Politica di risposta alle vulnerabilità

Introduzione Archer si impegna ad aiutare i propri clienti a ridurre al minimo i rischi associati alle vulnerabilità di sicurezza dei propri prodotti. Il nostro obiettivo è fornire ai clienti informazioni tempestive, indicazioni e opzioni di mitigazione per affrontare tali vulnerabilità. Il Vulnerability Response Team di Archer (Archer VRT) è incaricato di coordinare la risposta e la divulgazione relative a tutte le vulnerabilità dei prodotti segnalate ad Archer.

Come segnalare una vulnerabilità di sicurezza Se individuate una vulnerabilità di sicurezza in un prodotto Archer, vi preghiamo di segnalarcela immediatamente. I ricercatori nel campo della sicurezza, i gruppi di settore, i fornitori e gli altri utenti che non hanno accesso all’assistenza tecnica devono inviare le segnalazioni relative alle vulnerabilità direttamente all’ Archer VRT tramite e-mail. L’individuazione tempestiva delle vulnerabilità di sicurezza è fondamentale per mitigare i potenziali rischi per i nostri clienti. I clienti e i partner di Archer devono contattare il proprio team di assistenza tecnica per segnalare le vulnerabilità di sicurezza individuate in qualsiasi prodotto Archer. Il team di assistenza tecnica, il team di prodotto competente e l’Archer VRT collaboreranno per risolvere il problema segnalato e fornire ai clienti le indicazioni su come procedere, a seconda dei casi. Quando segnalate una potenziale vulnerabilità di sicurezza, vi preghiamo di fornire le informazioni riportate di seguito per aiutarci a comprendere meglio la natura e la portata del problema segnalato:

• Nome e versione del prodotto che presentano la vulnerabilità
• Informazioni sull'ambiente o sul sistema in cui è stato riprodotto il problema (ad esempio, numero di modello del prodotto, versione del sistema operativo, ecc.)
• Tipo e/o classe di vulnerabilità (XSS, overflow del buffer, RCE, CWE, ecc.)
• Istruzioni dettagliate per riprodurre la vulnerabilità
• Codice di prova di fattibilità o codice di exploit
• Potenziale impatto della vulnerabilità

Gestione delle segnalazioni di vulnerabilità Archer ritiene fondamentale mantenere un buon rapporto con i ricercatori di sicurezza e, previo loro consenso, può riconoscere il merito a un ricercatore che abbia individuato una vulnerabilità di sicurezza valida e segnalato il problema in via riservata all’Archer VRT. In cambio, chiediamo ai ricercatori di darci l’opportunità di risolvere la vulnerabilità di sicurezza prima di renderla pubblica. Archer ritiene che il coordinamento della divulgazione pubblica di una vulnerabilità di sicurezza sia fondamentale per contribuire a proteggere i propri clienti. In base a questa politica, tutte le informazioni divulgate relative alle vulnerabilità — a meno che non siano già di dominio pubblico — sono destinate a rimanere tra Archer e la parte segnalante fino a quando non sarà disponibile una soluzione e le attività di divulgazione non saranno state coordinate.

Risoluzione delle vulnerabilità Dopo aver analizzato e verificato una vulnerabilità segnalata, cercheremo di sviluppare e convalidare la soluzione adeguata per i prodotti Archer coperti dal supporto attivo di Archer. Una soluzione può assumere una o più delle seguenti forme:

• Una nuova versione del prodotto interessato, confezionata da Archer;
• Una patch fornita da Archer che può essere installata sul prodotto interessato;
• Istruzioni per scaricare e installare un aggiornamento o una patch fornita da un fornitore terzo, necessaria per mitigare la vulnerabilità;
• Una procedura correttiva o una soluzione alternativa pubblicata da Archer che fornisce agli utenti istruzioni su come modificare la configurazione del prodotto per mitigare la vulnerabilità.

Archer si impegna al massimo per fornire la soluzione o l'intervento correttivo nel più breve tempo commercialmente ragionevole. I tempi di risposta dipendono da numerosi fattori, quali la gravità, l'impatto, la complessità della soluzione, il componente interessato (ad esempio, alcuni aggiornamenti richiedono cicli di convalida più lunghi o possono essere aggiornati solo in occasione di una versione principale), la fase del ciclo di vita del prodotto e lo stato delle operazioni aziendali, tra gli altri.

