1. Introduzione
L’approccio di SMEG ai prodotti consiste nel combinare elevati standard tecnologici con un design accattivante, al fine di offrire elettrodomestici innovativi e affidabili.
Garantire l’assoluta affidabilità dei nostri prodotti è uno dei principali impegni di SMEG, come dimostrano i costanti e rigorosi test di controllo effettuati durante l’intero processo produttivo.
In qualità di produttore di prodotti di alta qualità e di lunga durata, SMEG ha quindi a cuore la sicurezza delle informazioni degli utenti e accoglie con favore il contributo dei ricercatori esterni nel campo della sicurezza per migliorare la sicurezza dei nostri prodotti connessi e dei relativi servizi.
La presente politica illustra le modalità con cui è possibile segnalare a SMEG le vulnerabilità e gli incidenti di sicurezza, nonché il modo in cui SMEG gestisce tali segnalazioni in maniera responsabile e coordinata.
SMEG si riserva il diritto di modificare e aggiornare la propria Politica coordinata di divulgazione delle vulnerabilità, secondo necessità, al fine di garantire ulteriormente trasparenza e chiarezza nei rapporti con i ricercatori di sicurezza esterni. La Politica coordinata di divulgazione delle vulnerabilità di SMEG sarà pertanto applicabile nella sua versione più recente.
Si raccomanda di leggere integralmente la presente politica prima di segnalare una vulnerabilità e di agire sempre in conformità con essa.
Apprezziamo coloro che dedicano tempo e impegno alla segnalazione delle vulnerabilità di sicurezza in conformità con la presente politica. Tuttavia, non offriamo ricompense monetarie per la segnalazione di vulnerabilità.
2. Ambito di applicazione
La presente politica si applica a tutti i prodotti connessi, compresi i relativi componenti, sviluppati, prodotti e commercializzati da SMEG, nonché a tutti i servizi ad essi correlati.
Per un elenco dei nostri prodotti coperti dalla presente politica, si prega di consultare la pagina seguente: elettrodomestici connessi.
In ogni pagina dedicata a un prodotto è indicato il relativo periodo di supporto, ovvero il periodo minimo durante il quale saranno forniti gli aggiornamenti di sicurezza. L’eventuale scadenza del periodo di supporto per un determinato prodotto non ne compromette il funzionamento: il prodotto rimane generalmente aggiornabile, ma non possiamo garantire aggiornamenti per eventuali vulnerabilità di sicurezza individuate.
Nelle Note di sicurezza pubblichiamo avvisi relativi alle vulnerabilità individuate, sia attraverso le normali attività di test di SMEG, sia tramite segnalazioni di sicurezza ricevute tramite l’apposito modulo online, che vengono poi verificate e risolte dai laboratori di SMEG.
3. Classificazione degli eventi di sicurezza
Ai fini della presente politica, SMEG distingue le seguenti categorie:
- Vulnerabilità: una lacuna di sicurezza che potrebbe compromettere la riservatezza, l’integrità, la disponibilità o l’autenticità di un prodotto, un servizio o dei dati correlati.
- Vulnerabilità attivamente sfruttata: una vulnerabilità per la quale esistono prove di uno sfruttamento doloso che interessa un prodotto dotato di elementi digitali.
- Incidente di sicurezza: un evento che compromette o potrebbe compromettere la riservatezza, l’integrità, la disponibilità o l’autenticità di un prodotto, dei servizi correlati o dei dati degli utenti.
- Incidente di sicurezza grave: un incidente di sicurezza che ha, o è in grado di avere, un impatto significativo sulla sicurezza di un prodotto, dei servizi correlati, dei dati degli utenti o dei sistemi interessati.
I problemi di sicurezza segnalati possono essere valutati e classificati da SMEG come “vulnerabilità”, “vulnerabilità attivamente sfruttate”, “incidenti di sicurezza” o “incidenti di sicurezza gravi”, a seconda dei casi e in conformità con i requisiti normativi applicabili e le procedure interne.
Le segnalazioni relative a una qualsiasi delle categorie sopra indicate possono essere inviate attraverso i canali descritti nella presente politica.
