Informativa sulla divulgazione delle vulnerabilità

L’impegno del brand

Per Cybex GmbH, garantire prodotti e servizi sicuri e affidabili è una priorità fondamentale. Ci impegniamo a proteggere i nostri clienti, i nostri partner, i nostri prodotti e i nostri servizi digitali dai rischi legati alla sicurezza informatica, per costruire relazioni basate sulla fiducia.

La protezione dei dati e la sicurezza dei prodotti digitali sono quindi di estrema importanza per Cybex GmbH.

Incoraggiamo clienti, partner, ricercatori nell’ambito della sicurezza e membri della community a segnalare in buona fede qualsiasi potenziale vulnerabilità informatica riscontrata nei prodotti, nelle applicazioni, nei servizi o nell’infrastruttura digitale di Cybex.

Cybex GmbH valuta positivamente e apprezza le segnalazioni di eventuali vulnerabilità, effettuate in modo responsabile. Le segnalazioni da parte della community ci aiutano a individuare eventuali punti deboli, proteggere i nostri clienti, migliorare la sicurezza e l’affidabilità dei nostri prodotti e servizi e migliorare costantemente i nostri processi di gestione delle vulnerabilità.

Questa Informativa sulla divulgazione delle vulnerabilità descrive:

• i prodotti, i sistemi e i servizi coperti dall’informativa stessa;
• le modalità di segnalazione delle potenziali vulnerabilità;
• le regole per condurre ricerche sulla sicurezza in buona fede;
• le modalità di gestione, da parte di Cybex, delle segnalazioni di vulnerabilità;
• le tempistiche di risposta previste; e
• le modalità di coordinamento della divulgazione delle vulnerabilità.

Questa informativa viene rivista almeno con cadenza annuale e può essere aggiornata, ove necessario, per riflettere le modifiche ai nostri prodotti, servizi, pratiche di sicurezza o requisiti legali e normativi applicabili.

Ambito di applicazione

Questa informativa si applica alle vulnerabilità di sicurezza informatica che interessano i prodotti Cybex dotati di elementi digitali e i relativi servizi digitali di supporto di cui Cybex GmbH è responsabile.

Questo include, ove applicabile:

• le applicazioni mobili Cybex;
• i prodotti Cybex conness e le funzionalità digitali associate;
• il software e il firmware dei dispositivi;
• le interfacce Bluetooth e altre interfacce digitali;
• le API gestite da Cybex;
• i servizi di backend e l’elaborazione remota dei dati a supporto dei prodotti Cybex;
• i servizi di autenticazione e di gestione degli account a supporto dei prodotti Cybex;
• i componenti ospitati sul cloud, gestiti per conto di Cybex;
• le applicazioni web e i servizi digitali Cybex accessibili al pubblico; e
• i componenti software integrati nei prodotti Cybex, la cui sicurezza potrebbe essere interessata da un’eventuale vulnerabilità.

I domini Cybex attualmente accessibili al pubblico includono:

• *.cybex-online.com
• *.goodbabyprod.com
• *.gb-online.com
• *.columbustp.com
• *.goodbaby.eu
• *.rollplay.com
• gbinternational.com.hk
• mycbx.com
• cybex.link
• cybex-online.com

L’elenco riportato sopra non intende impedire la segnalazione di vulnerabilità che interessano un altro prodotto Cybex dotato di elementi digitali. Se un utente ritiene di aver individuato una vulnerabilità che interessa un prodotto o un servizio Cybex non esplicitamente elencato, può comunque segnalarla tramite i canali di comunicazione descritti di seguito.

Qualora non si riesca a stabilire con certezza se un prodotto, un’applicazione, un servizio o un asset digitale rientri nell’ambito di applicazione, si prega di contattarci prima di eseguire ulteriori test.

Sistemi e componenti di terze parti

I prodotti e i servizi Cybex potrebbero integrare o dipendere da servizi, software, librerie, piattaforme cloud o altri componenti forniti da terze parti.

La presente informativa non autorizza l’esecuzione di test di sicurezza su infrastrutture, applicazioni, account o sistemi gestiti da terze parti senza la loro autorizzazione.

Tuttavia, le vulnerabilità che interessano un prodotto Cybex e che derivano da, o coinvolgono, un componente software o una dipendenza di terze parti possono comunque essere segnalate a Cybex tramite il presente documento.

Ove opportuno, Cybex può coordinare la correzione con il relativo fornitore, fornitore di servizi, progetto open-source o altra parte interessata.

Clausola di salvaguardia

Cybex GmbH supporta la ricerca sulla sicurezza condotta in buona fede e in conformità con la presente informativa.

