INFORMAZIONI RELATIVE ALLA
SICUREZZA INFORMATICA

MEIKO è grata per tutte le segnalazioni ricevute in merito ai rischi per la sicurezza e le gestisce coscienziosamente e con trasparenza. Individuando eventuali vulnerabilità, possiamo offrire ai nostri clienti un livello di sicurezza costantemente elevato. È quindi nel nostro interesse individuare eventuali punti deboli e mettere a punto una soluzione soddisfacente.

La presente politica di segnalazione delle vulnerabilità illustra la procedura da seguire per segnalarci (a noi «Organizzazione») eventuali vulnerabilità e per individuare eventuali punti deboli nei nostri prodotti.

Si consiglia di leggere integralmente la presente politica di divulgazione delle vulnerabilità prima di segnalare una vulnerabilità e di agire sempre in conformità con essa. Apprezziamo coloro che dedicano tempo e impegno a segnalare le vulnerabilità di sicurezza in conformità con la presente politica. Tuttavia, non offriamo ricompense in denaro per la segnalazione di vulnerabilità.

Chi segnala è responsabile delle proprie azioni e deve rispettare i principi di proporzionalità e sussidiarietà nell’indagare e segnalare le vulnerabilità. In altre parole, chi segnala la vulnerabilità non dovrebbe fare più del necessario per dimostrarla e dovrebbe sempre segnalarla innanzitutto al responsabile del sistema o delle informazioni.

In cambio, se seguirai le istruzioni contenute nella presente politica, l’organizzazione non intraprenderà alcuna azione legale nei confronti delle tue indagini e segnalazioni di vulnerabilità effettuate in buona fede. Tale tutela giuridica non si applica qualora vi siano prove di dolo.

Il segnalante

• deve farlo il prima possibile per impedire che soggetti malintenzionati scoprano la vulnerabilità e ne approfittino.
• deve riportarla all'organizzazione in modo riservato, per impedire che altri possano accedere a tali informazioni.

Il segnalante e l’organizzazione stabiliscono accordi chiari in merito alla divulgazione della vulnerabilità. Se sono coinvolte più organizzazioni, il principio di base è che le vulnerabilità possono essere rese pubbliche solo se tutte le organizzazioni sono d’accordo.

Se ritieni di aver individuato una vulnerabilità di sicurezza, ti preghiamo di inviarci la tua segnalazione all'indirizzo e-mail seguente: service-support@meiko-global.com

Saranno prese in considerazione solo le e-mail scritte in inglese o in tedesco.

Si prega di includere nella segnalazione i seguenti dettagli relativi alla vulnerabilità:

• Risorsa (indirizzo web, indirizzo IP, nome del prodotto o del servizio) in cui è possibile riscontrare la vulnerabilità
• Punto debole (ad es. CWE) (facoltativo)
• Gravità (ad es. CVSS v3.1) (facoltativo)
• Titolo della vulnerabilità (obbligatorio)
• Descrizione della vulnerabilità (dovrebbe includere una sintesi, i file di supporto ed eventuali misure di mitigazione o raccomandazioni) (obbligatorio)
• Impatto (cosa potrebbe fare un attaccante?) (obbligatorio)
• Passaggi per riprodurre il problema. Dovrebbe trattarsi di un Proof of Concept (PoC) innocuo e non distruttivo.

Dati di contatto facoltativi:

• Nome
• Indirizzo e-mail

Una volta inviata la segnalazione, ci assicuriamo che questa venga inoltrata al dipartimento più adatto in base alle nostre procedure. Una volta inviata la richiesta, la procedura è la seguente:

• L'organizzazione invia una conferma di ricezione al soggetto che ha effettuato la segnalazione.
• Il rapporto viene valutato e gestito in base alla nostra valutazione dei rischi (impatto, gravità, complessità dello sfruttamento).
• L'organizzazione terrà informato il segnalante sull'andamento della situazione
• Chi effettua la segnalazione dovrebbe evitare di inviare richieste più di una volta ogni 14 giorni
• L'organizzazione pubblicherà i risultati, d'intesa con chi ha segnalato la vulnerabilità, qualora vi sia una probabilità ragionevole che tale vulnerabilità sia presente anche in altri contesti.
• Tratteremo la tua segnalazione con la massima riservatezza
• Non trasmetteremo i tuoi dati personali a terzi senza il tuo consenso.

DA NON FARE:

• Approfittare della vulnerabilità o del problema che hai individuato, ad esempio effettuando accessi non necessari o acquisendo quantità eccessive o significative di dati
• Rivelare il problema ad altri finché non sarà stato risolto
• Modificare i dati nei sistemi o nei servizi dell'Organizzazione
• Utilizzare attacchi alla sicurezza fisica, tecniche di ingegneria sociale, attacchi DDoS (Distributed Denial of Service), spam o strumenti di scansione invasivi o distruttivi ad alta intensità per individuare vulnerabilità
• Tentare o segnalare qualsiasi forma di attacco denial-of-service, ad esempio il sovraccarico di un servizio con un elevato volume di richieste
• Interrompere i servizi o i sistemi dell'Organizzazione

e-mail: service-support@meiko-global.com