4. Come segnalare una vulnerabilità di sicurezza
Se ritieni di aver individuato un potenziale problema di sicurezza che riguarda uno dei prodotti connessi di SMEG o i relativi servizi, ti invitiamo a segnalarlo compilando il modulo online disponibile al seguente link: segnalazione di sicurezza.
Al fine di accelerare il processo di segnalazione, il tuo messaggio dovrebbe includere tutti i dettagli relativi al problema di sicurezza, compilando tutti i campi specificati nel modulo online. Più precisamente, nella tua segnalazione ti preghiamo di includere i seguenti dettagli:
-
Titolo: una sintesi concisa che faciliti la corretta classificazione del problema di sicurezza segnalato;
-
Categoria della segnalazione: un'indicazione della natura del problema (vulnerabilità di sicurezza, incidente di sicurezza), che aiuti SMEG nelle attività di valutazione e mitigazione;
-
Categoria del prodotto: selezionare il tipo di prodotto o servizio a cui si riferisce il problema di sicurezza (ad es. forno, lavastoviglie, applicazione mobile, ecc.);
-
Codice del prodotto: per identificare il codice del prodotto, consultare la guida «Come trovare il codice prodotto e il numero di serie»;
-
Numero di serie del prodotto: per identificare il numero di serie del prodotto, consultare la guida «Come trovare il codice prodotto e il numero di serie»;
-
Descrizione: una breve descrizione del problema di sicurezza segnalato e delle possibili misure di mitigazione o raccomandazioni;
-
Passaggi per la riproduzione: fornire passaggi chiari e descrittivi per la riproduzione del problema e, se disponibile, il codice di test;
-
Impatto: le potenziali conseguenze del problema di sicurezza segnalato;
-
Gravità: livelli basati sulla valutazione del segnalante riguardo al potenziale impatto sulla sicurezza (basso, medio, alto, critico). Ove applicabile, è possibile utilizzare il punteggio CVSS come riferimento;
-
Prove di sfruttamento attivo: indicare se si è a conoscenza o si sospetta che il problema di sicurezza segnalato sia attivamente sfruttato e fornire eventuali informazioni a sostegno, se disponibili;
-
Vulnerabilità: se lo si preferisce, è possibile fare riferimento al portale CWE (Common Weakness Enumerations);
-
File di supporto: ad esempio screenshot o video;
-
Nome, cognome e indirizzo e-mail di contatto.
Il modulo consente inoltre di inserire il proprio nome, cognome e indirizzo e-mail. Queste informazioni non sono obbligatorie per l'invio della segnalazione di sicurezza, ma sono necessarie per comunicarti che la tua segnalazione è stata presa in considerazione, per inviarti aggiornamenti sulla segnalazione e per richiedere ulteriori dettagli sul problema segnalato.
5. Cosa aspettarsi
Dopo aver confermato l’invio della segnalazione di sicurezza, riceverai entro due giorni lavorativi un messaggio di conferma con un numero di protocollo. Tale numero di protocollo è l’identificativo univoco che verrà utilizzato per identificare tutti i successivi aggiornamenti di SMEG relativi alla tua segnalazione di sicurezza.
Una volta assegnato un numero di protocollo alla segnalazione di sicurezza, questa verrà registrata dai nostri sistemi.
SMEG valuta gli eventi di sicurezza segnalati tenendo conto della loro natura, gravità, potenziale impatto sugli utenti e sui servizi, nonché di eventuali prove di sfruttamento attivo. La valutazione e la risoluzione dei problemi di sicurezza segnalati possono richiedere tempi variabili a seconda della loro complessità, gravità e potenziale impatto.
Qualora siano stati forniti i dati di contatto, SMEG si adopererà in misura ragionevole per fornire aggiornamenti sullo stato di avanzamento nelle fasi chiave del processo di valutazione, risoluzione e divulgazione. La frequenza degli aggiornamenti può variare a seconda della complessità e della gravità del problema di sicurezza segnalato.
Se ci avete fornito i vostri dati di contatto, cercheremo di tenervi informati sui progressi relativi alla segnalazione di sicurezza inviata il prima possibile; in caso contrario, potete richiedere informazioni sullo stato della questione, ma vi preghiamo di evitare di farlo più di una volta ogni 14 giorni. Ciò consentirà ai nostri team di concentrarsi sulla risoluzione del problema.