Cybex non intraprenderà né sosterrà alcuna azione legale nei confronti di un ricercatore di sicurezza per attività di ricerca sulla sicurezza condotte in buona fede e in conformità con questa informativa.

Tale garanzia è applicabile se tale ricercatore:

• si impegna a rispettare la presenta informativa;
• agisce con lo scopo di individuare e segnalare una vulnerabilità di sicurezza;
• evita di causare danni inutili a Cybex, ai suoi clienti, al suo personale, ai suoi partner e a terze parti;
• non accede, non conserva, non altera, non distrugge o non divulga intenzionalmente dati oltre quanto ragionevolmente necessario per dimostrare la vulnerabilità; e
• segnala la vulnerabilità a Cybex senza ritardi ingiustificati.

La presente clausola di salvaguardia non si applica in caso di chiare intenzioni malevole, fraudolente, criminali o legate allo spionaggio.

Se una terza parte avvia un’azione legale contro un ricercatore che ha agito in conformità con la presente informativa, Cybex potrà, laddove opportuno e legalmente consentito, confermare che le attività condotte dal ricercatore siano state svolte in conformità con l’informativa.

Questa informativa non autorizza la violazione di leggi o normative in vigore.

In caso di dubbi relativi a quali siano le attività di ricerca permesse, si invita a contattare Cybex prima di procedere.

Linee guida per la ricerca sulla sicurezza

Nel condurre ricerche in materia di sicurezza ai sensi della presente informativa, i ricercatori sono tenuti ad agire in modo responsabile e a ridurre al minimo qualsiasi potenziale impatto su Cybex, sui suoi clienti e su terze parti.

Pertanto, chiediamo di:

• limitare la ricerca a prodotti, sistemi e servizi che rientrano in questa informativa;
• usare account, dispositivi e dati di cui si è proprietari o per cui si dispone di un’autorizzazione specifica, ove possibile;
• eseguire solo i test essenziali necessari per verificare e dimostrare una potenziale vulnerabilità;
• fermare i test qualora vi sia il rischio di compromettere la disponibilità, la sicurezza, la riservatezza o l’integrità di un prodotto, un servizio, un sistema o dei dati dei clienti;
• evitare di accedere intenzionalmente ai dati personali di altri utenti;
• interrompere subito i test e avvisare Cybex se si accede non intenzionalmente a informazioni sensibili o personali;
• evitare di copiare, scaricare, conservare o trasmettere dati oltre il necessario per dimostrare la vulnerabilità;
• non stabilire una persistenza né mantenere un accesso non autorizzato;
• non effettuare movimenti laterali verso altri sistemi;
• non caricare codici non autorizzati o malware;
• non modificare né eliminare dati dei clienti, aziendali, di configurazione o di produzione;
• non eseguire attacchi di tipo denial-of-service o distributed denial-of-service;
• non eseguire attacchi di phishing, spam, ingegneria sociale o di sicurezza fisica;
• non eseguire attacchi di brute-force o di password-spraying che potrebbero interessare gli account degli utenti o la disponibilità del servizio;
• non testare sistemi gestiti da terze parti salvo autorizzazione rilasciata separatamente dalla terza parte in questione;
• segnalare tempestivamente le vulnerabilità individuate, usando i canali ufficiali di Cybex; e
• cooperare con Cybex laddove siano ragionevolmente necessarie ulteriori informazioni per validare o correggere la vulnerabilità segnalata.

Generalmente, le sole scansioni di sicurezza automatizzate non sono sufficienti per l’invio di una segnalazione di vulnerabilità. I risultati automatizzati devono essere accompagnati da prove e da un contesto tecnico sufficienti a consentire a Cybex di comprendere e riprodurre il problema.

Divulgazione coordinata delle vulnerabilità

Cybex supporta la Divulgazione coordinata delle vulnerabilità (CVD).

Chiediamo ai ricercatori di sicurezza di concedere a Cybex un lasso di tempo ragionevole per indagare, correggere, mitigare e, ove necessario, fornire aggiornamenti di sicurezza agli utenti interessati prima che le informazioni dettagliate relative alla vulnerabilità siano rese pubbliche.

I ricercatori devono coordinare con Cybex le tempistiche e i contenuti della divulgazione pubblica insieme a Cybex.

Cybex non chiederà ai ricercatori che agiscono in conformità con la presente informativa di firmare un accordo di non divulgazione (NDA) come condizione per la segnalazione di una vulnerabilità.

