Politica di Divulgazione delle Vulnerabilità

Watertech S.p.A.

Come segnalare una vulnerabilità di sicurezza in un prodotto, sistema o servizio Watertech — e che cosa succede dopo.

Watertech S.p.A. progetta e produce contatori intelligenti per acqua e gas e i relativi sistemi di raccolta dati. La sicurezza dei nostri prodotti è parte integrante della loro affidabilità metrologica e operativa.

Accogliamo con favore le segnalazioni responsabili di vulnerabilità di sicurezza. Chi individua un problema che riguarda i nostri prodotti, sistemi o servizi è invitato a segnalarcelo: ogni segnalazione viene presa in carico, valutata e gestita secondo la nostra procedura interna di gestione delle vulnerabilità.

Per consentirci una valutazione rapida, chiediamo di indicare:

• prodotto, modello e — se noto — versione del firmware o del software interessato;
• descrizione della vulnerabilità e del suo impatto potenziale;
• passi necessari a riprodurre il problema (proof of concept, log, cattura di traffico, script);
• eventuale identificativo CVE già assegnato o riferimenti pubblici;
• nome o pseudonimo con cui si desidera essere eventualmente citati e recapito per il seguito.

Accettiamo segnalazioni in italiano ed inglese.

Confermiamo la ricezione della segnalazione e assegniamo un identificativo univoco. Comunichiamo poi se la segnalazione è confermata, non riproducibile o fuori ambito, con la severità preliminare attribuita, e teniamo informato chi segnala sullo stato di avanzamento fino alla chiusura.

I tempi applicati alla gestione e alla divulgazione sono conformi a quanto previsto dal Cyber Resilience Act. La data di pubblicazione dell’advisory è concordata con chi segnala e può essere anticipata in caso di sfruttamento attivo o estesa nei casi complessi.

Su richiesta, riconosciamo pubblicamente il contributo di chi ha segnalato nell’advisory di sicurezza. Chi preferisce restare anonimo può indicarlo. Watertech non gestisce attualmente un programma di bug bounty e non prevede compensi economici per le segnalazioni.

Rientrano in questa politica i contatori intelligenti per acqua e gas a marchio Watertech e il loro firmware; i moduli di comunicazione e i concentratori associati (NB-IoT, LoRaWAN, wM-Bus); gli applicativi e i servizi di gestione dati forniti ai nostri clienti; i servizi esposti su Internet nei domini di Watertech.

Sono invece fuori ambito:

• test di negazione del servizio (DoS/DDoS) e prove di carico;
• attacchi di ingegneria sociale verso personale, clienti o fornitori di Watertech;
• accessi fisici non autorizzati a impianti, magazzini o contatori installati sul campo;
• segnalazioni prodotte da soli scanner automatici, prive di dimostrazione dell’impatto;
• debolezze teoriche senza uno scenario di sfruttamento realistico;
• vulnerabilità di prodotti di terze parti non integrati nelle nostre soluzioni.

Chiediamo a chi svolge attività di ricerca sui nostri prodotti di:

1. agire in buona fede e nel rispetto della legge applicabile;
2. evitare qualsiasi azione che possa compromettere la disponibilità del servizio, l’integrità della misura o la riservatezza dei dati dei clienti;
3. limitare l’attività al minimo necessario a dimostrare la vulnerabilità, interrompendola non appena l’accesso è ottenuto;
4. non accedere, modificare, cancellare o esfiltrare dati di terzi; se si accede accidentalmente a dati personali, interrompere immediatamente e segnalarlo;
5. non installare backdoor, non alterare la configurazione dei dispositivi e ripristinare lo stato iniziale ove possibile;
6. mantenere riservate le informazioni fino alla pubblicazione dell’advisory concordato.

Watertech considera la ricerca di sicurezza condotta nel rispetto delle regole sopra indicate come un’attività autorizzata e utile. In tali condizioni non avvieremo azioni legali nei confronti di chi ha segnalato e, qualora un terzo lo facesse in relazione a tale attività, daremo atto che l’attività era conforme alla presente politica. La tutela non si estende alle attività che eccedono quanto necessario a dimostrare la vulnerabilità, né a quelle che arrecano danno a clienti, utenti finali o terzi.

I dati di contatto forniti nella segnalazione sono trattati da Watertech S.p.A. in qualità di titolare, per la sola gestione della segnalazione e degli adempimenti normativi connessi, ai sensi degli artt. 6.1.c e 6.1.f del Regolamento (UE) 2016/679.