Product Security Incident Response Team (PSIRT) Pilz

Gli esperti di sicurezza informatica PSIRT di Pilz analizzano, valutano ed elaborano potenziali falle della sicurezza, così come incidenti legati alla sicurezza di prodotti e soluzioni Pilz. Se viene confermata una vulnerabilità, il team PSIRT di Pilz pubblica i Security Advisory contenenti le istruzioni per eliminare tale vulnerabilità.

Desideriamo incoraggiare esperti di sicurezza, ricercatori indipendenti, clienti e altri soggetti a comunicarci i problemi di sicurezza relativi a prodotti e soluzioni Pilz. Solo così facendo è possibile discutere e definire insieme altre attività per migliorare il livello di sicurezza di prodotti e soluzioni Pilz. Per non mettere in pericolo i nostri clienti e terze parti, auspichiamo una pubblicazione coordinata delle vulnerabilità con il coinvolgimento del team PSIRT Pilz.

Gli specialisti di sicurezza informatica del team PSIRT Pilz elaborano e valutano tutte le comunicazioni relative a possibili vulnerabilità dei prodotti Pilz. Per qualsiasi domanda in tema di Security relativa a prodotti o infrastruttura Pilz, oltre che per segnalare eventuali lacune di sicurezza, è possibile rivolgersi ai nostri esperti del team PSIRT. La comunicazione con il PSIRT deve essere in inglese o tedesco. Di norma, si riceve una conferma di ricezione entro quattro giorni lavorativi (CET).

Per comunicare problemi di security relativi a prodotti, soluzioni o servizi online Pilz rivolgersi a:

Contatti PSIRT

PGP Public Key

Inserire nel messaggio le seguenti informazioni:

1. Nome dell’autore della notifica
2. Dati di contatto (e-mail, telefono)
3. Nome dell’azienda
4. Denominazione e codice prodotto (se pertinente) del prodotto interessato
5. Versione del firmware e/o del software
6. Descrizione dell’impatto della vulnerabilità
7. Descrizione di come la vulnerabilità può essere sfruttata (non inviare codici exploit non richiesti)
8. Indicazione se la vulnerabilità è già stata pubblicata (con propria segnalazione o di un altro organismo)

Pilz pubblica le avvertenze di sicurezza nel formato standard CSAF (Common Security Advisory Framework). Questo formato leggibile da dispositivo automatico consente alle aziende di elaborare automaticamente le informazioni in materia di sicurezza e di reagire più rapidamente a potenziali vulnerabilità.

Common Security Advisory Framework (CSAF)

In collaborazione con altri partner, Pilz fornisce inoltre i Security Advisory tramite la piattaforma CERT VDE, garantendo in tal modo massima trasparenza e una comunicazione sicura e standardizzata.                                                                                                                                                                             

CERT@VDE

1. Analisi:

Il team PSIRT Pilz analizza la vulnerabilità comunicata e, se necessario,
richiede ulteriori informazioni all’autore della notifica. Si prega di considerare che l’analisi, a seconda della complessità della vulnerabilità e al tipo di prodotto, può richiedere alcuni giorni o settimane. Indipendentemente da questa tempistica, Pilz invia un primo feedback all’autore della richiesta al più tardi entro 15 giorni lavorativi.

2. Definizione di misure:

In base al grado di severità della vulnerabilità e ad eventuali altre condizioni secondarie, si approntano gli aggiornamenti. In caso di vulnerabilità grave Pilz prepara un avviso sulla sicurezza, il cosiddetto Security Advisory. Durante tutto il processo, l’autore viene regolarmente aggiornato sulla situazione.

3. Pubblicazione:

Il Security Advisory ed eventuali relativi aggiornamenti di sicurezza del firmware o del software interessato vengono pubblicati in questa sezione e sono disponibili per il download. Per poter eseguire il download è necessario che l’utente abbia precedentemente fatto il login. Se l’utente non dispone ancora di un proprio profilo, procedere con la registrazione gratuita. Si precisa che, in base alla gravità della vulnerabilità, vengono rilasciati aggiornamenti di sicurezza eventualmente solo in virtù del ciclo di release del prodotto.

Per Security Advisory si intende un’indicazione in merito a un gap in termini di sicurezza rilevato in uno dei prodotti Pilz. Questo comprende generalmente:

• una descrizione dettagliata della vulnerabilità,
• una valutazione della sua criticità in base al punteggio CVSS,
• una panoramica dei prodotti interessati e relativi numeri di serie,
• misure raccomandate per l’eliminazione della vulnerabilità
• ed eventualmente un riconoscimento delle persone o delle organizzazioni che hanno segnalato il problema a Pilz.