Valutazioni di impatto e gravità: Archer utilizza attualmente il Common Vulnerability Scoring System versione 3.1 (CVSS v3.1), un framework aperto, per comunicare le caratteristiche e la gravità delle vulnerabilità del software. Vengono presi in considerazione molti fattori, tra cui il livello di sforzo richiesto per sfruttare una vulnerabilità e il potenziale impatto sui dati o sulle attività aziendali derivante da uno sfruttamento riuscito. L’impatto complessivo di un avviso di sicurezza è una rappresentazione testuale della gravità (ovvero: critica, alta, media o bassa) che segue la scala qualitativa di valutazione della gravità CVSS per il punteggio base CVSS più elevato tra tutte le vulnerabilità identificate. Ove applicabile, Archer fornirà un impatto complessivo per l’avviso e, per ciascuna vulnerabilità identificata, il punteggio base CVSS v3.1 e il corrispondente vettore CVSS v3.1. Archer raccomanda a tutti i clienti di considerare sia il punteggio di base sia eventuali metriche temporali e/o ambientali che possano essere rilevanti per il proprio ambiente, al fine di valutare il rischio complessivo. Comunicazione delle soluzioni In genere, le soluzioni vengono comunicate ai clienti tramite gli avvisi di sicurezza di Archer, ove applicabile. Per proteggere i propri clienti, Archer si impegna a pubblicare un avviso di sicurezza tramite la Comunità Archer non appena è disponibile una soluzione per i prodotti Archer interessati. Tuttavia, Archer può pubblicare avvisi di sicurezza in tempi più rapidi per rispondere in modo adeguato a divulgazioni pubbliche o a vulnerabilità ampiamente note nei componenti utilizzati all’interno dei prodotti Archer. Gli avvisi di sicurezza di Archer hanno lo scopo di fornire dettagli che consentano ai clienti di valutare l’impatto delle vulnerabilità e di correggere i prodotti potenzialmente vulnerabili. I dettagli completi potrebbero essere limitati per ridurre la probabilità che utenti malintenzionati si avvalgano delle informazioni e le sfruttino a danno dei clienti di Archer. Gli avvisi di sicurezza di Archer includono in genere le seguenti informazioni, a seconda dei casi:

• L'impatto complessivo, inteso come rappresentazione testuale del livello di gravità (ovvero critico, elevato, medio o basso) secondo la scala qualitativa di valutazione della gravità CVSS, in base al punteggio base CVSS più elevato tra tutte le vulnerabilità individuate;
• Prodotti e versioni interessati;
• Il punteggio base CVSS e il vettore per tutte le vulnerabilità individuate;
• Enumerazione comune delle vulnerabilità (CVE) per tutte le vulnerabilità individuate, al fine di consentire la condivisione delle informazioni relative a ciascuna vulnerabilità univoca tra le varie funzionalità di gestione delle vulnerabilità (ad esempio, scanner di vulnerabilità, repository e servizi);
• Breve descrizione delle vulnerabilità individuate e del potenziale impatto in caso di sfruttamento;
• Dettagli sulla correzione con informazioni sugli aggiornamenti e sulle soluzioni alternative;

Ringraziamo chi ha individuato la vulnerabilità per averla segnalata in via riservata e per aver collaborato con Archer al fine di coordinarne la divulgazione, ove opportuno.

Ulteriori informazioni sulla divulgazione. Per politica aziendale, Archer non fornisce informazioni sulle vulnerabilità oltre a quelle riportate nell’Avviso di sicurezza Archer e nella documentazione correlata, quali note di rilascio, articoli della knowledge base, FAQ, ecc. Non distribuiamo codice di exploit o proof of concept relativo alle vulnerabilità identificate. In linea con le prassi del settore, Archer non condivide con soggetti esterni i risultati dei test di sicurezza interni o di altre attività di sicurezza.

Segnalazione ad Archer di altri problemi di sicurezza

Per segnalare qualsiasi altro problema di sicurezza ad Archer, si prega di utilizzare i recapiti appropriati elencati di seguito:

Per segnalare una vulnerabilità o un problema di sicurezza su ArcherIRM.com o su altri servizi online, applicazioni web o proprietà, inviare una segnalazione all'indirizzo security@archerirm.com , fornendo istruzioni dettagliate su come riprodurre il problema.

Per inviare richieste o domande relative alla privacy, consultare pagina sulla privacy di Archer.

Diritti dei clienti: garanzie, assistenza e manutenzione I diritti dei clienti Archer in materia di garanzie, assistenza e manutenzione — comprese le vulnerabilità relative a qualsiasi prodotto software Archer — sono regolati dal contratto applicabile stipulato tra Archer e il singolo cliente. Le dichiarazioni contenute in questa pagina web non modificano, ampliano né alterano in alcun modo i diritti dei clienti, né creano garanzie aggiuntive.

Dichiarazione di non responsabilità: Tutti gli aspetti della Politica di risposta alle vulnerabilità di Archer sono soggetti a modifiche senza preavviso e valutati caso per caso. Non viene garantita alcuna risposta per problemi specifici o categorie di problemi. L'utilizzo delle informazioni contenute nel presente documento o nei materiali ad esso collegati è a proprio rischio. Archer si riserva il diritto di modificare o aggiornare il presente documento a propria esclusiva discrezione e senza preavviso in qualsiasi momento.