Vulnerability disclosure policy

1. Introduzione e impegno di Lainox

Lainox – Ali Group Srl ("Lainox") attribuisce grande importanza alla sicurezza dei propri prodotti connessi e apprezza il contributo della comunità dei ricercatori di sicurezza indipendenti. Questo documento descrive come segnalare in modo responsabile una sospetta vulnerabilità di sicurezza riguardante i prodotti Lainox e cosa aspettarsi da Lainox una volta ricevuta una segnalazione.

Questa policy è pubblicata anche in versione inglese; in caso di discrepanza tra le due versioni, prevale la versione italiana.

2. Ambito di applicazione

Rientrano nell'ambito di questa policy:

• Le apparecchiature Lainox dotate di connettività Wi-Fi e/o cloud: Naboo 5, Naboo Boosted, Naboo Reloaded, Neo24hours, Oracle, Puff/Foody, e i futuri prodotti connessi che Lainox svilupperà.

• L'infrastruttura digitale Lainox: i sistemi web e cloud direttamente gestiti da Lainox a supporto di tali prodotti (es. portale service-planner.lainox.it).

Non rientrano nell'ambito di questa policy:

• Servizi e componenti di terzi: servizi, componenti o infrastrutture di terze parti non direttamente controllati da Lainox, anche se utilizzati in combinazione con i prodotti Lainox.

• Test invasivi o distruttivi: attacchi fisici su macchine già installate presso i clienti, ingegneria sociale nei confronti di personale, clienti o distributori Lainox, e test che comportino interruzione di servizio (denial of service) su dispositivi in uso presso i clienti.

3. Come segnalare una vulnerabilità

Le segnalazioni possono essere inviate tramite:

• Email: service@lainox.com — canale primario, disponibile 24 ore su 24, 7 giorni su 7. Si consiglia di indicare nell'oggetto "Security Vulnerability Report – [prodotto/modello]".

• Telefono: +39 0438 911999 — per segnalazioni urgenti relative a vulnerabilità con impatto potenzialmente critico.

Per consentire una valutazione rapida ed efficace, si richiede di includere nella segnalazione, per quanto possibile:

• prodotto/modello e versione firmware/software interessati;

• una descrizione dettagliata della vulnerabilità e del suo potenziale impatto;

• i passaggi necessari per riprodurla (proof of concept, se disponibile);

• un recapito per eventuali richieste di chiarimento.

Su richiesta, è possibile concordare un canale di comunicazione cifrata per la condivisione di informazioni particolarmente sensibili.

4. Cosa aspettarsi da Lainox

Una volta ricevuta una segnalazione, Lainox si impegna a seguire il seguente processo:

* Le tempistiche indicate rappresentano un impegno di riferimento (in linea con la prassi di settore, cfr. ISO/IEC 29147 e 30111) e possono variare in funzione della complessità del caso; il segnalante viene comunque tenuto informato sull'avanzamento.

Le vulnerabilità confermate come attivamente sfruttate, o gli incidenti di sicurezza gravi, vengono gestiti e — quando previsto — notificati alle autorità competenti in conformità al Regolamento (UE) 2024/2847 (Cyber Resilience Act), secondo il processo interno Lainox di gestione delle vulnerabilità.

Su richiesta del segnalante, e ove appropriato, Lainox può riconoscere pubblicamente il contributo del ricercatore in un eventuale avviso di sicurezza. Non è attualmente previsto un programma di bug bounty con riconoscimento economico.

5. Impegno per chi segnala in buona fede

Lainox non intraprenderà azioni legali nei confronti di chi effettua una segnalazione in buona fede, nel rispetto della presente policy. Si richiede ai ricercatori di sicurezza di attenersi alle seguenti linee guida:

• non accedere, modificare o cancellare dati oltre quanto strettamente necessario per dimostrare l'esistenza della vulnerabilità;

• non condurre test che possano compromettere la disponibilità, l'integrità o la sicurezza operativa di dispositivi in uso presso i clienti (i forni Lainox sono apparecchiature professionali per la ristorazione: eventuali test non devono interferire con il loro funzionamento);

• non sfruttare una vulnerabilità oltre quanto necessario per confermarla, ed evitare scansioni automatizzate massive che possano compromettere i sistemi Lainox o degli utenti;

• concedere a Lainox un tempo ragionevole per analizzare e correggere la vulnerabilità prima di qualsiasi divulgazione pubblica, in linea con quanto indicato alla Sezione 4;

• non ricorrere a ingegneria sociale, attacchi fisici o test di denial of service.

6. Contatti

Email: service@lainox.com

Telefono: +39 0438 911999

Lainox – Ali Group Srl, Via Schiaparelli 15, Z.I. S.Giacomo di Veglia, 31029 Vittorio Veneto (TV), Italia

7. Aggiornamenti della policy

La presente policy viene rivista con cadenza almeno annuale, o a seguito di modifiche normative rilevanti o di cambiamenti significativi nei processi di gestione delle vulnerabilità di Lainox. Ogni nuova versione pubblicata riporta il relativo numero di versione e la data di entrata in vigore.