Cybex collaborerà in buona fede con la parte segnalante per stabilire una tempistica di divulgazione adeguata, tenendo conto dei seguenti punti:

• gravità della vulnerabilità;
• sfruttabilità;
• prove dello sfruttamento;
• potenziali implicazioni per la sicurezza;
• prodotti e versioni interessati;
• numero di utenti potenzialmente interessati;
• disponibilità di misure di mitigazione;
• disponibilità e rilascio degli aggiornamenti di sicurezza; e
• rischi legati alla divulgazione pubblica di dettagli tecnici.

Cybex può richiedere che la pubblicazione dei dettagli della vulnerabilità sia temporaneamente ritardata laddove una divulgazione immediata dovesse aumentare significativamente il rischio relativo alla sicurezza informatica per i clienti o per i prodotti interessati, prima che sia disponibile una mitigazione adeguata.

Questo, però, non concede a Cybex il diritto di impedire la divulgazione a tempo indeterminato. L’obiettivo è coordinare la divulgazione in modo da proteggere adeguatamente gli utenti interessati.

Il nostro processo di gestione delle vulnerabilità

Le vulnerabilità segnalate sono gestite attraverso il processo di gestione delle vulnerabilità di Cybex.

A seconda del tipo di segnalazione, il processo può includere:

1. Ricevuta
   La segnalazione di vulnerabilità viene registrata e assegnata per la revisione.
    
2. Verifica iniziale
   Cybex determina il prodotto, l’applicazione, il servizio, il componente o l’infrastruttura interessati e assegna un responsabile tecnico appropriato.
    
3. Validazione
   Il team tecnico tenta di riprodurre la vulnerabilità segnalata e determina se il problema costituisca una reale vulnerabilità di sicurezza.
    
4. Valutazione del rischio per la sicurezza e il prodotto
   Cybex valuta fattori quali:
   • gravità;
   • sfruttabilità;
   • impatto potenziale;
   • versioni interessate;
   • impatto sui clienti;
   • riservatezza, integrità e disponibilità dei dati;
   • possibili implicazioni per la sicurezza del prodotto;
   • prove di sfruttamento attivo; e
   • se è coinvolto un componente o una dipendenza di terze parti.
      
5. Correzione o mitigazione
   Il team responsabile dei prodotti o dell’ingegneria valuta e implementa una correzione, un aggiornamento di sicurezza, una modifica della configurazione o una mitigazione appropriati.
    
6. Verifica
   Ove appropriato, Cybex verifica che la correzione affronti adeguatamente la vulnerabilità individuata.
    
7. Aggiornamento di sicurezza e comunicazione con la clientela
   Laddove sia necessario un aggiornamento di sicurezza o qualsiasi altra azione da parte dei clienti, Cybex fornirà informazioni appropriate agli utenti interessati.
    
8. Divulgazione coordinata
   Ove applicabile, Cybex coordinerà la divulgazione con l’entità segnalante.
    
9. Chiusura
   Il caso di vulnerabilità viene chiuso dopo che sono state completate le appropriate attività relative a correzione, divulgazione, comunicazione e documentazione.

Tempistiche di risposta

CYBEX mira a mantenere una comunicazione chiara e tempestiva durante tutto il processo di gestione delle vulnerabilità.

Laddove l’entità segnalante abbia fornito un metodo di contatto valido, CYBEX compirà sforzi ragionevoli per:

Attività	Approccio della risposta
Riconoscimento umano della segnalazione di vulnerabilità	Riconoscere la ricezione appena possibile
Controllo iniziale	Eseguire una valutazione iniziale in base alle informazioni disponibili
Redigere un riscontro dettagliato a seguito dell’analisi iniziale	Fornire ulteriori riscontri una volta completata l’analisi
Produrre uno stato di validazione, ove possibile	Comunicare se la vulnerabilità è stata confermata, ove possibile
Ulteriori aggiornamenti di stato	Fornire aggiornamenti, in modo appropriato, durante le indagini e la correzione
Divulgazione pubblica	Coordinare la divulgazione in base ai progressi della correzione, ai rischi del prodotto, alle considerazioni sulla sicurezza e ad altri fattori pertinenti

Le tempistiche di risposta, indagine e correzione possono variare a seconda della complessità e della gravità della vulnerabilità, dei prodotti interessati, delle dipendenze tecniche, delle implicazioni di sicurezza, della disponibilità di mitigazioni e del coinvolgimento di terze parti.

Le vulnerabilità che richiedono modifiche significative al prodotto, al software, al firmware o all’infrastruttura potrebbero richiedere tempi di indagine, test e correzione aggiuntivi.

CYBEX cercherà di mantenere una comunicazione adeguata con l’entità segnalante durante tutto il processo di gestione delle vulnerabilità.

