Politica di divulgazione coordinata delle vulnerabilità (CVD)

StudioSoft Informatica srl accoglie le segnalazioni di vulnerabilità nei propri prodotti e servizi, le verifica, le corregge e le rende pubbliche in modo coordinato con chi le ha segnalate. Questa politica spiega come segnalare una vulnerabilità e che cosa aspettarsi da noi.

1. Scopo e ambito

Questa è la politica di divulgazione coordinata delle vulnerabilità (CVD) di StudioSoft Informatica srl, prevista dal Regolamento (UE) 2024/2847 (Cyber Resilience Act), art. 13, par. 17, e allegato I, parte II, punti 5 e 6. Copre i prodotti con elementi digitali che sviluppiamo e distribuiamo e l'infrastruttura che li supporta.

Rientrano nell'ambito:

• i prodotti software di StudioSoft Informatica e i servizi cloud
• la piattaforma StudioSoft Academy gestita da StudioSoft Informatica srl;
• i siti e i sistemi esposti su Internet nel dominio studiosoft.eu.

I prodotti e i servizi di terze parti vanno segnalati al rispettivo produttore. Se il componente di terze parti è integrato in un nostro prodotto, la segnalazione è comunque benvenuta: ce ne occupiamo come descritto al punto 6.

2. Cosa consideriamo una vulnerabilità

Una vulnerabilità è una debolezza o un difetto di un prodotto o di un sistema in ambito che può essere sfruttato per comprometterne la riservatezza, l'integrità o la disponibilità. Per essere gestita secondo questa politica, una segnalazione deve:

• riguardare un prodotto o un sistema elencato al punto 1;
• descrivere un problema non ancora noto pubblicamente;
• essere stata verificata da chi segnala, e non derivare solo dal risultato di una scansione automatica.

Esempi: esecuzione di codice da remoto, SQL injection, cross-site scripting, aggiramento dell'autenticazione, escalation dei privilegi, accesso non autorizzato a dati personali o sanitari.

Non rientrano in questa politica:

• risultati di scanner automatici senza una prova dell'impatto;
• assenza di intestazioni di sicurezza o di buone pratiche senza uno scenario di sfruttamento concreto;
• attacchi di negazione del servizio (DoS) o di saturazione;
• ingegneria sociale, phishing o attacchi fisici contro personale e sedi;
• vulnerabilità in prodotti di terze parti non integrati nei nostri.

Le segnalazioni su versioni non più supportate sono comunque benvenute: le valutiamo e, se serve, indichiamo come aggiornare.

3. Come segnalare

Per i dettagli consulta la nostra pagina dedicata.

4. I nostri impegni

Rispondiamo con un messaggio scritto da una persona.

Inoltre ci impegniamo a:

• trattare la segnalazione in modo riservato e condividerla solo con chi deve gestirla, compresi i produttori dei componenti coinvolti e le autorità previste dalla legge;
• trattare i dati personali di chi segnala secondo il GDPR e non comunicarli a terzi senza il suo consenso esplicito, salvo obblighi di legge;
• non chiedere di firmare accordi di riservatezza (NDA);
• comunicare in modo trasparente e rispettoso, via email o telefono, su ogni passaggio e sui tempi previsti.

5. Tutela di chi segnala e regole di condotta

Se rispettate questa politica, StudioSoft Informatica srl non intraprenderà azioni legali contro di voi e non presenterà denuncia o querela per le attività di ricerca svolte in buona fede. Questo impegno vale per StudioSoft Informatica e non può vincolare terzi o autorità pubbliche.

Chiediamo di:

• agire in buona fede, con il solo scopo di individuare e segnalare la vulnerabilità;
• limitare i test al minimo necessario per dimostrare il problema;
• non accedere, modificare, cancellare o copiare dati oltre quanto strettamente necessario; se incontrate dati personali o sanitari, interrompete il test, non conservateli e segnalatecelo subito;
• non degradare i servizi e non usare attacchi DoS, ingegneria sociale o accessi fisici;
• non installare software malevolo e non mantenere l'accesso ai sistemi dopo la verifica;
• non divulgare la vulnerabilità prima della data concordata (punto 7);
• rispettare la legge.

