Politica di divulgazione coordinata delle vulnerabilità

Versione 1.1 · Ultimo aggiornamento: 2026-11-06 · Responsabile: IoTReady Product Security · English version

IoTReady considera prioritaria la sicurezza dei propri prodotti e dei propri clienti. Accogliamo le segnalazioni di ricercatori di sicurezza, clienti e di chiunque individui una potenziale vulnerabilità, e ci impegniamo a gestirle con tempestività, trasparenza e in buona fede. Questa policy spiega come segnalare una vulnerabilità, cosa aspettarsi da noi e quali impegni chiediamo di rispettare.

Questa policy attua i requisiti di gestione delle vulnerabilità del Cyber Resilience Act europeo (Regolamento (UE) 2024/2847, Allegato I, Parte II) e segue le norme ISO/IEC 29147 e ISO/IEC 30111.

• Ambito
• Come segnalare
• I nostri impegni
• Notifiche CRA
• Divulgazione
• Regole di condotta
• Safe harbour
• Riconoscimenti
• Security advisory
• Privacy

1. Ambito

Questa policy si applica ai prodotti con elementi digitali e ai servizi progettati, sviluppati o immessi sul mercato da IoTReady, tra cui:

• Dispositivi IoT e firmware embedded
• Piattaforme cloud, dashboard e servizi di back-end
• Applicazioni mobile, desktop e web
• API pubbliche e siti web sul dominio iotready.it

Prodotti sviluppati per i clienti (OEM e white-label). Quando IoTReady sviluppa o produce prodotti con elementi digitali per conto di un cliente, il fabbricante responsabile ai sensi del Cyber Resilience Act è determinato dalle definizioni del Regolamento e dall'effettivo accordo commerciale. Se il cliente immette il prodotto sul mercato con il proprio nome o marchio, è di norma il cliente a essere il fabbricante e il responsabile dei relativi obblighi di gestione e notifica delle vulnerabilità. Queste vulnerabilità possono comunque essere segnalate direttamente a IoTReady: collaboreremo con il cliente per analizzarle, valutarle e correggerle, e coordineremo la divulgazione quando opportuno.

Componenti di terze parti. Se individuiamo una vulnerabilità in un componente di terze parti o open source integrato nei nostri prodotti, la segnaliamo alla persona o all'ente che ne cura la manutenzione, come previsto dall'articolo 13, paragrafo 6, del Cyber Resilience Act.

Esclusi dall'ambito:

• Prodotti di terze parti e componenti open source di cui non curiamo la manutenzione. Segnalali ai rispettivi manutentori; se riguardano anche i nostri prodotti, informa anche noi e ci occuperemo del coordinamento.
• Richieste di assistenza tecnica, problemi con l'account e domande generali sui prodotti. Inviale a support@iotready.it senza il tag [SECURITY].
• Risultati di scanner automatici privi di un impatto di sicurezza dimostrato.
• Configurazioni non conformi alle best practice senza un concreto scenario di sfruttamento (ad es. header di sicurezza mancanti, configurazione SPF/DMARC, banner che rivelano versioni software).

2. Come segnalare

Scrivi a support@iotready.it con un oggetto che inizi con [SECURITY]. Per aiutarci a intervenire rapidamente, includi quante più informazioni possibili tra queste:

• Prodotto, modello e versione del firmware o del software interessati
• Descrizione della vulnerabilità e del suo potenziale impatto
• Istruzioni passo passo per riprodurla, con codice proof-of-concept, screenshot o log se utili
• La tua stima della gravità (vettore CVSS v4.0 o v3.1) e la CWE, se note
• Se la vulnerabilità risulta già sfruttata attivamente o è stata comunicata ad altri
• Se e come desideri essere citato

Non inviare dati sensibili via email (ad esempio dati reali dei clienti o credenziali). Descrivi invece a cosa sei riuscito ad accedere: concorderemo un canale sicuro per scambiare eventuali ulteriori informazioni.

Accettiamo anche segnalazioni anonime, ma senza un recapito non potremo chiederti chiarimenti né aggiornarti sugli sviluppi.

Se preferisci non contattarci direttamente, o se non ricevi risposta, puoi inviare la segnalazione al CSIRT nazionale, CSIRT Italia, che può coordinare la divulgazione.

3. I nostri impegni

Per ogni vulnerabilità segnalata nel rispetto di questa policy, ci impegniamo a:

Classifichiamo la gravità con CVSS (v4.0, o v3.1 quando opportuno), tenendo conto del contesto reale d'uso del prodotto interessato. I tempi di correzione decorrono dalla verifica della segnalazione:

Si tratta di obiettivi interni, non di termini stabiliti dal Cyber Resilience Act. Diamo priorità alle correzioni in base al rischio valutato e correggiamo le vulnerabilità senza ritardi ingiustificati. Le correzioni hardware e firmware possono richiedere più tempo per test, certificazioni o distribuzione sul campo: in questi casi ti spiegheremo il motivo, concorderemo con te nuovi tempi e, ove possibile, forniremo mitigazioni temporanee. Gli aggiornamenti di sicurezza sono forniti gratuitamente per tutto il periodo di assistenza del prodotto interessato.

