Sicurezza & conformità

Divulgazione responsabile

Incoraggiamo costantemente ricercatori e clienti a segnalare le vulnerabilità individuate. Per proteggere al meglio i nostri clienti, le segnalazioni restano riservate fino a quando le vulnerabilità non sono state confermate, risolte e rilasciate in produzione da Devolutions. Ci impegniamo a fare del nostro meglio per affrontare le vulnerabilità entro tempi ragionevoli e accettabili per il settore.

Segnalare un problema di sicurezza

Sebbene ci occupiamo con attenzione della sicurezza dei nostri prodotti, la natura in rapida evoluzione e la complessità della sicurezza possono involontariamente esporre il nostro software o l'infrastruttura di supporto a vulnerabilità. Se individua una vulnerabilità di questo tipo, la invitiamo a inviarci tempestivamente la sua segnalazione tramite il nostro programma YesWeHack. La segnalazione dovrebbe includere i seguenti elementi:

• Codice proof-of-concept e screenshot pertinenti per aiutarci a confermare e riprodurre i risultati.
• Motivazione di come gli impatti potrebbero interessare la nostra organizzazione e/o i nostri clienti in caso di sfruttamento.
• Correzione proposta, se possibile e applicabile.

Una volta inviata la segnalazione, la preghiamo di concederci tempi ragionevoli per fornire un riscontro. Il nostro team di sicurezza deve:

• Riprodurre e confermare la vulnerabilità così come descritta nella sua segnalazione.
• Stabilire un punteggio di gravità secondo CVSS 3.1.
• Valutare le raccomandazioni contenute nella sua segnalazione e definire un piano d'azione con i team competenti.
• Mantenere la comunicazione con chi ha effettuato la segnalazione fino alla risoluzione del caso.

Le chiedidiamo cortesemente di mantenere riservati la segnalazione e il suo contenuto fino al rilascio in produzione delle opportune misure correttive. La preghiamo inoltre di notare che sfruttare una vulnerabilità segnalata in modo abusivo o per scopi illegali, malevoli o comunque inappropriati può comportare azioni legali nei confronti di chi ha effettuato la segnalazione, con possibili responsabilità civili o penali. Un'azione è considerata abusiva o inappropriata quando il suo scopo compromette informazioni riservate relative ai clienti o interne in modo indebito o sproporzionato, oppure quando tale azione ha una finalità diversa dalla dimostrazione di una vulnerabilità.