Politica di divulgazione delle vulnerabilità (VDP)

1 Introduzione

In Scatter Instruments la sicurezza dei sistemi e la protezione dei dati dei clienti sono una priorità assoluta. Apprezziamo il ruolo dei ricercatori di sicurezza indipendenti che ci aiutano a mantenere elevati standard di sicurezza.

Ci impegniamo a collaborare con la comunità della sicurezza per risolvere le vulnerabilità verificate in modo tempestivo e responsabile.

2 Safe Harbor

Scatter Instruments non intraprenderà azioni legali contro chi scopre e segnala vulnerabilità di sicurezza nel rispetto di questa politica. Consideriamo autorizzata la ricerca di sicurezza svolta secondo questa politica.

Per beneficiare di questa tutela devi:

• Rispettare tutte le regole e linee guida di questa politica
• Non compromettere la privacy o la sicurezza dei nostri clienti e dei loro dati
• Non interrompere né degradare in alcun modo i nostri servizi
• Agire in buona fede per evitare violazioni della privacy, distruzione di dati e interruzioni dei servizi

3 Ambito

Questa politica si applica ai seguenti siti e servizi pubblici di proprietà di Scatter Instruments:

Sistemi inclusi

• scatterinstrumentsonline.com
• www.scatterinstrumentsonline.com
• Qualsiasi altro sottodominio di scatterinstrumentsonline.com

Sistemi e azioni esclusi

Qualsiasi servizio non esplicitamente incluso è escluso dall'ambito. Le seguenti azioni sono severamente vietate:

• Test su servizi di terzi (processori di pagamento, strumenti di analisi, widget dei social media)
• Attacchi fisici contro le nostre strutture o attrezzature
• Ingegneria sociale (phishing, vishing) verso dipendenti, collaboratori o clienti
• Attacchi denial of service (DoS o DDoS)
• Pubblicazione di spam o uso di strumenti automatici per scansionare il sito in modo aggressivo
• Accedere, modificare o esfiltrare dati che non ti appartengono

4 Come segnalare una vulnerabilità

Se ritieni di aver trovato una vulnerabilità di sicurezza, invia la segnalazione via e-mail a contact@scatterinstruments.com.

Per informazioni sensibili ti invitiamo a cifrare la segnalazione con la nostra chiave PGP, disponibile nel nostro file security.txt.

Una buona segnalazione include:

• Un titolo chiaro e descrittivo
• Il tipo di vulnerabilità e il suo potenziale impatto
• L'URL completo o la risorsa in cui è stata scoperta la vulnerabilità
• Istruzioni dettagliate, passo per passo, per riprodurre il problema
• Eventuale codice proof-of-concept, screenshot o registrazioni dello schermo

5 Il nostro impegno

Quando segnali una vulnerabilità secondo questa politica, ci impegniamo a:

• Confermare la ricezione della segnalazione entro 2–3 giorni lavorativi
• Fornirti un referente e tenerti aggiornato sui progressi
• Esaminare e convalidare la segnalazione
• Correggere le vulnerabilità verificate il prima possibile
• Non divulgare pubblicamente i dettagli della vulnerabilità finché non è disponibile una correzione

6 Ricompense e riconoscimenti

Sebbene Scatter Instruments non offra al momento ricompense economiche (bug bounty), siamo profondamente grati per i contributi della comunità.

Per le segnalazioni verificate e idonee offriamo, con il tuo consenso, un riconoscimento pubblico nel nostro Albo d'onore dei ricercatori di sicurezza.