Politica di divulgazione della vulnerabilità

Ultimo aggiornamento: 5 settembre 2019

Kraken Security Labs conduce regolarmente ricerche sulla sicurezza di applicazioni, hardware e prodotti di uso comune. Tali ricerche hanno lo scopo di informare e proteggere gli utenti finali di questi servizi e prodotti. La presente policy descrive come Kraken Security Labs gestisce la divulgazione responsabile delle vulnerabilità quando individuiamo falle di sicurezza in prodotti e servizi di terze parti.

Kraken Security Labs notificherà al fornitore competente la presenza di una falla di sicurezza all'interno dei suoi prodotti e/o servizi. Il primo tentativo di contatto avverrà tramite i recapiti o i meccanismi formali indicati sul sito web del fornitore. Qualora tali informazioni di contatto non siano disponibili, Kraken Security Labs si impegnerà al massimo per individuare un canale di contatto adeguato. Una volta individuato un meccanismo di contatto formale o appropriato, le informazioni rilevanti sulla vulnerabilità saranno trasmesse al fornitore in modo sicuro.

Se il fornitore non dà riscontro alla notifica iniziale entro cinque (5) giorni lavorativi, Kraken Security Labs avvierà un secondo contatto. Qualora Kraken Security Labs esaurisca tutti i mezzi sopra indicati per contattare il fornitore, potrà pubblicare un avviso pubblico con i risultati delle proprie analisi quindici (15) giorni lavorativi dopo il tentativo di contatto iniziale.

Se il fornitore risponde entro i tempi sopra indicati, Kraken Security Labs gli chiederà di specificare un termine desiderato per la risoluzione. Kraken Security Labs concederà al fornitore fino a novanta (90) giorni di calendario per correggere la vulnerabilità con una patch. Allo scadere del termine o anche prima (se comunicato dal fornitore), se la vulnerabilità è stata corretta, oppure se il fornitore non risponde o non è in grado di fornire una motivazione ragionevole sul perché la vulnerabilità non è stata risolta, Kraken Security Labs pubblicherà un avviso disponibile al pubblico, con raccomandazioni di mitigazione per proteggere gli utenti finali.

Kraken Security Labs si impegnerà al massimo per collaborare con i fornitori e garantire che comprendano i dettagli tecnici e la gravità di una falla di sicurezza segnalata. Se il fornitore di un prodotto non è in grado o sceglie di non correggere una determinata falla di sicurezza, Kraken Security Labs potrà proporsi di collaborare con tale fornitore per divulgare pubblicamente la falla insieme ad alcune soluzioni alternative efficaci.

Qualora Kraken Security ritenga opportuno avvisare immediatamente il pubblico di una vulnerabilità, a causa del rischio o dell'impatto sulla sicurezza dell'utente finale di un prodotto o servizio, Kraken Security Labs informerà contemporaneamente il fornitore e il pubblico dei propri risultati. Nella comunicazione al fornitore, Kraken Security Labs indicherà i fattori considerati nella decisione di pubblicare immediatamente i propri risultati.