Politica di divulgazione coordinata delle vulnerabilità

1. Segnalarci una vulnerabilità

Atral Security, produttore dei prodotti Logisty, invita ricercatori di sicurezza, utenti e partner a segnalare le vulnerabilità che interessano i nostri prodotti.

Il modulo web consente anche una segnalazione anonima. In tal caso non potremo inviarle una conferma di ricezione né tenerla informata sull'avanzamento.

2. Prodotti coperti

La presente politica si applica a tutti i prodotti con elementi digitali immessi sul mercato da Atral Security con il marchio Logisty, in particolare:

• i prodotti hardware con firmware: centrali di allarme antintrusione, rivelatori, tastiere, sirene;
• le applicazioni mobili associate;
• i servizi cloud.

Gamme con supporto attivo:

I prodotti a fine vita, il cui periodo di supporto è scaduto, non beneficiano più della presente politica. Atral Security comunica le decisioni di fine vita con un preavviso ragionevole.

3. I nostri impegni

Quando ci segnala una vulnerabilità, Atral Security si impegna a:

• confermare la ricezione della sua segnalazione entro 5 giorni lavorativi e attribuirle un identificativo di monitoraggio univoco (ATRL-AAAA-NNN);
• valutare la sua segnalazione, anche se incompleta: le informazioni parziali sono benvenute;
• tenerla informata sull'avanzamento almeno ogni 30 giorni, o immediatamente in caso di cambiamento significativo;
• comunicarle la data di pubblicazione prevista prima di qualsiasi divulgazione pubblica;
• non divulgare pubblicamente le informazioni relative alla vulnerabilità finché non è disponibile una soluzione (vedi §4);
• pubblicare un bollettino di sicurezza dopo la correzione e menzionarla, se lo desidera (vedi §5).

Il processo interno di gestione è definito nella nostra procedura di gestione delle vulnerabilità.

4. Periodo di embargo e divulgazione

Atral Security si impegna a non divulgare pubblicamente le informazioni relative a una vulnerabilità prima che sia disponibile una soluzione. Questo periodo di non divulgazione è denominato «periodo di embargo».

In caso di rischio immediato e grave per gli utenti, Atral Security si riserva il diritto di pubblicare un'informazione di sicurezza parziale prima della disponibilità di una correzione completa, indicando la data prevista della divulgazione completa.

5. Bollettini di sicurezza e riconoscimenti

Atral Security pubblica un bollettino di sicurezza per ogni vulnerabilità corretta, su questa pagina.

Ad oggi non è stato pubblicato alcun bollettino di sicurezza.

Ogni bollettino contiene:

• la descrizione della vulnerabilità, e i prodotti e le versioni interessati;
• il livello di gravità (punteggio CVSS);
• la soluzione disponibile (aggiornamento, soluzione temporanea) e le istruzioni di installazione;
• le date chiave: ricezione della segnalazione, disponibilità della correzione, pubblicazione.

Riconoscimento dei segnalanti: con il suo consenso, il suo nome o pseudonimo sarà menzionato nel bollettino corrispondente. Può anche scegliere di rimanere anonimo.

6. Informazioni su questa politica

La presente politica è pubblicata in applicazione del Regolamento (UE) 2024/2847 (Cyber Resilience Act). Ogni modifica sostanziale è annunciata su questa pagina. La presente politica è una traduzione della versione francese, unica versione facente fede.

Informazioni utili per la sua segnalazione

Per consentirci di gestire rapidamente la sua segnalazione, sono utili le seguenti informazioni. Segnali anche se non dispone di tutte le risposte.