Politica di Divulgazione delle Vulnerabilità (Vulnerability Disclosure Policy)
Il nostro impegno
Omicron Sistemi considera la sicurezza informatica una priorità per i propri prodotti e servizi. In conformità con il Regolamento (UE) 2024/2847 (Cyber Resilience Act), accogliamo con favore le segnalazioni di vulnerabilità di sicurezza da parte di ricercatori, clienti e chiunque le individui in buona fede, e ci impegniamo a gestirle in modo responsabile e trasparente.
Questa pagina descrive come segnalarci una vulnerabilità, cosa aspettarsi da noi durante il processo, e le regole di comportamento che chiediamo di rispettare.
Ambito di applicazione
Questa policy si applica ai seguenti prodotti e servizi:
- RES - Software Gestione Rifiuti
- MAGA - Software Gestione Magazzino
- MAGA Ricambi Mobile - App Gestione Magazzino Ricambi
- FATT - Software Gestione Fatturazione
- COGE - Software Gestione Contabilità
- ABC - Software Gestione Documenti
- DEALER - Software Gestione Commerciale
- VisurePra - Portale Visure Pra
- TrovaRicambi - Portale Gestione Ricambi
- OmiTicket - Portale Assistenza Tecnica
- eTeach - Software Gestione Formazione
- OsCar - Software Gestione Bisogni e Povertà
- EduCarlo - Software Gestionale per ente del Terzo Settore
- AppliCarlo - App Supporto Formazione per ente del Terzo Settore
Sono esclusi da questa policy:
- Sistemi e infrastrutture di terze parti non direttamente gestiti da Omicron Sistemi
- Tutti i software e i portali di Omicron Sistemi non citati nell'elenco precedente
Come segnalare una vulnerabilità
Se ritenete di aver individuato una vulnerabilità di sicurezza, contattateci tramite:
Vi chiediamo di includere, per quanto possibile:
- Una descrizione chiara della vulnerabilità e del prodotto/sistema coinvolto
- I passaggi necessari per riprodurla (proof of concept, se disponibile)
- L'impatto potenziale, secondo la vostra valutazione
- I vostri dati di contatto, per eventuali chiarimenti (facoltativo se preferite restare anonimi)
Cosa potete aspettarvi da noi
| Fase | Tempistica |
|---|---|
| Conferma di ricezione della segnalazione | Entro 24 ore |
| Valutazione preliminare e classificazione (vulnerabilità attivamente sfruttata / incidente grave / altro) | Entro 72 ore |
| Rapporto finale con descrizione completa, dettagli della patch (se applicabile) | Entro 14 giorni dalla disponibilità della patch, o entro 1 mese per incidenti gravi |
- Trattare ogni segnalazione con riservatezza
- Mantenervi informati sui progressi, nei limiti di quanto opportuno
- Non intraprendere azioni legali nei confronti di chi segnala una vulnerabilità in buona fede e nel rispetto di questa policy
Le tempistiche sopra indicate riflettono anche gli obblighi di notifica alle autorità competenti previsti dall'Art. 14 del Cyber Resilience Act per vulnerabilità attivamente sfruttate e incidenti gravi.
Linee guida per una segnalazione responsabile
Vi chiediamo di:
- Non divulgare pubblicamente la vulnerabilità prima che sia stata risolta o prima di un accordo reciproco sui tempi di divulgazione
- Non accedere, modificare o esfiltrare dati che non vi appartengono oltre quanto strettamente necessario a dimostrare la vulnerabilità
- Non interrompere o degradare i nostri servizi (es. attacchi DoS, spam, ingegneria sociale verso il nostro personale o i nostri clienti)
- Agire sempre nel rispetto delle leggi applicabili
Il rispetto di queste linee guida è condizione per l'applicazione delle tutele descritte in questa policy.
Note legali
Questa policy non costituisce un invito a testare attivamente i nostri sistemi al di fuori dell'ambito qui definito. Attività che esulano da questo ambito potrebbero essere perseguite secondo la normativa vigente.
Contatti
Email: security@omicronsistemi.it
Riferimento interno: Ing. Luca Arena, Responsabile Sviluppo
Questa policy è richiamata nel file security.txt pubblicato su /.well-known/security.txt del nostro sito.