Segnalazione di una vulnerabilità

Le potenziali vulnerabilità devono essere segnalate a: it-security@cybex-online.com

Si prega di inserire un oggetto chiaro come: Segnalazione di vulnerabilità di sicurezza – [Affected Product or Service]

Ove possibile, la segnalazione deve contenere:

• il prodotto, l’applicazione, il servizio, il dominio, l’API o il componente interessato;
• il prodotto interessato o la versione del software interessata;
• una descrizione della vulnerabilità;
• i passaggi necessari per riprodurre il problema;
• prova di concetto, se presente;
• il comportamento previsto rispetto a quello osservato;
• i timestamp pertinenti al test;
• screenshot, log o altre prove a supporto;
• il potenziale impatto sulla sicurezza;
• il possibile impatto sui clienti o sulla sicurezza;
• informazioni riguardanti una dipendenza di terze parti potenzialmente interessata;
• la presenza di uno sfruttamento in corso al di fuori dei test;
• la correzione suggerita, se nota; e
• un metodo di contatto per eventuali domande di follow-up.

Si prega di non inviare password, chiavi crittografiche private, token di autenticazione, dati personali non necessari o altre informazioni sensibili a meno che non siano essenziali per dimostrare la vulnerabilità.

Riservatezza e dati personali

Cybex tratterà le segnalazioni di vulnerabilità e le informazioni relative alle vulnerabilità non risolte come riservate nella misura in cui ciò sia ragionevolmente possibile e consentito dalla legge.

Le informazioni personali relative a un ente segnalante saranno trattate solo per scopi legittimi associati alla ricezione, all’indagine, alla correzione e al coordinamento della vulnerabilità segnalata o laddove altrimenti richiesto dalle leggi applicabili.

Cybex cercherà di limitare la condivisione delle informazioni personali dell’ente segnalante alle persone che richiedano accesso alla gestione della vulnerabilità.

Laddove Cybex sia legalmente tenuta a fornire informazioni sulla vulnerabilità a un’autorità per la sicurezza informatica competente, al CSIRT, a un’autorità di sorveglianza del mercato, all’ENISA, a un’autorità incaricata dell’applicazione della legge o a un’altra autorità competente, le informazioni verranno fornite in conformità agli obblighi legali applicabili.

Segnalazione alle autorità di regolamentazione

Il processo di divulgazione delle vulnerabilità è separato dagli obblighi interni di segnalazione di incidenti e vulnerabilità previsti dalle normative per Cybex.

Le vulnerabilità segnalate in base a questa informativa vengono valutate per determinare se si applicano ulteriori obblighi di notifica o di segnalazione ai sensi della legislazione pertinente sulla sicurezza informatica, tra cui l’EU Cyber Resilience Act.

Laddove richiesto dalla legge, Cybex potrebbe informare l’autorità competente, il CSIRT, l’ENISA o un’altra autorità.

L’ente segnalante non è responsabile di determinare se una vulnerabilità soddisfi gli obblighi di segnalazione normativa di Cybex.

Vulnerabilità di terze parti

Se una vulnerabilità segnalata proviene da un componente di terze parti incorporato o utilizzato da un prodotto Cybex, Cybex valuterà l’impatto di tale vulnerabilità sul prodotto Cybex.

Laddove necessario, Cybex potrebbe collaborare con il fornitore, il provider del software, il progetto open-source o altra parte responsabile per agevolare la correzione.

I ricercatori non devono utilizzare questa informativa come autorizzazione per testare l’infrastruttura di terze parti.

Riconoscimento dei ricercatori

Cybex apprezza la ricerca responsabile sulla sicurezza.

Ove opportuno e con il consenso esplicito del ricercatore, Cybex potrebbe riconoscere pubblicamente i ricercatori che segnalano vulnerabilità valide in modo responsabile.

La partecipazione a questa Informativa sulla divulgazione delle vulnerabilità non implica che Cybex gestisca un programma di bug bounty o di ricompensa finanziaria, salvo diversa esplicita indicazione.

Revisione dell’informativa

Questa informativa è di proprietà di Cybex IT Security, con impegni esterni coordinati con la Product Compliance.

L’informativa sarà rivista almeno con cadenza annuale e ogniqualvolta vi siano modifiche sostanziali a:

• prodotti o servizi Cybex;
• canali di segnalazione delle vulnerabilità;
• processi di gestione delle vulnerabilità;
• normativa sulla sicurezza informatica applicabile; o
• ruoli organizzativi responsabili.

Per qualsiasi domanda su questa informativa o per dubbi riguardo alle ricerche sulla sicurezza consentite, è possibile scrivere all’indirizzo: it-security@cybex-online.com