1. Introduzione
La sicurezza dei prodotti e dei servizi di Tierra S.p.A. è una priorità. Nessun prodotto è immune da vulnerabilità: per questo Tierra accoglie con favore le segnalazioni di chi individua un possibile problema di sicurezza e desidera comunicarlo in modo responsabile.
La presente policy descrive come segnalare una vulnerabilità a Tierra, che cosa il segnalatore può aspettarsi in risposta e le regole da rispettare. Invitiamo a leggerla per intero prima di inviare una segnalazione e ad agire sempre nel rispetto di quanto vi è indicato.
2. Ambito
Rientrano nell’ambito della presente policy le vulnerabilità di sicurezza che interessano:
- i dispositivi telematici e il relativo firmware prodotti da Tierra;
- la piattaforma telematica e i servizi cloud di Tierra;
- i siti e i servizi web di Tierra.
Le vulnerabilità presenti in componenti di terze parti integrati nei prodotti o servizi di Tierra rientrano nell’ambito, limitatamente alla loro presenza in tali prodotti o servizi.
Sono indicativamente fuori ambito: gli attacchi di tipo denial of service; l’ingegneria sociale verso il personale o i clienti di Tierra; gli attacchi fisici; le segnalazioni prodotte da soli strumenti automatici senza dimostrazione di un impatto concreto; le vulnerabilità puramente teoriche prive di prova di concetto; i prodotti e i servizi di terzi non gestiti da Tierra.
3. Come segnalare una vulnerabilità
Canale di segnalazione: security@tierratelematics.com
Le coordinate aggiornate per la segnalazione sono pubblicate anche nel file security.txt di Tierra, all’indirizzo https://www.tierratelematics.com/.well-known/security.txt. Per le segnalazioni che contengono informazioni sensibili è disponibile una chiave pubblica per la comunicazione cifrata, indicata nel medesimo file.
Tierra accetta segnalazioni anonime; l’indicazione di un recapito è facoltativa, ma utile per gli eventuali chiarimenti. A ogni segnalazione ricevuta è assegnato un riferimento univoco che consente a entrambe le parti di tracciarne lo stato.
Per consentire una valutazione rapida e accurata, la segnalazione dovrebbe contenere:
- Prodotto o servizio interessato — nome del prodotto, indirizzo web o IP dove la vulnerabilità è osservabile (obbligatorio);
- Titolo sintetico della vulnerabilità (obbligatorio);
- Descrizione — sintesi del problema, passi per riprodurlo in forma benigna e non distruttiva, eventuali file di supporto, possibili mitigazioni (obbligatorio);
- Impatto — che cosa potrebbe ottenere un attaccante sfruttando la vulnerabilità (obbligatorio);
- tipo di debolezza (es. CWE) e gravità stimata (es. punteggio CVSS) (facoltativi);
- recapiti del segnalatore — nome ed e-mail (facoltativi).
4. Cosa aspettarsi da Tierra
Tierra si impegna a:
- confermare la ricezione della segnalazione entro 5 giorni lavorativi;
- completare una prima valutazione (triage) entro 10 giorni lavorativi, stabilendo se la vulnerabilità è confermata e quale ne sia la gravità;
- tenere informato il segnalatore sull’andamento, con aggiornamenti periodici per le lavorazioni più lunghe;
- comunicare al segnalatore l’avvenuta risoluzione; il segnalatore potrà, se lo desidera, verificare l’efficacia della correzione.
I tempi di risoluzione dipendono dalla gravità e dalla complessità della vulnerabilità; di norma Tierra punta a rendere disponibile una misura correttiva o di mitigazione entro 90 giorni dalla conferma.
5. Divulgazione coordinata
Tierra adotta un approccio di divulgazione coordinata. Chiediamo al segnalatore di:
- non divulgare pubblicamente la vulnerabilità prima che una correzione sia disponibile o prima di una data concordata con Tierra;
- coordinare con Tierra l’eventuale pubblicazione, così da fornire agli utenti un’informazione uniforme e corretta.
Una volta risolta la vulnerabilità, Tierra pubblica di norma un avviso di sicurezza (advisory) destinato agli utenti e agli stakeholder. Se la vulnerabilità riguarda un componente di terze parti, Tierra può condividere in modo sicuro le relative informazioni con il fornitore del componente, ai soli fini della risoluzione.
Tierra può inoltre essere tenuta, in forza di obblighi di legge, a notificare determinate vulnerabilità alle autorità competenti.
6. Riconoscimento
Tierra non offre ricompense economiche per le segnalazioni. Su richiesta del segnalatore, e previo accordo sui contenuti, Tierra è lieta di riconoscerne pubblicamente il contributo, ad esempio nell’avviso di sicurezza relativo alla vulnerabilità risolta.
7. Regole di condotta e tutela del segnalatore
Nel condurre la ricerca e nel formulare la segnalazione, il segnalatore non deve:
- violare leggi o regolamenti applicabili;
- accedere a dati in misura eccessiva rispetto a quanto strettamente necessario per dimostrare la vulnerabilità, né modificare o cancellare dati;
- utilizzare strumenti di scansione invasivi o distruttivi;
- tentare o realizzare attacchi di tipo denial of service;
- interrompere o degradare i servizi e i sistemi di Tierra;
- divulgare a terzi le informazioni sulla vulnerabilità in violazione del punto 5.
A condizione che la ricerca sia condotta in buona fede e nel rispetto della presente policy, Tierra considera tale attività autorizzata e benvenuta, e non avvierà né sosterrà azioni legali nei confronti del segnalatore in relazione alla segnalazione effettuata. Questa tutela non deroga a diritti di terzi né a obblighi di legge inderogabili.
8. Riesame e contatti
La presente policy è riesaminata almeno annualmente e aggiornata in funzione dell’evoluzione normativa e operativa. Per qualsiasi domanda sulla policy: security@tierratelematics.com
