Política de Divulgación de Vulnerabilidades

Watertech S.p.A.

Cómo comunicar una vulnerabilidad de seguridad en un producto, sistema o servicio de Watertech, y qué ocurre a continuación.

Watertech S.p.A. diseña y fabrica contadores inteligentes de agua y gas, así como los sistemas de recogida de datos asociados. La seguridad de nuestros productos es inseparable de su fiabilidad metrológica y operativa.

Agradecemos la divulgación responsable de vulnerabilidades de seguridad. Si cree haber identificado un problema de seguridad que afecta a nuestros productos, sistemas o servicios, le pedimos que nos lo comunique. Toda comunicación recibe acuse de recibo y se evalúa y gestiona conforme a nuestro procedimiento interno de gestión de vulnerabilidades.

Para permitirnos una evaluación rápida, le pedimos que indique:

• el producto, el modelo y —si se conoce— la versión del firmware o del software afectada;
• una descripción de la vulnerabilidad y de su impacto potencial;
• los pasos necesarios para reproducirla (prueba de concepto, registros, capturas de tráfico, scripts);
• cualquier identificador CVE ya asignado, o referencias públicas;
• el nombre o seudónimo con el que desea, en su caso, ser mencionado, y un medio de contacto.

Aceptamos comunicaciones en italiano y inglés.

Confirmamos la recepción de su comunicación y le asignamos un identificador único. A continuación le indicamos si la vulnerabilidad queda confirmada, no es reproducible o queda fuera del alcance, junto con la severidad preliminar asignada, y le mantenemos informado del avance de la subsanación hasta el cierre.

Los plazos que aplicamos a la gestión y a la divulgación son conformes con el Reglamento de Ciberresiliencia. La fecha de publicación del aviso de seguridad se acuerda con usted y puede adelantarse si la vulnerabilidad está siendo explotada activamente, o ampliarse en casos complejos.

Si así lo solicita, reconocemos públicamente su contribución en el aviso de seguridad. Si prefiere permanecer en el anonimato, indíquenoslo. Watertech no gestiona actualmente un programa de bug bounty y no ofrece recompensas económicas por las comunicaciones recibidas.

Esta política cubre los contadores inteligentes de agua y gas de la marca Watertech y su firmware; los módulos de comunicación y concentradores asociados (NB-IoT, LoRaWAN, wM-Bus); las aplicaciones y servicios de gestión de datos que prestamos a nuestros clientes; y los servicios expuestos a Internet en los dominios de Watertech.

Quedan fuera del alcance:

• las pruebas de denegación de servicio (DoS/DDoS) y las pruebas de carga;
• los ataques de ingeniería social dirigidos al personal, los clientes o los proveedores de Watertech;
• el acceso físico no autorizado a instalaciones, almacenes o contadores instalados en campo;
• los resultados de escáneres automáticos remitidos sin una demostración del impacto;
• las debilidades teóricas sin un escenario de explotación realista;
• las vulnerabilidades de productos de terceros no integrados en nuestras soluciones.

Pedimos a quienes investigan sobre nuestros productos que:

1. actúen de buena fe y conforme a la legislación aplicable;
2. eviten cualquier acción que pueda afectar a la disponibilidad del servicio, a la integridad de la medida o a la confidencialidad de los datos de los clientes;
3. limiten la actividad al mínimo necesario para demostrar la vulnerabilidad y la interrumpan tan pronto como se obtenga el acceso;
4. no accedan, modifiquen, borren ni extraigan datos de terceros; si se accede accidentalmente a datos personales, interrumpan de inmediato y nos lo comuniquen;
5. no instalen puertas traseras ni alteren la configuración de los dispositivos, y restablezcan el estado inicial siempre que sea posible;
6. mantengan la información confidencial hasta la publicación del aviso acordado.

Watertech considera que la investigación de seguridad realizada conforme a las reglas anteriores es una actividad autorizada y valiosa. En esas condiciones no emprenderemos acciones legales contra quien realice la comunicación y, si un tercero lo hiciera en relación con dicha investigación, haremos constar que la actividad se ajustaba a esta política. Esta protección no se extiende a las actuaciones que excedan lo necesario para demostrar la vulnerabilidad, ni a las que causen daño a clientes, usuarios finales o terceros.

Los datos de contacto facilitados en la comunicación son tratados por Watertech S.p.A. en calidad de responsable del tratamiento, con la única finalidad de gestionar la comunicación y cumplir las obligaciones normativas conexas, conforme a los artículos 6.1.c) y 6.1.f) del Reglamento (UE) 2016/679.