Politica globale di divulgazione delle vulnerabilità

Introduzione

COROS si impegna a tutelare la sicurezza e la privacy dei propri prodotti, software, servizi e utenti. Questa politica spiega come i ricercatori di sicurezza e le altre persone possono segnalare a COROS potenziali punti deboli di sicurezza e cosa possono aspettarsi dalla gestione della segnalazione.

Questa politica si applica a livello globale e comprende i punti deboli di sicurezza o privacy dei dispositivi a marchio COROS, del firmware, di COROS App, di Training Hub, dei siti web, delle API, dei servizi cloud e del software correlato. Il Paese o la regione di chi effettua la segnalazione non influisce sulla possibilità di utilizzare questo canale; restano applicabili le disposizioni inderogabili della legislazione locale.

Prima di svolgere attività di ricerca sulla sicurezza o inviare una segnalazione, è necessario leggere integralmente questa politica e rispettarne i requisiti. Le versioni nelle diverse lingue devono essere coerenti tra loro; se la legislazione locale richiede una versione nella lingua locale o informazioni aggiuntive, COROS fornirà la versione corrispondente o chiarimenti integrativi.

COROS ringrazia i ricercatori di sicurezza per il tempo e l'impegno dedicati alla segnalazione responsabile dei punti deboli.

Ambito di applicazione

L'ambito di applicazione comprende i siti web e i domini ufficiali di proprietà di COROS o sotto il suo controllo, COROS App, Training Hub, le API e i servizi cloud, nonché gli orologi, i ciclocomputer, i sensori, gli accessori connessi, il firmware e il software correlato di COROS ancora coperti dal supporto di sicurezza.

I prodotti, i siti web e i servizi di terzi, nonché gli asset che COROS non ha autorizzato o non controlla, sono esclusi dall'ambito di questa politica. COROS non garantisce la sicurezza, l'accuratezza o l'affidabilità dei prodotti, dei siti web o dei servizi di terzi.

In caso di dubbi sull'inclusione di un prodotto, servizio, dominio o attività di test nell'ambito di applicazione, contattaci all'indirizzo product-security@coros.com prima di eseguire i test.

Segnalazione dei punti deboli

Se si ritiene che un dispositivo, un'applicazione, un sito web, un'API, un servizio cloud o un prodotto correlato di COROS presenti un punto debole dal punto di vista della sicurezza o privacy, inviare una segnalazione all'indirizzo product-security@coros.com.

Includere le seguenti informazioni nella segnalazione:

• Il prodotto, il modello, la versione del software o del firmware, il sito web, l'API o il servizio interessato.
• Un titolo chiaro del problema e una descrizione tecnica.
• L'impatto sulla sicurezza e le azioni che un aggressore potrebbe compiere.
• Passaggi dettagliati per riprodurre la vulnerabilità in buona fede e senza causare danni.
• Se opportuno, una prova di concetto, log, schermate o altri file a supporto.
• Eventuali suggerimenti praticabili per mitigare o correggere la vulnerabilità.
• Se si desidera essere contattati o ricevere un riconoscimento per il proprio contributo, fornire il nome e i recapiti; i recapiti sono facoltativi, salvo che si necessiti di aggiornamenti sullo stato della segnalazione.

Requisiti per la ricerca sulla sicurezza

Durante le attività di ricerca sulla sicurezza, rispettare i seguenti requisiti:

• Utilizzare soltanto account, prodotti e dati di propria titolarità o per i quali si è ottenuta un'autorizzazione esplicita a eseguire test.
• Limitare i test alle sole operazioni strettamente necessarie per confermare la vulnerabilità.
• Evitare di violare la privacy, ridurre la qualità del servizio o interferire con i sistemi di produzione.
• Se si entra in contatto con dati personali, informazioni riservate, credenziali o altre informazioni sensibili, interrompere immediatamente i test e informare COROS.
• Eliminare le informazioni sensibili ottenute durante i test non appena ragionevolmente possibile e non divulgarle a nessun altro soggetto.

Sono vietate le seguenti condotte:

• Violare qualsiasi legge o regolamento applicabile.
• Accedere a dati, scaricarli, conservarli o divulgarli oltre quanto necessario per dimostrare il problema.
• Modificare o eliminare dati nei sistemi o nei servizi di COROS.
• Eseguire test di negazione del servizio, scansioni automatizzate su larga scala, inviare messaggi indesiderati o condurre attività di ingegneria sociale, phishing o attacchi fisici.
• Stabilire un accesso persistente, esportare dati, utilizzare l'accesso ottenuto per attaccare altri sistemi o interferire con i prodotti o i servizi di COROS.
• Divulgare pubblicamente un problema prima che COROS abbia confermato il completamento della correzione o ne abbia autorizzato per iscritto la divulgazione.

Cosa aspettarsi dalla gestione delle segnalazioni

COROS confermerà la ricezione della segnalazione del problema entro 3 giorni lavorativi dal ricevimento e prevede di completare la classificazione iniziale e la valutazione tecnica entro 15 giorni lavorativi.

Per i problemi di sicurezza o privacy confermati, COROS si pone l'obiettivo di fornire una correzione o misure di mitigazione adeguate entro 90 giorni dalla conferma. Qualora sia necessario più tempo a causa dell'estensione dell'impatto, dei rischi legati alla correzione, delle limitazioni da terzi o di altri motivi ragionevoli, informeremo chi ha effettuato la segnalazione dei progressi compiuti.

Fino alla risoluzione o alla chiusura della segnalazione, forniremo un aggiornamento sul suo stato almeno ogni 30 giorni. La priorità e i tempi di correzione saranno determinati in base all'impatto, alla gravità, alla sfruttabilità, ai prodotti interessati e alla disponibilità di una correzione di sicurezza.

Potremo richiedere informazioni aggiuntive, invitare chi ha effettuato la segnalazione a verificare la correzione o inviare una notifica dopo la correzione del problema. Le segnalazioni potranno anche essere chiuse perché duplicate, puramente informative, fuori ambito, non applicabili o relative a problemi non riproducibili; ove opportuno, ne spiegheremo il motivo.

Divulgazione coordinata

Si prega di coordinarsi con COROS per qualsiasi divulgazione pubblica. Dopo la correzione del problema, è possibile richiedere la pubblicazione della segnalazione. COROS concorderà con chi ha effettuato la segnalazione i tempi e i contenuti appropriati per la divulgazione, affinché gli utenti interessati ricevano indicazioni chiare e coerenti.

Consultare gli avvisi pubblicati sui problemi di sicurezza →

Politiche correlate

Per i periodi minimi di supporto degli aggiornamenti di sicurezza di ciascun prodotto e software, consultare la Politica globale di COROS sul supporto degli aggiornamenti di sicurezza dei prodotti: Supporto degli aggiornamenti di sicurezza dei prodotti →

Data di prima pubblicazione: 2024-04-10

Ultimo aggiornamento: 29 settembre 2026