Sicurezza dei prodotti e Cyber Resilience Act

Cos'è il Cyber Resilience Act

Il Cyber Resilience Act (Regolamento UE 2024/2847) è il regolamento europeo che introduce requisiti obbligatori di cybersicurezza per tutti i prodotti con elementi digitali immessi sul mercato dell'Unione Europea: non solo software, ma anche macchine connesse, componenti di automazione, dispositivi IoT ed elettronica industriale.

Il regolamento è in vigore dal dicembre 2024, ma la sua applicazione è scaglionata nel tempo. Dall'11 settembre 2026 diventa obbligatorio per i fabbricanti segnalare alle autorità competenti (ENISA e i CSIRT nazionali) le vulnerabilità attivamente sfruttate e gli incidenti gravi che riguardano i propri prodotti, attraverso canali e tempistiche precise. I requisiti essenziali di cybersicurezza previsti dal regolamento, inclusa la marcatura CE, diventeranno pienamente applicabili a partire da dicembre 2027.

Per rispondere a questi obblighi, e più in generale per rafforzare la sicurezza dei propri prodotti a beneficio dei clienti, Metal Work S.p.A ha attivato un canale dedicato alla ricezione di segnalazioni di vulnerabilità e incidenti di sicurezza, descritto nella policy seguente.

Segnalazione di vulnerabilità e incidenti di sicurezza

Introduzione

La sicurezza è per noi un valore fondamentale: Metal Work S.p.A si impegna costantemente a garantire la sicurezza dei propri prodotti e servizi, per la tutela dei propri clienti e dell'intero ecosistema digitale in cui operiamo.
Metal Work S.p.A supporta un approccio di coordinated vulnerability disclosure e incoraggia attività di ricerca sulla sicurezza condotte in modo responsabile. Ogni segnalazione ricevuta viene presa sul serio e gestita con la massima attenzione.
Se hai individuato una potenziale vulnerabilità in uno dei nostri prodotti o servizi, oppure sei a conoscenza di un incidente di sicurezza in corso, ti invitiamo a segnalarcelo seguendo la procedura descritta di seguito.

Procedura di segnalazione

Per inviarci un Security Report, ti chiediamo di seguire questi passaggi:

• Invia il Security Report all'indirizzo psirt@metalwork.it
• Utilizza la nostra chiave pubblica PGP per crittografare eventuali email inviate
• Redigi il Security Report in lingua inglese
• Fornisci informazioni di contatto sufficienti, ad esempio:
  1. il tuo indirizzo email;
  2. il nome della persona che ha individuato il problema di sicurezza
• Specifica se stai segnalando:
  1. una potenziale vulnerabilità per la quale non si sospetta uno sfruttamento attivo, oppure
  2. un incidente di sicurezza o un sospetto sfruttamento attivo
• Fornisci le seguenti informazioni:
  1. la data in cui la vulnerabilità o l'incidente è stato rilevato;
  2. i dettagli su come è stato scoperto;
  3. una descrizione tecnica del problema
• Fornisci quante più informazioni possibili sul prodotto o servizio interessato, ad esempio:
  1. codice del prodotto;
  2. numero di versione (hardware e software);
  3. configurazione dell'installazione utilizzata
• Se hai sviluppato un proof-of-concept o un codice exploit specifico per la vulnerabilità, forniscine una copia. Assicurati che il codice inviato sia chiaramente contrassegnato come tale e crittografato con la nostra chiave PGP
• Se hai identificato minacce specifiche legate alla causa principale della vulnerabilità o dell'incidente, se hai effettuato una valutazione del rischio, oppure se hai riscontrato lo sfruttamento della vulnerabilità in altri prodotti, forniscici anche queste informazioni

Valutazione interna e azioni conseguenti

1. Metal Work S.p.A confermerà la ricezione del tuo Security Report entro tre giorni lavorativi.
   • Se il Security Report contiene tutte le informazioni richieste, Metal Work S.p.A fornirà un numero di tracciamento univoco e una persona di contatto;
   • Se il Security Report non è completo (sono necessarie ulteriori informazioni), Metal Work S.p.A richiederà le informazioni mancanti e non verrà intrapresa alcuna ulteriore azione.
2. Metal Work S.p.A avvierà un processo di gestione interna per gestire il problema di sicurezza segnalato:
   • Ricezione;
   • Triage;
   • Verifica;
   • Remediation.
3. Metal Work S.p.A monitorerà lo stato del processo di gestione e riceverai una comunicazione al termine di ciascuna fase.
4. Metal Work S.p.A utilizzerà i processi di notifica esistenti verso i clienti per gestire il rilascio di patch o correzioni di sicurezza, il che può includere, senza limitazione e a esclusiva discrezione di Metal Work S.p.A, la notifica diretta ai clienti o la pubblicazione di un avviso pubblico sul nostro sito web.
5. Se la vulnerabilità o la fonte dell'incidente si trova in un componente o servizio di terze parti che fa parte del nostro prodotto/servizio, Metal Work S.p.A notificherà il Security Report a tale terza parte e ti informerà di tale notifica. A tal fine, ti preghiamo di indicarci nella tua email se è consentito, in tali casi, fornire i tuoi dati di contatto alla terza parte.

Note legali

Condividendo qualsiasi informazione con Metal Work S.p.A nell'ambito di un processo di responsible disclosure, accetti che le informazioni fornite saranno considerate non proprietarie e non riservate.
Metal Work S.p.A è autorizzata a utilizzare le informazioni condivise, in tutto o in parte, senza alcuna restrizione. L'invio di informazioni non crea alcun diritto a tuo favore né alcun obbligo a carico di Metal Work S.p.A.
I dati personali sono trattati da Metal Work S.p.A in conformità con la informativa sulla privacy.