Politica di divulgazione delle vulnerabilita

Questa policy si applica a tutti i prodotti e le versioni Endian attualmente supportati:

• Endian 4i e Endian UTM Security Gateways
• Endian Switchboard
• Endian Network (servizio cloud)
• Endian Connect APP

Si applica anche ai componenti di terze parti e open source distribuiti all'interno di questi prodotti (vedere Componenti di terze parti e open source).

Non si applica a prodotti o servizi di altri fornitori, anche se utilizzati insieme a un prodotto Endian. La preghiamo di segnalarli al fornitore interessato.

Quando una segnalazione lo richiede, Endian costituisce un Product Security Incident Response Team (PSIRT). Il team comprende persone dei reparti garanzia della qualità, sviluppo, operations e product management, oltre ai responsabili dei prodotti interessati. Il PSIRT conferma e valuta il problema, coordina la correzione, tiene informato chi ha effettuato la segnalazione e, dove il CRA lo richiede, effettua la segnalazione alle autorità.

Segnali i problemi di sicurezza tramite l'Endian Service Desk: https://services.endian.com

1. Una volta sul sito Endian Service, scelga «Product Security». Quindi scelga:
   • «Report a security vulnerability» – se ha individuato o desidera segnalare un problema di sicurezza.
   • «Report a security incident» – se un prodotto Endian nella sua rete è stato, o potrebbe essere stato, compromesso.
2. Compili i campi richiesti e alleghi eventuali file di supporto.
3. Invii la segnalazione. Riceverà un numero di riferimento per tutte le comunicazioni successive.

Riservatezza. Le segnalazioni di vulnerabilità vengono registrate in un sistema di tracciamento della sicurezza ad accesso limitato e sono visibili solo alle persone che gestiscono il caso. Se la sua segnalazione contiene materiale particolarmente sensibile, come codice exploit funzionante o dati provenienti da un sistema reale, lo indichi nella sua richiesta. Concorderemo quindi con lei le modalità di trasferimento.

Dati personali. La preghiamo di non includere dati personali, a meno che non siano necessari per dimostrare il problema. Trattiamo i dati personali che riceviamo nel rispetto del GDPR e unicamente per gestire la sua segnalazione.

La preghiamo di non segnalare le vulnerabilità tramite canali pubblici come forum, social media, bacheche della community o issue tracker pubblici. I post pubblici possono mettere a rischio altri utenti prima che esista una correzione. Utilizzi sempre il Service Desk.

La informiamo in ogni fase. Le segnalazioni provenienti da CERT nazionali, CSIRT e altri organismi di coordinamento vengono confermate entro 24 ore e inoltrate direttamente a un PSIRT.

Valutiamo ogni vulnerabilità confermata con CVSS v4.0, il Common Vulnerability Scoring System gestito da FIRST. Calcoliamo un nostro punteggio anche quando chi segnala ne fornisce uno e teniamo conto di come il prodotto viene solitamente utilizzato.

Qualsiasi vulnerabilità attivamente sfruttata riceve la massima priorità, indipendentemente dal punteggio.

Fissiamo la soglia per la divulgazione pubblica a 4.0, più bassa rispetto a molti fornitori. I nostri prodotti proteggono le reti, quindi anche un problema moderato può avere importanza se combinato con altri.

Se una vulnerabilità riguarda un componente di terze parti o open source che distribuiamo, lo comunichiamo al maintainer di quel componente attraverso il suo canale ufficiale di segnalazione della sicurezza. Lo facciamo in modo riservato e coordiniamo con lui la divulgazione. Verifichiamo inoltre quali prodotti e versioni Endian includono il componente interessato.

Seguiamo la divulgazione coordinata: correggiamo il problema e rendiamo disponibile l'aggiornamento ai clienti prima che i dettagli diventino pubblici. La preghiamo di non pubblicare i dettagli di una vulnerabilità finché la correzione non è disponibile o finché non abbiamo concordato una data con lei. Se intende pubblicare la sua ricerca, ce lo comunichi e allineeremo le tempistiche.

Quando rilasciamo una correzione per una vulnerabilità divulgata, le release notes che accompagnano l'aggiornamento di sicurezza indicano:

• i prodotti e le versioni interessati,
• una descrizione della vulnerabilità e del suo impatto,
• la gravità (CVSS v4.0),
• la versione corretta ed eventuali soluzioni alternative.

Quando è necessario un suo intervento, ad esempio per applicare un aggiornamento o una soluzione alternativa, informiamo anche direttamente i clienti interessati. Tralasciamo i dettagli che potrebbero essere utili soprattutto a un utente malintenzionato.

Dall'11 settembre 2026, il CRA impone ai produttori di segnalare determinate vulnerabilità e incidenti alle autorità. Endian trasmette queste segnalazioni a ENISA/CSIRT tramite la piattaforma unica di segnalazione dell'UE. Segnaliamo:

• le vulnerabilità attivamente sfruttate nei nostri prodotti e
• gli incidenti gravi che riguardano la sicurezza dei nostri prodotti.

Applichiamo la stessa gestione urgente alle vulnerabilità che classifichiamo come gravi (CVSS 7.0 o superiore).

Queste segnalazioni alle autorità sono riservate. Non sostituiscono la correzione e la comunicazione ai clienti descritte sopra.

Se non ha ricevuto una conferma entro 2 giorni lavorativi, o se la gestione della sua segnalazione non la soddisfa, aggiunga un commento alla sua richiesta nel Service Desk chiedendo l'escalation. Il caso verrà portato al responsabile del team competente.

Non intraprenderemo azioni legali contro chi individua e segnala una vulnerabilità in buona fede nel rispetto di questa policy. Consideriamo autorizzata la ricerca condotta in buona fede nel rispetto di questa policy. In cambio, la preghiamo di:

• effettuare test solo su sistemi e dati di sua proprietà o che è autorizzato a utilizzare,
• evitare violazioni della privacy, distruzione di dati e interruzioni del servizio; nessun test di denial of service,
• non utilizzare social engineering né attacchi fisici contro dipendenti, clienti o partner di Endian,
• accedere e conservare solo i dati minimi necessari a dimostrare il problema, ed eliminarli una volta chiusa la segnalazione,
• concederci una ragionevole possibilità di correggere il problema prima di qualsiasi divulgazione pubblica.

Le azioni dolose, che causano danni o che violano la legge non sono coperte.

Endian può aggiornare questa policy in qualsiasi momento; la versione qui pubblicata è quella attuale. Gestiamo ogni segnalazione secondo questa policy, ma non possiamo garantire un risultato o una tempistica specifici per ogni problema.