Se queste regole non vengono rispettate, le tutele di questo punto non si applicano e StudioSoft Informatica può agire a tutela propria e dei propri clienti.

6. Come gestiamo la segnalazione

Ogni segnalazione segue cinque passaggi, dalla ricezione alla pubblicazione dell'avviso.

1. Registriamo la segnalazione e inviamo il primo riscontro (punto 4).
2. Riproduciamo il problema e ne valutiamo la gravità con CVSS 4.0. Se non si tratta di una vulnerabilità o è fuori ambito, lo spieghiamo con le motivazioni e chiudiamo la segnalazione (punto 9).
3. Sviluppiamo e collaudiamo una correzione o una misura di mitigazione, con priorità in base alla gravità, e concordiamo i tempi con chi ha segnalato.
4. Rendiamo disponibile l'aggiornamento di sicurezza senza ritardo e gratuitamente, salvo diverso accordo con il cliente per i software realizzati su misura, insieme a un avviso che spiega cosa fare.
5. Pubblichiamo l'avviso di sicurezza come descritto al punto 7.

Se la vulnerabilità si trova in un componente di terze parti, anche open source, integrato in un nostro prodotto, la segnaliamo a chi produce o mantiene il componente. Se la correzione l'abbiamo sviluppata noi, la condividiamo con lui.

7. Divulgazione pubblica

Rendiamo pubbliche le vulnerabilità verificate entro 90 giorni dalla ricezione della segnalazione, di norma insieme all'aggiornamento che le corregge. La data di pubblicazione la concordiamo con chi ha segnalato, che da quel momento può pubblicare anche i propri dettagli.

• Se la correzione richiede più tempo, possiamo prorogare il termine una sola volta, di al massimo 90 giorni, dopo aver consultato CSIRT Italia e informato chi ha segnalato.
• Rinvio dei dettagli tecnici. In casi giustificati, quando pubblicarli subito esporrebbe gli utenti a un rischio maggiore, rinviamo i dettagli tecnici finché gli utenti non hanno avuto modo di installare l'aggiornamento.
• Avviso di sicurezza. Pubblichiamo gli avvisi in studiosoft.eu/index.php/separator/archivio-pubblico-vulnerabilita. Ogni avviso indica descrizione, prodotti e versioni coinvolti, impatto, gravità e istruzioni per risolvere.
• Quando opportuno, richiediamo un identificativo CVE (Common Vulnerabilities and Exposures ID) per la vulnerabilità.

8. Vulnerabilità sfruttate attivamente

Se una vulnerabilità risulta già sfruttata, la notifichiamo a CSIRT Italia, il CSIRT coordinatore per l'Italia, tramite la piattaforma unica di segnalazione di ENISA, come richiesto dall'art. 14 del Cyber Resilience Act.

Informiamo anche gli utenti coinvolti e indichiamo le misure da adottare. Nelle notifiche non comunichiamo i dati di chi ha segnalato senza il suo consenso.

Chiunque può segnalare una vulnerabilità anche direttamente a CSIRT Italia o a ENISA (art. 15 del Cyber Resilience Act).

9. Chiusura del processo

Il processo si chiude in uno di questi casi, e lo comunichiamo a chi ha segnalato:

• la correzione o la mitigazione è disponibile e l'avviso di sicurezza è pubblicato;
• la segnalazione è stata valutata come non vulnerabilità o fuori ambito, con le motivazioni;
• chi ha segnalato non risponde da 30 giorni a una richiesta di informazioni indispensabili per la verifica;
• la segnalazione è anonima e le informazioni ricevute non bastano a verificarla.

10. Riconoscimenti

Con il vostro consenso, vi citiamo nell'avviso di sicurezza con il nome o lo pseudonimo che preferite. Al momento non offriamo ricompense economiche (bug bounty).

11. Revisione della politica

Rivediamo questa politica almeno una volta l'anno e a ogni cambiamento rilevante di prodotti, processi o norme. La data dell'ultima modifica è indicata in testa al documento.