Vulnerability Disclosure Program

I canali di comunicazione e soluzioni ICT, sia hardware che software, sono parte integrale dei prodotti Aton.
Aton implementa un Vulnerability Disclosure Program o Vulnerability Disclosure Policy (VDP): si tratta di una politica volta a incoraggiare l’interazione tra Aton e ogni soggetto che scopra cyber-vulnerabilità nei canali/soluzioni ICT sviluppati e forniti da Aton.

Chi è il discoverer

Il discoverer è ogni soggetto

• individuo o organizzazione,
• motivato a costruire un ecosistema più cyber-sicuro e/o motivato a migliorare i servizi ioT,
• che ha scoperto vulnerabilità nei nostri canali/soluzioni ICT, come risultato di una attività legittima oppure come risultato di una forzatura volontaria da parte sua,
• che intende condividere eventuali scoperte di vulnerabilità con Aton Green Storage SpA.

Impegno di Aton a non intraprendere azioni legali

La forzatura volontaria di canali/soluzioni ICT di Aton costituisce in generale una violazione legale e una violazione delle condizioni di garanzia. Tuttavia, Aton riconosce le scoperte di cyber-vulnerabilità da parte dei discoverers come eccezioni: - Aton incoraggia la condivisione di questo tipo di scoperte tra i discoverer e l’Azienda;
- Aton Green Storage SpA non intraprenderà azioni legali contro i discoverer riguardo loro possibili azioni di forzatura, se queste:

• sono state limitate a prodotti Aton (inclusi servizi o uso di servizi) nel legittimo possesso dei discoverer (loro proprietà o proprietà di terzi in accordo con i discoverer);
• non hanno causato danni permanenti o compromissione di proprietà, prodotti, servizi e/o dati di terze parti non in accordo con i discoverer;

- Aton Green Storage SpA non avvierà una Disclosure policy Pubblica delle cyber-vulnerabilità scoperte, poiché potrebbero essere coinvolte terze parti (nostri fornitori o clienti) senza possibilità di definire preventivamente livello e tipologia del coinvolgimento;
Aton:

• invita i discoverer a rispettare questo desiderio, altrimenti azioni legali potrebbero essere intraprese;
• si impegna a sospendere eventuali servizi/funzioni vulnerabili fino alla loro risoluzione, se detta risoluzione risulta particolarmente impegnativa in termini di tempo o complessità.

Piattaforma collaborativa tra Aton e i discoverer

Se vengono scoperte vulnerabilità in canali/soluzioni ICT Aton, i discoverer sono invitati a comunicare le loro scoperte all’Azienda:
- inviando una email a: VDP@atonstorage.com.
- il testo della email deve contenere:

• almeno il nome e modello, se possibile il numero seriale, del prodotto Aton Green Storage in cui la vulnerabilità è stata scoperta.
• eventuali URL dei servizi Aton Green Storage SpA services in cui la vulnerabilità è stata scoperta.
• possibilmente, la classificazione VRT di questa vulnerabilità: categoria /sottocategoria /variante secondo la tassonomia https://bugcrowd.com/vulnerability-rating-taxonomy.
• la procedura con cui la vulnerabilità è stata scoperta, e con cui l’eventuale forzatura del sistema è stata eseguita.
• gli effetti di questa vulnerabilità, sia verificati che ipotizzati,
• possibilmente un indirizzo email del discoverer: ciò non è obbligatorio, ma potrebbe essere interessante interagire con il soggetto specifico.

A seguito di questa azione da parte del discoverer:
- il discoverer sarà contattato (se un indirizzo email è stato fornito) per informazioni più approfondite e per comunicare il tempo stimato per la risoluzione della vulnerabilità;
- se dovesse emergere interesse per una collaborazione continuativa, verrà definito uno specifico accordo e un NDA come parte di esso.

Communication channels and ICT solutions, both hardware and software, are integral parts of the Aton’s products. Aton implemented a Vulnerability Disclosure Program or Vulnerability Disclosure Policy (VDP): it is a policy aimed at encouraging the interaction between Aton and any subject who discovers cyber-vulnerability in the ICT channels/solutions developed and provided by Aton.

Who is the discoverer

The discoverer is any subject

• individual or organization,
• motivated to build a more cyber-secure ecosystem and/or motivated to improve IoT services,
• who have discovered vulnerabilities in our ICT channels/solutions, as a result of legitimate activities or as a result of voluntary forcing on his/her/its part,
• who intends to share any discoveries of vulnerabilities with Aton Green Storage SpA.

Aton commitment not to take legal action

The voluntary forcing of the Atons’s ICT channels/solutions generally constitutes a legal violation and a violation of the warranty conditions.
However, Aton recognizes discoveries of cyber-vulnerabilities by discoverers as exceptions: - Aton welcomes the sharing of this type of discoveries between discoverer and the Company;
- Aton Green Storage SpA will not take legal action against the discoverers regarding their possible forcing actions, if these:

• have been limited to Aton’s products (also services or use of services) in the legitimate possession of the discoverers (their properties or properties of third parties in agreement with the discoverers);
• have not caused permanent damage or compromission of properties, products, services and/or data of third parties not in agreement with the discoverers;

- Aton Green Storage SpA will not initiate a Public Disclosure policy of the cyber-vulnerability discoveries, because third parties (our suppliers or our customers) could be involved and it is not possible to define in advance the level and type of this involvement;
Aton

• invites the discoverer to respect this will, otherwise any legal action will be evaluated;
• undertakes to suspend any vulnerable service/function until its fixing, if this fixing is particularly expensive in time or complex.

Aton and discoverers collaboration platform

If vulnerabilities of Aton’s ICT channels/solutions are discovered, the discoverers are invited to communicate their discoveries to the Company:
- to send an email to: VDP@atonstorage.com.
-the body of the email must contain:

• at least the name and model of the product, possibly the serial number, of the Aton Green Storage product in which the vulnerability was discovered,
• any URL of the Aton Green Storage SpA services on which the vulnerability was found,
• possibly, the VRT classification of this vulnerability: category /subcategory /variant according to the taxonomy https://bugcrowd.com/vulnerability-rating-taxonomy,
• the procedure with which the vulnerability was discovered, and the forcing of the system was carried out if any,
• the effects of this vulnerability, both verified and hypothesized,
• possibly an email address of the discoverer: it is not mandatory but it would be interesting to interact with the specific subject.

Following this action by the discoverer:
- the discoverer will be contacted (if an email address has been provided) for more deep information and to communicate the estimated time for fixing the vulnerability; - if the interest for ongoing collaboration will emerge, specific agreement will be defined and a NDA as a part of it.

Scroll to top