Politica di segnalazione delle vulnerabilità del prodotto

Ambito

La presente Politica di segnalazione delle vulnerabilità dei prodotti («Politica») si applica alle potenziali vulnerabilità di sicurezza informatica che interessano i prodotti Wabtec e i suoi componenti, inclusi il software associato, il firmware e i servizi digitali relativi ai prodotti forniti da Wabtec.

Wabtec accoglie con favore le segnalazioni relative ai prodotti indipendentemente dal fatto che il segnalante abbia o meno una relazione commerciale con Wabtec. Le segnalazioni relative a prodotti che non sono più supportati possono essere valutate caso per caso. L'accettazione o la valutazione di tale rapporto non significa che Wabtec fornirà una patch, un aggiornamento o altra correzione per un prodotto al di fuori del periodo di supporto applicabile.

Questa politica è destinata alle vulnerabilità della sicurezza informatica del prodotto. L'assistenza generale al prodotto, i problemi di qualità del prodotto senza un impatto sulla sicurezza informatica, le richieste di garanzia e altre questioni non relative alla sicurezza devono essere indirizzate al canale di assistenza clienti Wabtec applicabile.

Il collaudo di sistemi, reti, prodotti o ambienti di proprietà o gestiti dai clienti Wabtec o da altre terze parti non è autorizzato dalla presente Politica.

Ricerca sulla sicurezza in buona fede

Wabtec supporta la ricerca sulla sicurezza in buona fede volta a identificare e segnalare in modo responsabile le potenziali vulnerabilità della sicurezza informatica nei prodotti Wabtec.

Se conduci ricerche di sicurezza in conformità con questa Politica, agisci in buona fede per evitare danni a Wabtec, ai nostri clienti e ad altre terze parti e segnali prontamente le vulnerabilità identificate a Wabtec, Wabtec non avvierà azioni legali contro di te esclusivamente per tale ricerca.

Questo impegno si applica solo alle affermazioni alle quali Wabtec ha l'autorità legale di rinunciare o controllare. Non autorizza l'accesso o il collaudo di sistemi, prodotti, reti o ambienti di proprietà o gestiti da clienti o altre terze parti senza il loro permesso e non vincola terze parti indipendenti o autorità governative o di polizia.

L'utente rimane responsabile del rispetto delle leggi applicabili e dell'ottenimento delle autorizzazioni richieste dal proprietario o dall'operatore di un sistema, prodotto, rete o ambiente.

Se non siete sicuri che una particolare ricerca sia coerente con questa Politica, contattate Wabtec PSIRT prima di procedere.

Regole di ingaggio

Per promuovere una ricerca responsabile e proteggere i clienti, i dipendenti, le operazioni e altre terze parti di Wabtec, i ricercatori che partecipano ai sensi della presente Politica devono:

• Fare uno sforzo in buona fede per evitare danni a Wabtec, ai nostri clienti, ad altre terze parti e al pubblico;
• Conduci test solo su prodotti, sistemi e ambienti di tua proprietà o per i quali disponi dell'autorizzazione appropriata;
• Evita di testare servizi o infrastrutture di terze parti, inclusi gli ambienti di produzione dei clienti, a meno che tu non disponga di un'autorizzazione separata dalla terza parte applicabile;
• Evitare qualsiasi attività che possa influire negativamente sulla sicurezza o sulla disponibilità degli ambienti ferroviari, di transito, minerari, industriali o di altro tipo;
• Evitare di interferire con il materiale rotabile, il controllo del treno, il segnalamento, la frenata, le comunicazioni o altre funzionalità operative o legate alla sicurezza;
• Evitare la negazione del servizio, l'esaurimento delle risorse, i test distruttivi o distruttivi;
• Evita i test di sicurezza fisica e l'ingegneria sociale, incluso il phishing;
• Evitare l'introduzione di malware, ransomware, meccanismi di persistenza o altre funzionalità dannose;
• Evitare l'accesso, la modifica, l'eliminazione, il download o l'esfiltrazione dei dati oltre il minimo necessario per dimostrare l'esistenza e il potenziale impatto di una vulnerabilità;
• Interrompi i test e avvisa direttamente Wabtec se ottieni l'accesso a dati sensibili, credenziali, informazioni sui clienti o funzionalità oltre a quanto necessario per dimostrare la vulnerabilità;
• Evita movimenti laterali o tentativi di stabilire un accesso continuo dopo che è stata dimostrata una vulnerabilità;
• Evitare di caricare informazioni non pubbliche sulle vulnerabilità, informazioni sui clienti o altre informazioni sensibili su servizi pubblici o di terze parti, laddove ciò potrebbe comportare una divulgazione non autorizzata; e
• Coordina la divulgazione della vulnerabilità segnalata con Wabtec come descritto di seguito, in particolare, non divulgate pubblicamente le vulnerabilità identificate fino a quando Wabtec non avrà confermato la correzione della vulnerabilità identificata.

