemi del Gruppo Kistler connessi in rete
La semplice assenza di una funzione di sicurezza non è considerata una vulnerabilità.
Non siamo interessati ai risultati comunemente generati dagli scanner automatici, come intestazioni HTTP mancanti, configurazioni, flag dei cookie, clickjacking, ecc., salvo nel caso in cui questi si possano utilizzare per creare un PoC exploit significativo.

Sistemi esclusi dall’ambito di applicazione

Sistemi generali esclusi dall’ambito di applicazione

Attacchi di tipo DoS (Denial of Service)
Social engineering
Phishing
Accesso fisico alle strutture di Kistler o dei suoi partner
Beni o altre attrezzature non di proprietà delle parti che aderiscono alla presente politica

Le vulnerabilità scoperte o sospettate nei sistemi esclusi dall’ambito devono essere segnalate al relativo fornitore o all’autorità competente.

Sistemi speciali che rientrano nell’ambito di applicazione

www.kistler.com: sito web principale, siamo interessati solo alle vulnerabilità critiche come l’esecuzione di codice da remoto (RCE)

I nostri impegni

In virtù della presente politica, lavorando con noi potete aspettarvi che:
Rispondiamo prontamente alla vostra segnalazione e collaboriamo con voi per comprenderla e convalidarla
Ci sforziamo di tenervi informati sullo stato di avanzamento dell’elaborazione di una vulnerabilità
Ci adoperiamo per rimediare alle vulnerabilità scoperte con tempestività, nel rispetto dei nostri vincoli operativi
Estendiamo i principi dell’approdo sicuro (Safe Harbor) alle ricerche sulla vulnerabilità inerenti alla presente politica

Le nostre aspettative

A chi partecipa in buona fede al nostro programma di divulgazione delle vulnerabilità, chiediamo di:

Rispettare le regole, compresa l’osservanza di questa politica e di qualsiasi altro accordo pertinente. In caso di incongruenza tra la presente politica e qualsiasi altro termine applicabile, prevarranno i termini della presente politica
Segnalare tempestivamente qualsiasi vulnerabilità scoperta
Evitare di violare la privacy di terzi, di interrompere i nostri sistemi, di distruggere i dati e/o di compromettere l’esperienza degli utenti
Utilizzare solo i canali ufficiali per discutere con noi le informazioni sulla vulnerabilità
Eseguire i test solo sui sistemi che rientrano nell’ambito di applicazione, rispettando le disposizioni sui sistemi e le attività che non vi rientrano
Se a seguito di una vulnerabilità si accede in modo non intenzionale ai dati: limitare la quantità di dati a cui si accede al minimo necessario per dimostrare efficacemente un Proof of Concept; interrompere i test e inviare immediatamente un rapporto se durante i test si incontrano dati di utenti, come informazioni di identificazione personale (PII), informazioni sanitarie personali (PHI), dati di carte di credito o informazioni proprietarie
Interagire solo con gli account di test di cui si è proprietari o dietro l’esplicito consenso del titolare dell’account
Non rendersi colpevoli di estorsione

Politica di divulgazione

Divulgazione coordinata: le informazioni sulla vulnerabilità possono essere condivise con terze parti dopo che la vulnerabilità è stata risolta e il proprietario del programma ha fornito l’autorizzazione alla divulgazione.

Canali ufficiali

Vi preghiamo di utilizzare i nostri canali ufficiali per segnalare problemi di sicurezza, fornendo tutte le informazioni pertinenti. Più dettagli ci fornirete, più sarà facile per noi risolvere il problema.
I canali ufficiali sono:

Modulo di segnalazione Bugcrowd https://bugcrowd.com/kistler-vdp
e-mail criptata PGP a security@kistler.com

Safe Harbor

Quando si eseguono ricerche sulla vulnerabilità ai sensi della presente politica, tali ricerche si ritengono:

Autorizzate ai sensi di ogni legge anti-hacking; non avvieremo o sosterremo azioni legali contro di voi in caso di violazioni accidentali e in buona fede della presente politica
Autorizzate ai sensi di ogni legge antielusione pertinente; non avanzeremo alcuna richiesta di risarcimento nei confronti dell’utente per l’elusione dei controlli tecnologici
Esenti dalle restrizioni previste dai nostri Termini di Servizio (TOS) e/o dalla Politica di Utilizzo Accettabile (AUP) che interferirebbero con lo svolgimento di ricerche sulla sicurezza; rinunciamo a tali restrizioni su base limitata
Legittime, utili alla sicurezza generale di Internet e condotte in buona fede

L’utente è tenuto, come sempre, a rispettare tutte le leggi vigenti. Se viene avviata un’azione legale da parte di terzi nei vostri confronti e voi avete rispettato la presente politica, ci adopereremo per rendere noto che le vostre azioni sono state condotte in conformità alla presente politica.

In caso di dubbi, o qualora non siate sicuri che la vostra ricerca sulla sicurezza sia conforme a questa politica, vi invitiamo a inviare una segnalazione attraverso uno dei nostri canali ufficiali prima di proseguire.

Informazioni legali

Kistler si riserva il diritto di modificare i termini e le condizioni della presente politica e la vostra adesione comporta l’accettazione di tutti i termini. Vi invitiamo a controllare regolarmente questo sito in quanto aggiorniamo regolarmente i termini e le condizioni di ammissibilità della nostra politica, che entrano in vigore al momento della pubblicazione. Ci riserviamo il diritto di abrogare la presente politica in qualsiasi momento.

Ultimo aggiornamento 24/3/2021