Politica di divulgazione delle vulnerabilità del Gruppo Kistler

Il Gruppo Kistler accoglie i feedback dei ricercatori della sicurezza e del pubblico come contributi al miglioramento della sicurezza. Se ritenete di aver scoperto una vulnerabilità, un problema di privacy, dati esposti o altri problemi di sicurezza in una delle nostre risorse, non esitate a comunicarcelo. Questa politica illustra come segnalare le vulnerabilità, cosa ci aspettiamo e cosa potete aspettarvi da noi.

Sistemi che rientrano nell’ambito di applicazione

La presente politica si applica a

Tutti i prodotti del Gruppo Kistler.
Tutti i sistemi del Gruppo Kistler connessi in rete.
La semplice assenza di una funzione di sicurezza non è considerata una vulnerabilità.
Non siamo interessati ai risultati comunemente generati dagli scanner automatici, come intestazioni HTTP mancanti, configurazioni, flag dei cookie, clickjacking, ecc., salvo nel caso in cui questi si possano utilizzare per creare un PoC exploit significativo.

Sistemi esclusi dall’ambito di applicazione

Sistemi generali esclusi dall’ambito di applicazione

Attacchi di tipo DoS (Denial of Service).
Social engineering.
Phishing.
Accesso fisico alle strutture di Kistler o dei suoi partner.
Beni o altre attrezzature non di proprietà delle parti che aderiscono alla presente politica.

Le vulnerabilità scoperte o sospettate nei sistemi esclusi dall’ambito devono essere segnalate al relativo fornitore o all’autorità competente.

Sistemi speciali che rientrano nell’ambito di applicazione

www.kistler.com: sito web principale, siamo interessati solo alle vulnerabilità critiche come l’esecuzione di codice da remoto (RCE).

I nostri impegni

In virtù della presente politica, lavorando con noi potete aspettarvi che:
Rispondiamo prontamente alla vostra segnalazione e collaboriamo con voi per comprenderla e convalidarla.
Ci sforziamo di tenervi informati sullo stato di avanzamento dell’elaborazione di una vulnerabilità.
Ci adoperiamo per rimediare alle vulnerabilità scoperte con tempestività, nel rispetto dei nostri vincoli operativi.
Estendiamo i principi dell’approdo sicuro (Safe Harbor) alle ricerche sulla vulnerabilità inerenti alla presente politica.

Le nostre aspettative

A chi partecipa in buona fede al nostro programma di divulgazione delle vulnerabilità, chiediamo di:
Rispettare le regole, compresa l’osservanza di questa politica e di qualsiasi altro accordo pertinente. In caso di incongruenza tra la presente politica e qualsiasi altro termine applicabile, prevarranno i termini della presente politica.
Segnalare tempestivamente qualsiasi vulnerabilità scoperta.
Evitare di violare la privacy di terzi, di interrompere i nostri sistemi, di distruggere i dati e/o di compromettere l’esperienza degli utenti.
Utilizzare solo i canali ufficiali per discutere con noi le informazioni sulla vulnerabilità.
Eseguire i test solo sui sistemi che rientrano nell’ambito di applicazione, rispettando le disposizioni sui sistemi e le attività che non vi rientrano.
Se a seguito di una vulnerabilità si accede in modo non intenzionale ai dati: limitare la quantità di dati a cui si accede al minimo necessario per dimostrare efficacemente un Proof of Concept; interrompere i test e inviare immediatamente un rapporto se durante i test si incontrano dati di utenti, come informazioni di identificazione personale (PII), informazioni sanitarie personali (PHI), dati di carte di credito o informazioni proprietarie.
Interagire solo con gli account di test di cui si è proprietari o dietro l’esplicito consenso del titolare dell’account.
Non rendersi colpevoli di estorsione.

Politica di divulgazione

Divulgazione coordinata: le informazioni sulla vulnerabilità possono essere condivise con terze parti dopo che la vulnerabilità è stata risolta e il proprietario del programma ha fornito l’autorizzazione alla divulgazione.

Canali ufficiali

Vi preghiamo di utilizzare i nostri canali ufficiali per segnalare problemi di sicurezza, fornendo tutte le informazioni pertinenti. Più dettagli ci fornirete, più sarà facile per noi risolvere il problema.
I canali ufficiali sono:

Modulo di segnalazione Bugcrowd https://bugcrowd.com/kistler-vdp
e-mail criptata PGP a security@kistler.com

Safe Harbor

Quando si eseguono ricerche sulla vulnerabilità ai sensi della presente politica, tali ricerche si ritengono:

Autorizzate ai sensi di ogni legge anti-hacking; non avvieremo o sosterremo azioni legali contro di voi in caso di violazioni accidentali e in buona fede della presente politica.
Autorizzate ai sensi di ogni legge antielusione pertinente; non avanzeremo alcuna richiesta di risarcimento nei confronti dell’utente per l’elusione dei controlli tecnologici.
Esenti dalle restrizioni previste dai nostri Termini di Servizio (TOS) e/o dalla Politica di Utilizzo Accettabile (AUP) che interferirebbero con lo svolgimento di ricerche sulla sicurezza; rinunciamo a tali restrizioni su base limitata.
Legittime, utili alla sicurezza generale di Internet e condotte in buona fede.

L’utente è tenuto, come sempre, a rispettare tutte le leggi vigenti. Se viene avviata un’azione legale da parte di terzi nei vostri confronti e voi avete rispettato la presente politica, ci adopereremo per rendere noto che le vostre azioni sono state condotte in conformità alla presente politica.

In caso di dubbi, o qualora non siate sicuri che la vostra ricerca sulla sicurezza sia conforme a questa politica, vi invitiamo a inviare una segnalazione attraverso uno dei nostri canali ufficiali prima di proseguire.

Informazioni legali

Kistler si riserva il diritto di modificare i termini e le condizioni della presente politica e la vostra adesione comporta l’accettazione di tutti i termini. Vi invitiamo a controllare regolarmente questo sito in quanto aggiorniamo regolarmente i termini e le condizioni di ammissibilità della nostra politica, che entrano in vigore al momento della pubblicazione. Ci riserviamo il diritto di abrogare la presente politica in qualsiasi momento.

Ultimo aggiornamento 24/3/2021