Il documento disciplina la piattaforma GuardianSOC / SCUDO e deve essere letto congiuntamente agli ordini, ai piani di servizio e agli accordi eventualmente sottoscritti con il cliente.
1. Oggetto
La policy riguarda vulnerabilità ragionevolmente riconducibili al portale GuardianSOC, alle API e ai componenti distribuiti da UESE. Non attribuisce un’autorizzazione generale a effettuare test su sistemi di produzione.
2. Modalità di segnalazione
La segnalazione deve contenere componente, versione, descrizione, impatto, passaggi minimi di riproduzione e informazioni utili alla verifica, evitando di includere dati personali o segreti non necessari.
3. Attività non autorizzate
- Accesso a dati di terzi
- Persistenza o backdoor
- Esfiltrazione
- Social engineering
- Denial of service
- Distruzione o modifica non necessaria di dati
- Scansioni massive fuori dal perimetro strettamente necessario
4. Gestione della segnalazione
UESE valuta la segnalazione, assegna priorità secondo impatto e sfruttabilità e coordina remediation e comunicazione. I tempi dipendono dalla complessità e dalla disponibilità di informazioni riproducibili.
5. Divulgazione
La divulgazione pubblica deve essere coordinata per evitare di aumentare il rischio per clienti e utenti prima della disponibilità di mitigazioni ragionevoli.
6. Safe harbor
Eventuali garanzie di safe harbor sono valide solo se pubblicate espressamente e non possono essere presunte dalla presente policy. Restano esclusi comportamenti in mala fede o non proporzionati.