La ricerca che coinvolge funzionalità relative alla sicurezza deve essere eseguita solo in un ambiente non operativo adeguatamente controllato e con tutte le autorizzazioni richieste.

Generalmente non rientra nell'ambito di applicazione

In genere, Wabtec non considera le osservazioni relative alle migliori pratiche di sicurezza o ai problemi di configurazione senza un impatto dimostrabile sulla sicurezza informatica come vulnerabilità della sicurezza informatica dei prodotti.

Gli esempi possono includere:

• Divulgazione della versione informativa senza un impatto dimostrato sulla sicurezza;
• intestazioni di sicurezza HTTP mancanti o consigliate senza dimostrata sfruttabilità;
• vulnerabilità teoriche senza un percorso di attacco credibile o un impatto sulla sicurezza;
• risultati che dipendono esclusivamente da browser, sistemi operativi o piattaforme di terze parti obsoleti o non supportati;
• Problemi che richiedono un'interazione non plausibile con l'utente senza un impatto significativo sulla sicurezza; e
• Altre raccomandazioni relative alla configurazione o al rafforzamento della sicurezza che non comportano rischi materiali in materia di riservatezza, integrità, disponibilità, privacy, sicurezza o funzionamento.

Questo elenco è illustrativo piuttosto che esaustivo. Wabtec può valutare qualsiasi segnalazione in cui il segnalante dimostri un impatto significativo sulla sicurezza informatica, sulla privacy o sull'operatività.

Se non sei sicuro che un problema rientri nell'ambito di applicazione, ti invitiamo a segnalarlo.

Cosa succede dopo aver segnalato una vulnerabilità

Wabtec PSIRT coordina la gestione delle potenziali vulnerabilità di sicurezza informatica dei prodotti segnalate. Il processo consiste generalmente nelle seguenti fasi.

1. Ricezione e triage

Wabtec PSIRT riceve ed esegue una revisione iniziale delle segnalazioni di vulnerabilità.

Wabtec PSIRT accetta le segnalazioni in qualsiasi momento e si impegnerà a confermare la ricezione di una segnalazione di vulnerabilità entro due giorni lavorativi.

Le segnalazioni che indicano un rischio imminente per la sicurezza, uno sfruttamento attivo o un impatto significativo sui clienti o sulle operazioni avranno la priorità per una valutazione rapida.

2. Valutazione tecnica

Wabtec valuta le potenziali vulnerabilità segnalate e, se del caso, collabora con i team competenti in materia di prodotto, ingegneria, sicurezza informatica, sicurezza, legale e altri team per:

• Convalidare e riprodurre il problema segnalato;
• Determinare i prodotti e le versioni interessati;
• Valuta il potenziale impatto sulla sicurezza informatica, sulla privacy e sull'operatività;
• Valutare la sfruttabilità e la gravità; e
• Determina se sono necessarie informazioni aggiuntive da parte del segnalante.

Wabtec può contattare il segnalante durante questo processo per ulteriori informazioni tecniche o chiarimenti.

3. Bonifica e mitigazione

Per le vulnerabilità convalidate, Wabtec determinerà le misure correttive o di mitigazione del rischio appropriate in base alle circostanze.

A seconda della vulnerabilità e del prodotto interessato, queste misure possono includere aggiornamenti del software o del firmware, modifiche alla configurazione, controlli di compensazione, soluzioni alternative, assistenza per i clienti o altre misure.

