// Sicurezza informatica

Se ritenete di aver trovato una vulnerabilità di sicurezza in un prodotto ITEM, scrivete a cybersecurity@item.to.it. Confermeremo la ricezione entro 5 giorni lavorativi, lavoreremo con voi alla correzione e concorderemo insieme quando rendere pubblica la vulnerabilità.

Ambito

Questa policy riguarda:

• i sistemi di visione e gli altri prodotti con elementi digitali che ITEM S.r.l. immette sul mercato, compresi il software e il firmware su cui funzionano;
• gli aggiornamenti di sicurezza e gli strumenti che ITEM fornisce per installarli;
• il sito www.item.to.it.

Non riguarda i prodotti di terzi che ITEM rivende senza modifiche, né i servizi forniti da altre aziende. Se la vulnerabilità che avete trovato in un prodotto ITEM ha origine in un componente di terzi (per esempio il sistema operativo o una libreria NVIDIA), segnalatecela comunque: ci coordineremo noi con chi mantiene il componente.

Come segnalare

Inviate un’email a cybersecurity@item.to.it, in italiano o in inglese. Indicate:

• il nome del prodotto e, se li conoscete, il modello e la versione del software;
• una descrizione della vulnerabilità e del suo possibile impatto;
• i passaggi per riprodurla, oppure una proof of concept;
• se sapete che la vulnerabilità è già sfruttata;
• come possiamo contattarvi e se volete essere citati per nome.

Non includete dati personali di terzi e non inviate i dettagli attraverso altri canali, come i social network o i moduli di contatto generici. Se dovete inviare materiale riservato, chiedetecelo nella prima email e concorderemo un modo sicuro per scambiarlo.

Cosa succede dopo la segnalazione

Passaggio	Quando
Confermiamo di aver ricevuto la segnalazione	Entro 5 giorni lavorativi
Vi diciamo se riusciamo a riprodurla e come ne valutiamo la gravità	Entro 15 giorni lavorativi
Vi aggiorniamo sull’avanzamento della correzione	Almeno ogni 30 giorni, fino al rilascio della correzione
Vi avvisiamo quando la correzione è disponibile e concordiamo con voi la data di pubblicazione	Al rilascio della correzione

Se una vulnerabilità è sfruttata attivamente, interveniamo subito e la notifichiamo alle autorità competenti come previsto dal Regolamento (UE) 2024/2847 (Cyber Resilience Act), attraverso la piattaforma unica di segnalazione dell’ENISA, al CSIRT Italia. Non comunichiamo la vostra identità alle autorità senza il vostro consenso, salvo quando la legge lo impone.

Divulgazione coordinata e riconoscimenti

Vi chiediamo di mantenere riservata la vulnerabilità finché non è disponibile una correzione e non abbiamo concordato una data di pubblicazione. Puntiamo a rendere disponibili le correzioni entro 90 giorni dalla segnalazione. Se ci serve più tempo, vi spieghiamo il motivo e concordiamo con voi una nuova data. Se ritenete che gli utenti corrano un rischio serio e che noi non stiamo intervenendo, ditecelo prima di pubblicare; potete anche contattare il CSIRT Italia, che può fare da coordinatore.

Quando pubblichiamo un avviso di sicurezza, citiamo chi ha segnalato la vulnerabilità, a meno che preferiate restare anonimi. ITEM non offre ricompense economiche per le segnalazioni.

Ricerca in buona fede

Accogliamo volentieri la ricerca svolta in buona fede. Vi chiediamo di:

• fare test solo su apparecchiature di vostra proprietà o che siete autorizzati a testare, mai su sistemi installati presso i nostri clienti;
• accedere, modificare o conservare solo i dati strettamente necessari a dimostrare la vulnerabilità, e cancellarli quando la segnalazione è chiusa;
• evitare azioni che possano causare danni, interruzioni di servizio o rischi per la sicurezza delle persone: i nostri sistemi funzionano spesso su macchine industriali e veicoli;
• non usare tecniche di ingegneria sociale, attacchi fisici o test di tipo denial of service.

Se rispettate questa policy, ITEM considera la vostra ricerca autorizzata, non avvierà azioni legali nei vostri confronti per questo motivo e non presenterà denuncia alle autorità. Questo impegno non può vincolare terzi, come i nostri clienti o i proprietari di altri sistemi coinvolti.

Aggiornamenti e avvisi di sicurezza

Ogni prodotto ITEM ha un periodo di supporto, indicato nella sua documentazione e nella pagina del prodotto. Durante il periodo di supporto ITEM fornisce gratuitamente gli aggiornamenti di sicurezza e informa i clienti quando un aggiornamento corregge una vulnerabilità.

Quando una correzione è disponibile, ITEM pubblica un avviso di sicurezza alla pagina www.item.to.it/it/sicurezza-informatica/avvisi, con i prodotti e le versioni coinvolti, la gravità, la versione corretta e le misure che i clienti possono adottare. I clienti possono chiedere di ricevere gli avvisi via email scrivendo a cybersecurity@item.to.it.

Dettagli della policy

Voce	Dettaglio
Pubblicata da	ITEM S.r.l., Torino
Contatto	cybersecurity@item.to.it
Lingue per le segnalazioni	Italiano, inglese
Contatto leggibile dalle macchine	www.item.to.it/.well-known/security.txt
Versione	1.0

ITEM può aggiornare questa policy. La versione in vigore è sempre quella pubblicata in questa pagina; le versioni precedenti sono disponibili su richiesta.