Segnalare una vulnerabilità di sicurezza
Se individua una vulnerabilità nei nostri prodotti o in un sito web da noi gestito, la invitiamo a segnalarla in modo riservato al nostro referente per la sicurezza.
Inviare la segnalazione a: security@origsmart.com
Cosa includere nella segnalazione
- Il nome e la versione del prodotto, dispositivo o sito web interessato e, se noti, la versione del firmware o l’URL coinvolto.
- I passaggi necessari per riprodurre il problema e le condizioni in cui è stato osservato.
- Il potenziale impatto sulla sicurezza e il risultato osservato, possibilmente con elementi di prova privi di dati personali.
- Un recapito per eventuali richieste di chiarimento.
Non invii password, token di accesso o dati personali non necessari. Prima di trasmettere allegati sensibili o grandi quantità di dati, concordi con noi via e-mail una modalità di trasferimento sicura.
Conferma di ricezione e analisi
Confermeremo la ricezione della segnalazione entro cinque giorni lavorativi. Se necessario, chiederemo ulteriori dettagli e concorderemo i passaggi successivi per l’analisi e la correzione. Il termine di cinque giorni lavorativi riguarda la conferma di ricezione; i tempi di correzione dipendono dalla natura della vulnerabilità.
Divulgazione coordinata
La invitiamo a non pubblicare dettagli che consentano di sfruttare la vulnerabilità finché non sarà disponibile una correzione. Concorderemo insieme i tempi e il contenuto della divulgazione. Dopo la correzione, su sua richiesta, riconosceremo il suo contributo con il nome da lei approvato.
Ricerca di sicurezza in buona fede
Non avvieremo azioni legali per attività di ricerca sulla sicurezza svolte in buona fede e nel rispetto di questi principi. Limiti le verifiche al minimo necessario per dimostrare la vulnerabilità: non provochi interruzioni dei servizi, non modifichi o cancelli dati altrui, non acceda a dati personali non necessari e non utilizzi tecniche di inganno o intrusioni fisiche.
Se incontra dati sensibili, interrompa quella parte della verifica e ci informi; non diffonda ulteriormente tali dati. Non autorizziamo verifiche su sistemi di terzi e non possiamo assumere impegni legali per conto di terzi.