4. Notifiche obbligatorie (articolo 14 del CRA)

Quando IoTReady è il fabbricante del prodotto interessato e viene a conoscenza di una vulnerabilità attivamente sfruttata o di un incidente grave che ne compromette la sicurezza, effettua la notifica tramite la Single Reporting Platform di ENISA al CSIRT designato come coordinatore e, contemporaneamente, a ENISA, entro i seguenti termini:

Informiamo inoltre gli utenti interessati senza ritardo ingiustificato e, se necessario, indichiamo le misure da adottare per limitarne l'impatto. Queste notifiche obbligatorie sono distinte dal processo di divulgazione coordinata descritto in questa policy e si svolgono in parallelo.

5. Divulgazione coordinata

• Il termine predefinito per la divulgazione è di 90 giorni dalla data della segnalazione, o prima se una correzione è già disponibile e distribuita.
• Concorderemo con te data e contenuti della pubblicazione. Se serve più tempo (ad esempio per la distribuzione del firmware o per il coordinamento tra più fornitori), chiederemo una proroga in anticipo spiegandone il motivo.
• Quando opportuno, richiederemo un identificativo CVE tramite una CVE Numbering Authority e, se lo desideri, ti citeremo nel record CVE.
• Puoi divulgare prima della data concordata se non abbiamo confermato la ricezione della segnalazione entro 14 giorni, se dichiariamo che non correggeremo il problema o se la vulnerabilità è già sfruttata attivamente. In questi casi ti chiediamo di avvisarci con un breve preavviso, per permetterci di proteggere i nostri utenti.

Il termine di 90 giorni è una prassi di divulgazione coordinata adottata da IoTReady: non sostituisce né proroga alcun obbligo di legge di notifica o di correzione. In linea con l'Allegato I, Parte II, punto 4, del Cyber Resilience Act, pubblichiamo le informazioni sulle vulnerabilità corrette quando è disponibile un aggiornamento di sicurezza. In casi debitamente giustificati, quando i rischi per la sicurezza derivanti dalla pubblicazione ne superano i benefici, possiamo rinviarla finché gli utenti non abbiano avuto modo di installare l'aggiornamento.

6. Regole di condotta

Ti chiediamo di:

• Eseguire test solo su dispositivi, account e dati di tua proprietà o per i quali sei esplicitamente autorizzato
• Accedere, modificare o conservare dati solo nella misura minima necessaria a dimostrare il problema, e cancellarli in modo sicuro quando non servono più
• Non degradare né interrompere i nostri servizi: niente attacchi denial-of-service, test di carico o test automatizzati ad alto volume sui sistemi in produzione
• Non ricorrere a social engineering, phishing o attacchi fisici contro il nostro personale, i nostri clienti o le nostre sedi
• Non sfruttare una vulnerabilità oltre quanto necessario per confermarla, ad esempio per spostarti su altri sistemi o installare accessi persistenti
• Mantenere riservati i dettagli fino alla data di divulgazione concordata, salvo quanto previsto dalla sezione 5
• Non chiedere compensi in cambio dei dettagli di una vulnerabilità

7. Safe harbour

Se agisci in buona fede e rispetti questa policy, IoTReady considererà la tua ricerca autorizzata. L'autorizzazione copre solo le attività svolte nel rispetto delle regole di questa policy, su sistemi e prodotti per i quali IoTReady ha titolo per autorizzare i test. Non intraprenderemo azioni legali nei tuoi confronti, non presenteremo denuncia o querela e non ti segnaleremo alle autorità per tale ricerca. Se una terza parte avviasse un'azione legale nei tuoi confronti per attività svolte nel rispetto di questa policy, dichiareremo che la tua ricerca era stata autorizzata da noi.

Questa tutela non può derogare alla legge applicabile né vincolare terze parti, come i nostri clienti, i cui sistemi non rientrano in questa policy. Se hai dubbi su un'attività, chiedici prima di procedere scrivendo a support@iotready.it.

8. Riconoscimenti

Con il tuo consenso, citiamo i ricercatori che segnalano vulnerabilità valide nel relativo security advisory, nel record CVE e nei ringraziamenti qui sotto. Al momento IoTReady non gestisce un programma di bug bounty a pagamento.

Ringraziamenti: nessuno al momento.

9. Security advisory

I security advisory relativi ai prodotti IoTReady sono pubblicati in questa pagina. Ciascuno indica i prodotti e le versioni interessati, la gravità, le correzioni o mitigazioni disponibili e i riconoscimenti.

Ad oggi non è stato pubblicato alcun security advisory.

10. Privacy

I dati personali che ci fornisci (ad esempio nome e indirizzo email) sono utilizzati esclusivamente per gestire la segnalazione e, se lo desideri, per citarti. Sono trattati in conformità alla nostra Privacy Policy. Non comunicheremo la tua identità a terzi, come un cliente interessato o un CSIRT, senza il tuo consenso, salvo che non sia richiesto dalla legge.

11. Contatti

Segnalazioni di sicurezza: support@iotready.it (oggetto che inizia con [SECURITY])
Contatto in formato machine-readable: /.well-known/security.txt

Rivediamo questa policy almeno una volta all'anno e ogni volta che cambiano i nostri processi o gli obblighi di legge.