Sicurezza informatica presso ELHA

Questa pagina è stata tradotta automaticamente.

Le moderne macchine utensili sono connesse in rete: forniscono dati per il monitoraggio dello stato e la pianificazione della produzione, ricevono aggiornamenti e possono essere sottoposte a manutenzione da remoto. Ciò rende la produzione più efficiente, ma pone anche nuove esigenze in materia di sicurezza. Un attacco al sistema di controllo di una macchina non solo può compromettere i dati, ma anche arrestare la produzione o mettere in pericolo le persone. Per questo motivo, la sicurezza informatica è per noi parte integrante dello sviluppo dei prodotti.

Il nostro approccio

Fin dalle prime fasi di sviluppo delle nostre macchine, dei nostri sistemi di controllo e del nostro software teniamo conto dei requisiti di sicurezza. Ciò comprende un processo di sviluppo sicuro, la protezione dei programmi di controllo da accessi non autorizzati e da modifiche, nonché la verifica periodica dei componenti software utilizzati alla ricerca di vulnerabilità note. Qualora venissero individuate vulnerabilità di sicurezza, mettiamo a disposizione aggiornamenti per i prodotti supportati e informiamo i clienti interessati tramite i nostri avvisi di sicurezza.

Cosa potete fare voi in qualità di gestori

La sicurezza è una responsabilità condivisa tra produttore e gestore. Raccomandiamo di utilizzare le macchine in una rete di produzione separata dalla rete degli uffici, di consentire l’accesso remoto solo tramite connessioni protette e, se necessario, abilitate, di modificare le password predefinite e di installare tempestivamente gli aggiornamenti forniti. Il nostro servizio sarà lieto di assistervi nell’integrazione sicura delle vostre macchine nel vostro ambiente IT.

Hai individuato una vulnerabilità?

Se avete individuato una possibile vulnerabilità in uno dei nostri prodotti o servizi, vi preghiamo di segnalarla a cra@elha.de. Per le segnalazioni riservate potete utilizzare la nostra chiave PGP:

Chiave: https://elha.de/.well-known/pgp-key.txt
Fingerprint: 55C84D85E8E2DBAE9ADCEFEC5853F383B89F50CE

La nostra linea guida sulla segnalazione delle vulnerabilità descrive come gestiamo le segnalazioni e cosa ci aspettiamo da chi le invia. I nostri recapiti sono inoltre disponibili in formato leggibile da macchina nella nostra security.txt. Ringraziamo tutti coloro che, con un atteggiamento responsabile, ci aiutano a rendere i nostri prodotti più sicuri.

Con il Cyber Resilience Act (CRA), l’Unione Europea ha introdotto requisiti vincolanti in materia di sicurezza informatica per i prodotti dotati di componenti digitali. Applichiamo attivamente tali requisiti ai nostri prodotti, tra l’altro attraverso un processo ben definito per la gestione delle vulnerabilità, la fornitura di aggiornamenti di sicurezza per un periodo di assistenza di 10 anni e la segnalazione tempestiva alle autorità competenti delle vulnerabilità attivamente sfruttate.

In questa sezione troverete gli avvisi di sicurezza pubblici ELHA.

La sicurezza delle nostre macchine, dei nostri software e dei nostri servizi online riveste un’elevata priorità per ELHA-MASCHINENBAU. Accogliamo con favore le segnalazioni da parte di ricercatori nel campo della sicurezza, clienti e partner, che ci aiutano a individuare e risolvere le vulnerabilità.

Ambito di applicazione: la presente direttiva si applica al software e al firmware delle macchine utensili ELHA e ai relativi sistemi di controllo, al nostro software IIoT, nonché ai servizi web disponibili su elha.de e nei relativi sottodomini. Non sono inclusi i prodotti di terzi (ad es. componenti di controllo di fornitori); per questi, si prega di rivolgersi direttamente al rispettivo produttore. In caso di dubbi, non esitate comunque a segnalarcelo: provvederemo a inoltrare la segnalazione.

Come segnalare una vulnerabilità: inviate la vostra segnalazione a cra@elha.de, possibilmente crittografato con la nostra chiave PGP (https://elha.de/.well-known/pgp-key.txt). È utile indicare il dispositivo o il software interessato con la relativa versione, una descrizione della vulnerabilità e delle sue possibili conseguenze, i passaggi necessari per riprodurla, nonché i vostri dati di contatto, nel caso in cui desideriate essere citati per nome.

Cosa potete aspettarvi da noi: confermeremo la ricezione entro 5 giorni lavorativi, valuteremo la segnalazione e vi informeremo sulle ulteriori procedure. Vi terremo aggiornati sull’andamento della pratica e concorderemo con voi la data di pubblicazione. Di norma, puntiamo a una pubblicazione entro 90 giorni dal ricevimento; nel caso di macchine in campo, la distribuzione degli aggiornamenti potrebbe richiedere più tempo, nel qual caso concorderemo con voi un termine adeguato. Le vulnerabilità attivamente sfruttate vengono segnalate alle autorità competenti in conformità con i nostri obblighi di legge.

Attenzione: non effettuare test su macchine in funzione in ambiente di produzione, in particolare presso i nostri clienti. Qualsiasi intervento sui sistemi di controllo delle macchine può mettere in pericolo le persone e causare danni materiali. Si prega di astenersi da attacchi Denial-of-Service, social engineering, phishing e attacchi fisici. Accedete ai dati solo nella misura necessaria a dimostrare la vulnerabilità e cancellate i dati ottenuti al termine del test. Pubblicate i dettagli solo previo accordo con noi.

Garanzia legale: se agite in buona fede e nel rispetto della presente linea guida, non intraprenderemo alcuna azione legale nei vostri confronti.

Compenso: al momento non abbiamo in atto alcun programma di bug bounty e non eroghiamo alcun compenso per le segnalazioni.