Politica di divulgazione coordinata delle vulnerabilità

1. Obiettivo e principio

La sicurezza dei nostri componenti per ascensori, in particolare degli elementi di comando e visualizzazione e delle pulsantiere, rappresenta per noi la massima priorità.

La presente politica descrive il nostro processo strutturato per la segnalazione e la gestione delle vulnerabilità. Il suo obiettivo è consentire che le vulnerabilità ci vengano segnalate in modo da permetterci di esaminarle, valutarle e correggerle prima che informazioni dettagliate in merito vengano divulgate a terzi o al pubblico.

2. Ambito di applicazione

La presente politica si applica a tutti i prodotti con elementi digitali da noi immessi o messi a disposizione sul mercato, compresi i relativi componenti hardware e software.

Essa comprende anche le segnalazioni di potenziali vulnerabilità nei componenti di terzi, qualora tali componenti siano inclusi nei nostri prodotti con elementi digitali.

3. Canali di segnalazione e punto di contatto unico

Abbiamo designato un punto di contatto unico, facilmente identificabile dagli utilizzatori e dai ricercatori di sicurezza, al fine di consentire una comunicazione diretta e rapida e facilitare la segnalazione delle vulnerabilità dei nostri prodotti con elementi digitali.

Contatto per la segnalazione delle vulnerabilità:
Le vulnerabilità possono essere segnalate tramite e-mail al seguente indirizzo:

cybersecurity@ws-schaefer.com

Segnalazione anonima e indiretta:
Le vulnerabilità possono essere segnalate direttamente a noi oppure indirettamente e, su richiesta, in forma anonima, tramite i CSIRT nazionali (Computer Security Incident Response Teams) designati come coordinatori ai fini della divulgazione coordinata delle vulnerabilità a norma dell’articolo 12, paragrafo 1, della direttiva (UE) 2022/2555.

4. Processo di gestione delle vulnerabilità e riservatezza

Analisi, valutazione e correzione:
Dopo aver ricevuto una segnalazione, analizziamo e valutiamo la vulnerabilità segnalata. In relazione ai rischi posti al prodotto con elementi digitali interessato, affrontiamo e correggiamo le vulnerabilità senza ritardo.

Riservatezza e divulgazione coordinata:
Al fine di proteggere i nostri utilizzatori, in particolare i gestori di ascensori e i passeggeri, chiediamo ai ricercatori di sicurezza e alle altre persone o organizzazioni che effettuano una segnalazione di non divulgare pubblicamente informazioni dettagliate sulla vulnerabilità segnalata prima che abbiamo avuto la possibilità di esaminarla, valutarla e correggerla e, se del caso, di mettere a disposizione adeguate misure correttive.

Il nostro obiettivo è una divulgazione coordinata che consenta sia una correzione efficace sia un’adeguata informazione degli utilizzatori interessati.

Aggiornamenti di sicurezza:
Ove necessario per correggere o attenuare una vulnerabilità, sviluppiamo e distribuiamo patch o aggiornamenti di sicurezza appropriati durante il periodo di assistenza applicabile al prodotto interessato.

Gli aggiornamenti di sicurezza sono diffusi tempestivamente e gratuitamente, salvo diversamente convenuto tra noi e un utilizzatore commerciale in relazione a un prodotto su misura con elementi digitali. Sono accompagnati da messaggi di avviso e dalle informazioni pertinenti, comprese, ove applicabile, le eventuali misure che l’utilizzatore deve adottare.

Ove tecnicamente fattibile, i nuovi aggiornamenti di sicurezza sono forniti separatamente dagli aggiornamenti della funzionalità. Per la distribuzione sicura degli aggiornamenti utilizziamo meccanismi appropriati.

Informazioni e divulgazione pubblica:
Una volta reso disponibile un aggiornamento di sicurezza, condividiamo e divulghiamo pubblicamente informazioni appropriate sulla vulnerabilità risolta. Tali informazioni possono comprendere in particolare:

• una descrizione della vulnerabilità,
• informazioni che consentano agli utilizzatori di identificare il prodotto con elementi digitali interessato,
• l’impatto della vulnerabilità,
• la sua gravità, e
• informazioni chiare e accessibili che aiutino gli utilizzatori a correggere o attenuare la vulnerabilità.

In casi debitamente giustificati, qualora i rischi per la sicurezza legati alla pubblicazione siano superiori ai benefici in termini di sicurezza, possiamo ritardare la divulgazione pubblica delle informazioni relative a una vulnerabilità risolta fino a quando gli utilizzatori non abbiano avuto un’adeguata possibilità di applicare la relativa patch o l’aggiornamento di sicurezza.

5. Disponibilità della presente politica

La presente politica di divulgazione coordinata delle vulnerabilità è disponibile in modo permanente tramite il nostro punto di contatto unico o attraverso le nostre informazioni sulla cibersicurezza accessibili al pubblico.

Un riferimento al punto di contatto unico e alla presente politica è inoltre incluso nelle informazioni e istruzioni che accompagnano i nostri prodotti con elementi digitali.