Cybersecurity presso HEIDENHAIN
La cybersecurity è per HEIDENHAIN un elemento fondamentale della nostra filosofia aziendale e saldamente radicato nei nostri processi. Per noi, la protezione dei nostri prodotti, sistemi e dati rappresenta un impegno costante che accompagna l’intero ciclo di vita.
Un elemento fondamentale del nostro approccio alla sicurezza è la gestione responsabile delle potenziali vulnerabilità. L'individuazione, la valutazione e la risoluzione strutturate delle vulnerabilità costituiscono una componente fondamentale del nostro sistema di gestione della sicurezza.
Il nostro commitment
La sicurezza dei nostri prodotti rappresenta la massima priorità per HEIDENHAIN. Disponiamo di un processo strutturato per la gestione delle vulnerabilità segnalate nei nostri prodotti, nelle nostre soluzioni e nella nostra infrastruttura IT e collaboriamo in un clima di fiducia con tutte le persone che ci segnalano tali vulnerabilità. Il rispetto, la supervisione costante e l'attuazione dei requisiti normativi – quali il Cyber Resilience Act (CRA) dell’UE – costituiscono parte integrante del nostro sistema di gestione della sicurezza informatica.
La presente direttiva fornisce indicazioni chiare su come segnalare le vulnerabilità e su come le gestiamo.
Ambito di applicazione
La presente direttiva si applica a tutti i prodotti offerti da HEIDENHAIN, indipendentemente dall’esistenza di contratti di assistenza o dallo stato del ciclo di vita di un prodotto.
Accogliamo con favore le segnalazioni provenienti da qualsiasi fonte: ricercatori, organizzazioni di settore, CERT, partner o altre terze parti. Per poter accettare una segnalazione non è necessario stipulare un accordo di riservatezza.
Se la segnalazione riguarda la nostra infrastruttura digitale (ad esempio il sito Web o i servizi utilizzati), contattare: security@heidenhain.com
Indicazioni per security researcher
HEIDENHAIN non avvierà alcuna azione legale nei confronti delle persone che effettuano segnalazioni, a condizione che siano rispettate le seguenti condizioni:
- Nessun danno alle persone
- Test effettuati solo nella misura necessaria a confermare la presenza di una vulnerabilità
- Test sui sistemi di produzione solo previo consenso esplicito
- Nessuna compromissione della funzionalità (nessun attacco DoS), nessun caso di ingegneria sociale e nessun accesso all’infrastruttura fisica
- Accesso limitato ai soli dati necessari ai fini della dimostrazione; nessuna modifica, cancellazione o esfiltrazione dei dati
- Tutela della sicurezza e della privacy altrui
- Rispetto delle leggi vigenti
- Disponibilità a una divulgazione coordinata (nessuna pubblicazione prima della scadenza di un termine concordato)
Apprezziamo molto le indicazioni, che ci aiutano a risolvere rapidamente i problemi.
Linee guida per security researcher
- Invitiamo a segnalarci quanto prima eventuali problemi di sicurezza, effettivi o potenziali.
- Utilizzare gli exploit solo nella misura necessaria a confermare la vulnerabilità.
- Abbiamo bisogno di tempo sufficiente per risolvere il problema. Pubblichiamo le vulnerabilità significative e confermate su CERT@VDE.
- Una divulgazione esterna immediata comporta una situazione di "zero-day" ed espone i sistemi dei nostri clienti, tra cui infrastrutture critiche, a rischi inutili. Pertanto, chiediamo espressamente che la divulgazione avvenga in modo coordinato.
Segnalazione di una vulnerabilità
- Invitiamo a utilizzare il nostro modulo di contatto per la cybersecurity per l'invio di segnalazioni dettagliate relative alle vulnerabilità, nonché dei relativi file e delle prove a sostegno.
- e-mail: product-security@heidenhain.com (Gli indirizzi e-mail indicati nel file security.txt servono esclusivamente per il primo contatto e non sono destinati alla trasmissione di informazioni sensibili o dettagliate relative alle vulnerabilità.)
Segnalazione tramite CERT@VDE: https://www.certvde.com/de/service/schwachstelle-melden/
Contenuto del messaggio
Invitiamo a fornire, se possibile, le seguenti informazioni:
- Prodotto o software interessato (compresi numero di identificazione e versione del firmware/aggiornamento)
- Descrizione della vulnerabilità, del luogo in cui è stata individuata e delle possibili conseguenze prevedibili
- Passaggi riproducibili (PoC, script, schermate, dati di rete)
- Se la vulnerabilità sia già di dominio pubblico
- Documenti correlati (CVE, comunicazioni, note di rilascio)
- Preferibilmente, la descrizione in lingua inglese
Il nostro processo di elaborazione
- Ricezione: confermiamo di aver ricevuto la segnalazione.
- Analisi: analizziamo e riproduciamo la vulnerabilità e, se necessario, richiediamo ulteriori informazioni.
- Gestione: ci occupiamo di coordinare la risoluzione del problema e forniamo aggiornamenti.
- Divulgazione: non appena una soluzione sarà disponibile o verrà resa pubblica (a seconda di quale delle due condizioni si verifichi per prima), pubblicheremo un avviso di sicurezza. Le voci CVE vengono redatte in collaborazione con CERT@VDE e pubblicate in base al CSAF.
Contenuti dei nostri avvisi di sicurezza