Se ci avete fornito i vostri dati di contatto, vi informeremo quando il problema segnalato sarà stato risolto e potreste essere invitati a confermare che la soluzione risolva adeguatamente il problema.
Il team addetto alla sicurezza dei prodotti SMEG invierà tutte le comunicazioni tramite l'indirizzo [email protected], che potete considerare come indirizzo di riferimento sia per le informazioni generali sulla sicurezza informatica dei prodotti sia per le richieste relative allo stato di una segnalazione inviata.
Al fine di garantire una guida e una comunicazione coerenti agli utenti interessati, SMEG incoraggia i segnalanti a coordinare con SMEG qualsiasi attività di divulgazione pubblica.
Ove opportuno, SMEG coordina le attività di gestione delle vulnerabilità, di risoluzione e di divulgazione con i segnalanti, i fornitori, i prestatori di servizi e altre parti interessate, al fine di ridurre i potenziali rischi per gli utenti, i prodotti connessi e i servizi correlati.
La classificazione definitiva delle vulnerabilità o degli incidenti di sicurezza segnalati, così come la pubblicazione di eventuali avvisi o comunicazioni da parte di SMEG, rimane di competenza esclusiva di SMEG.
6. Migliori pratiche per la segnalazione di problemi di sicurezza
Al fine di facilitare la gestione delle segnalazioni relative alla sicurezza, riportiamo di seguito alcune delle migliori pratiche che vi invitiamo a seguire quando segnalate problemi di sicurezza.
Vi invitiamo a non:
- Violare alcuna legge o normativa applicabile;
- Accedere a quantità di dati non necessarie, eccessive o significative;
- Modificare i dati nei sistemi o nei servizi di SMEG;
- Utilizzare strumenti di scansione invasivi o distruttivi ad alta intensità per individuare vulnerabilità;
- Tentare o segnalare qualsiasi forma di attacco denial-of-service, ad esempio sovraccaricando un servizio con un elevato volume di richieste;
- Interrompere i servizi o i sistemi di SMEG;
- Inviare segnalazioni in cui si affermi che i servizi non siano pienamente conformi alle “migliori pratiche”, ad esempio per la mancanza di intestazioni di sicurezza;
- Divulgare vulnerabilità o dettagli correlati attraverso canali diversi da quelli descritti nella presente politica;
- Ricorrere a tecniche di ingegneria sociale, “phishing” o attacchi fisici nei confronti del personale o delle infrastrutture di SMEG;
- Richiedere un compenso finanziario in cambio della divulgazione di eventuali vulnerabilità.
Vi invitiamo a:
- Rispettare sempre le norme sulla protezione dei dati e non violare la privacy degli utenti, del personale, dei collaboratori, dei servizi o dei sistemi di SMEG. Non dovete, ad esempio, condividere, ridistribuire o omettere di proteggere adeguatamente i dati recuperati dai sistemi o dai servizi;
- Cancellare in modo sicuro tutti i dati recuperati durante la vostra ricerca non appena non sono più necessari o entro 1 (uno) mese dalla risoluzione del problema di sicurezza, a seconda di quale delle due condizioni si verifichi per prima (o come altrimenti previsto dalla normativa sulla protezione dei dati).
7. Aspetti legali
La presente politica è stata concepita per essere compatibile con le buone pratiche relative alla divulgazione delle vulnerabilità. Essa non autorizza l'utente ad agire in alcun modo che sia in contrasto con la legge o che possa comportare una violazione di obblighi legali da parte di SMEG o delle organizzazioni partner.
8. Rendicontazione normativa
SMEG si impegna a gestire le vulnerabilità e gli incidenti di sicurezza in conformità con la legislazione vigente in materia di sicurezza informatica e con le buone pratiche del settore.
Laddove richiesto dalle leggi e dai regolamenti applicabili, SMEG informa le autorità competenti, collabora con le parti interessate e comunica agli utenti coinvolti le informazioni appropriate, le misure di mitigazione o le azioni correttive relative a vulnerabilità attivamente sfruttate o a gravi incidenti di sicurezza.
Tali attività normative e di comunicazione sono gestite attraverso i processi di sicurezza interni di SMEG e non richiedono alcuna azione aggiuntiva da parte di chi segnala l’evento.
Versione: 11 Settembre 2026
