Segnala una vulnerabilità

Una possibile debolezza che potrebbe compromettere la sicurezza di un dispositivo o dei servizi associati.

• Firmware, software embedded e applicazioni.
• Interfacce web, API e servizi digitali.
• Componenti software di terze parti integrati nei prodotti.

Segnala un incidente

Un evento osservato o sospetto che può avere un impatto sulla sicurezza di un prodotto SENECA.

• Accessi non autorizzati o compromissioni.
• Alterazioni del funzionamento riconducibili a un attacco.
• Evidenze di sfruttamento attivo di una vulnerabilità.

Ricezione

Registriamo la segnalazione e la indirizziamo al personale competente.

Analisi

Verifichiamo le evidenze, la gravità e l’impatto sui prodotti o sui sistemi interessati.

Intervento

Quando necessario, sviluppiamo mitigazioni, aggiornamenti o altre misure correttive.

Coordinamento

Manteniamo, ove possibile, il contatto con il segnalante e informiamo gli utenti quando necessario.

Identifica il dispositivo

• Nome, modello e codice prodotto.
• Versione hardware.
• Versione firmware o software.

Descrivi il problema

• Descrizione dell’incidente o della vulnerabilità.
• Procedura o condizioni per riprodurre il problema.
• Possibile impatto e sfruttamenti già osservati.
• Log, evidenze tecniche o eventuale Proof of Concept.
• Un contatto per eventuali approfondimenti.

Le segnalazioni vengono registrate e analizzate in modo riservato, classificate per tipologia e impatto e affidate al personale tecnico competente. La gestione segue criteri di tempestività, proporzionalità e riservatezza e comprende la valutazione degli eventuali obblighi normativi applicabili.

SENECA può contattare il segnalante per richiedere informazioni aggiuntive. Le informazioni sulle vulnerabilità vengono condivise internamente con le sole funzioni necessarie alla gestione dell’evento e, quando previsto dalla legge, con le autorità competenti.

Prodotti SENECA

Le vulnerabilità e gli incidenti relativi ai prodotti con elementi digitali vengono gestiti secondo il processo interno di Product Security e Vulnerability Management. SENECA valuta le segnalazioni, verifica l’impatto sui prodotti interessati e, quando necessario, sviluppa misure di mitigazione, aggiornamenti firmware o software e altre misure correttive.

Il processo comprende la gestione coordinata delle vulnerabilità e la valutazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti, ai fini degli obblighi applicabili del Cyber Resilience Act.

Sistemi e servizi aziendali

Le segnalazioni relative a sistemi informativi, infrastrutture, servizi digitali e dati SENECA vengono gestite dal Team di Sicurezza Informatica secondo le procedure interne di Incident Management. Quando applicabile, SENECA provvede agli obblighi di notifica previsti dalla normativa NIS2 verso le autorità competenti.

L’indirizzo security@seneca.it resta il punto di contatto pubblico comune ai due ambiti.

SENECA promuove un approccio di Coordinated Vulnerability Disclosure. Le segnalazioni vengono analizzate dal personale tecnico competente. Quando una vulnerabilità viene confermata, SENECA coordina le attività necessarie per:

• Valutarne gravità e impatto.
• Identificare i prodotti e le versioni interessati.
• Individuare eventuali mitigazioni temporanee.
• Sviluppare e validare aggiornamenti o correzioni.
• Informare gli utenti interessati quando necessario.
• Pubblicare eventuali avvisi di sicurezza (Security Advisory).

SENECA chiede ai ricercatori e ai segnalanti di evitare la divulgazione pubblica di dettagli tecnici che possano facilitare lo sfruttamento della vulnerabilità prima della disponibilità di adeguate mitigazioni o correzioni.

SENECA si impegna a mantenere, ove possibile, un canale di comunicazione con il segnalante durante le attività di analisi e risoluzione.

SENECA incoraggia la segnalazione responsabile delle vulnerabilità. La presente policy non costituisce un’autorizzazione a effettuare attività che possano:

• Compromettere la disponibilità dei sistemi o dei servizi.
• Modificare o cancellare dati.
• Accedere intenzionalmente a dati personali o informazioni riservate non necessarie.
• Compromettere sistemi di terze parti.
• Effettuare attacchi DoS o DDoS.
• Utilizzare tecniche di social engineering.
• Violare la normativa applicabile.

Se durante un’attività di ricerca viene accidentalmente ottenuto accesso a informazioni riservate o personali, l’attività deve essere interrotta e l’evento segnalato tempestivamente a SENECA.

SENECA adotta misure tecniche e organizzative e processi di gestione della cybersicurezza tenendo conto degli obblighi europei e nazionali applicabili e degli standard pertinenti:

• Regolamento (UE) 2016/679 – GDPR.
• Direttiva (UE) 2022/2555 – NIS2 e relativa normativa nazionale di recepimento.
• Regolamento (UE) 2024/2847 – Cyber Resilience Act (CRA), secondo le relative date di applicazione.
• Norme ISO/IEC 27001 e altri framework e standard di cybersecurity applicabili.
• Standard di cybersecurity industriale, ove applicabili.

A decorrere dall’11 settembre 2026, quando ricorrono le condizioni previste dall’articolo 14 del Regolamento (UE) 2024/2847, SENECA provvede alle notifiche obbligatorie relative a vulnerabilità attivamente sfruttate e incidenti gravi aventi impatto sulla sicurezza dei prodotti con elementi digitali.

Le notifiche vengono effettuate tramite la Single Reporting Platform (SRP) di ENISA, secondo le modalità e le tempistiche previste dalla normativa applicabile.

La SRP è il canale di notifica verso ENISA e i CSIRT competenti. Per inviare una segnalazione a SENECA, utilizza il form dedicato ai prodotti oppure scrivi a security@seneca.it.

Approfondisci la Single Reporting Platform sul sito ENISA

La gestione delle segnalazioni è affidata a una struttura multidisciplinare che, in funzione dell’evento, può coinvolgere:

• Team di Sicurezza Informatica.
• Product Security / R&D.
• Responsabile IT.
• Quality e Compliance.
• Punto di Contatto NIS2.
• Funzioni legali e regolatorie.
• Direzione e altre funzioni aziendali interessate.

Questo modello consente di distinguere e gestire gli incidenti relativi all’infrastruttura aziendale e quelli relativi alla sicurezza dei prodotti.