Le tempistiche di risposta e correzione variano a seconda di fattori, tra cui la gravità e la complessità della vulnerabilità, i prodotti interessati, le considerazioni sulla sicurezza, la disponibilità delle mitigazioni, lo stato del ciclo di vita del prodotto e la necessità di coordinarsi con clienti, fornitori, fornitori di tecnologia, autorità di regolamentazione, CERT, CSIRT o altre parti interessate.

4. Divulgazione coordinata

Wabtec cerca di coordinare la divulgazione delle vulnerabilità della sicurezza informatica dei prodotti in modo da aiutare a proteggere i clienti e le altre parti interessate.

Chiediamo ai giornalisti di mantenere la riservatezza delle informazioni non pubbliche sulle vulnerabilità mentre Wabtec indaga sul problema e, se del caso, sviluppa e coordina misure di riparazione o mitigazione.

Wabtec cercherà di collaborare in buona fede con il segnalante per stabilire una tempistica di divulgazione appropriata, ove appropriato. La tempistica della divulgazione può tenere conto di fattori tra cui:

• gravità e sfruttabilità della vulnerabilità;
• prove di uno sfruttamento attivo o imminente;
• potenziali conseguenze operative o di sicurezza;
• Disponibilità e convalida delle misure di riparazione o mitigazione;
• considerazioni sull'implementazione per i clienti interessati;
• Coordinamento con i fornitori e le altre parti interessate; e
• Requisiti legali e normativi applicabili

I ricercatori non devono divulgare pubblicamente i dettagli delle vulnerabilità prima di una data concordata di divulgazione coordinata, salvo diversa disposizione della legge applicabile.

5. Riconoscimento del reporter

Ove appropriato e con il consenso del segnalante, Wabtec può riconoscere il segnalante in un avviso di sicurezza pubblicato o in un'altra comunicazione sulle vulnerabilità. I segnalatori possono anche richiedere che la loro identità rimanga riservata o che non ricevano un riconoscimento pubblico.

Avvisi di sicurezza e notifiche ai clienti

Ove appropriato, Wabtec può pubblicare un avviso di sicurezza o fornire altre notifiche per aiutare i clienti interessati a comprendere e affrontare un rischio di sicurezza informatica identificato.

A seconda delle circostanze, un avviso o una notifica può includere:

• una descrizione della vulnerabilità;
• Prodotti e versioni interessati;
• Un identificatore CVE e informazioni sulla gravità della vulnerabilità, ove applicabile;
• Potenziale impatto sulla sicurezza informatica, operativo o sulla sicurezza;
• fattori attenuanti o soluzioni alternative noti; e
• Patch disponibili, aggiornamenti, modifiche alla configurazione o altre azioni consigliate.

La tempistica, la forma e il contenuto di una notifica dipenderanno dalle circostanze della vulnerabilità, tra cui la sicurezza e la protezione dei clienti, il rischio di sfruttamento, la disponibilità delle soluzioni correttive, i prodotti e i clienti interessati, il coordinamento con le terze parti e i requisiti legali e normativi applicabili.

Ove appropriato, Wabtec può coordinare le informazioni sulle vulnerabilità con i CERT, i CSIRT pertinenti, altre autorità governative, organizzazioni del settore, fornitori o altre parti interessate.

Nessuna ricompensa o risarcimento

A meno che Wabtec non concordi espressamente diversamente per iscritto, la presente Politica non costituisce un programma di bug bounty e l'invio di una segnalazione di vulnerabilità non dà diritto a risarcimenti, rimborsi o altri pagamenti.

Limitazioni della politica

La partecipazione a questo programma di divulgazione delle vulnerabilità non concede alcun diritto o licenza sulla proprietà intellettuale di Wabtec se non nella misura limitata necessaria per condurre ricerche consentite dalla presente Politica.

Niente in questa Politica autorizza attività che violano la legge applicabile o i diritti di terzi.

Wabtec può aggiornare la presente Informativa di tanto in tanto per riflettere i cambiamenti nei suoi prodotti, nei processi di gestione delle vulnerabilità, nei requisiti applicabili o nelle migliori pratiche di sicurezza.

Contatta Wabtec PSIRT

Le potenziali vulnerabilità della sicurezza informatica dei prodotti devono essere segnalate al Wabtec Product Security Incident Response Team: PSIRT [at] Wabtec [dot] com

Per informazioni sensibili sulle vulnerabilità, si prega di utilizzare la chiave PGP pubblica di Wabtec.