1. A chi si rivolge questa pagina
Opscadia è utilizzato per costruire e far funzionare sistemi SCADA/HMI in ambito industriale. Molti dei nostri clienti rientrano nell'ambito di applicazione della direttiva NIS 2 (recepita in Italia con il D.lgs. 138/2024) e ci considerano parte della propria catena di approvvigionamento ICT ai sensi dell'art. 21(2)(d).
Questa pagina descrive come segnalarci un problema di sicurezza, cosa facciamo quando lo riceviamo e quali misure di sicurezza adottiamo. È il riferimento pubblico citato nel nostro security.txt (RFC 9116).
2. Come segnalare una vulnerabilità
Scrivi a security@opscadia.com includendo, per quanto possibile:
- descrizione della vulnerabilità e del suo impatto potenziale;
- passi per riprodurla (proof of concept, richieste HTTP, screenshot);
- componente e versione interessati (piattaforma cloud, runtime esportato, Opscadia Connect);
- i tuoi recapiti, se desideri essere citato nei ringraziamenti.
Puoi scrivere in italiano o in inglese. Non è richiesta la cifratura del messaggio, ma se preferisci usarla scrivici prima per concordare una chiave.
3. Cosa ci impegniamo a fare
- Entro 3 giorni lavorativi: conferma di ricezione con un riferimento univoco della segnalazione.
- Entro 10 giorni lavorativi: esito della valutazione iniziale — confermata, non riproducibile, o non considerata vulnerabilità, con motivazione.
- Durante la lavorazione: aggiornamenti sullo stato con cadenza almeno mensile.
- Alla risoluzione: notifica della correzione e, se lo desideri, riconoscimento pubblico del tuo contributo.
Tempi di correzione indicativi dalla conferma: 7 giorni per le vulnerabilità critiche, 30 giorni per quelle di gravità alta, entro la release successiva per le altre.
Chiediamo di non divulgare pubblicamente la vulnerabilità per 90 giorni dalla segnalazione o fino al rilascio della correzione, se precedente. Se serve più tempo lo concordiamo insieme: non usiamo l'attesa per rimandare indefinitamente.
4. Cosa chiediamo a chi segnala
Consideriamo la ricerca svolta in buona fede e non intraprendiamo azioni legali se rispetti queste condizioni:
- non accedere, modificare o cancellare dati che non ti appartengono — se ti imbatti in dati altrui, interrompi e segnalacelo;
- non degradare il servizio: niente attacchi di tipo denial of service, niente test di carico, niente spam;
- non usare ingegneria sociale verso il nostro personale o i nostri clienti, né accessi fisici;
- usa il tuo account o un account di prova, non quelli di altri clienti;
- non testare mai impianti in produzione dei nostri clienti: un runtime SCADA controlla macchinari reali, e un test in questo contesto può causare danni fisici a cose e persone.
5. Ambito
In ambito: opscadia.com, app.opscadia.com, api.opscadia.com, il runtime Opscadia esportato, Opscadia Connect.
Fuori ambito: servizi di terze parti che utilizziamo (provider di hosting, posta, pagamenti), installazioni dei clienti sulle loro reti, segnalazioni generate automaticamente da scanner senza dimostrazione di impatto, questioni di configurazione senza conseguenze di sicurezza (es. assenza di record SPF su domini non usati per l'invio, versioni software indicate come obsolete senza una vulnerabilità sfruttabile).
Non gestiamo un programma di ricompense in denaro. Riconosciamo pubblicamente chi contribuisce, se lo desidera.
6. Le nostre misure di sicurezza
Sintesi delle misure tecniche in essere, riferite all'art. 21(2) della direttiva NIS 2:
- Autenticazione a più fattori (TOTP) disponibile su tutti gli account e obbligatoria per gli account amministrativi, con codici di recupero monouso.
- Protezione contro attacchi a forza bruta: blocco progressivo dei tentativi di accesso falliti, per account e per indirizzo IP.
- Revoca delle sessioni: cambio password e disconnessione globale invalidano immediatamente le sessioni attive su tutti i dispositivi.
- Registro di audit inalterabile: gli eventi di accesso e le modifiche di configurazione sono concatenati con impronte SHA-256 e protetti da trigger che rifiutano modifiche e cancellazioni. L'integrità è verificabile su richiesta ed esportabile per un'ispezione.
- Password protette con bcrypt e soggette a una politica di robustezza minima.
- Backup giornalieri del database, cifrati, con verifica periodica del ripristino.
- Gestione delle vulnerabilità: scansione automatica delle dipendenze e distinta dei componenti (SBOM) a ogni rilascio.
- Trasporto cifrato (TLS) su tutti i servizi cloud, con header di sicurezza HTTP applicati anche alle installazioni on-premise.
Alcune misure sono in corso di rafforzamento secondo un piano interno di adeguamento. Se sei un cliente soggetto a NIS 2 e ti serve documentazione dettagliata per la valutazione dei fornitori, scrivi a security@opscadia.com: forniamo su richiesta la matrice delle misure e il questionario fornitori compilato.
7. Incidenti di sicurezza
Disponiamo di una procedura interna di gestione degli incidenti che definisce rilevazione, classificazione della gravità, contenimento e comunicazione. In caso di incidente che riguardi i dati o i servizi di un cliente, informiamo il cliente interessato senza ritardo ingiustificato, fornendo le informazioni necessarie a valutare l'impatto e, quando applicabile, ad assolvere ai propri obblighi di notifica ai sensi dell'art. 23 NIS 2 e degli artt. 33-34 GDPR.
8. Contatti
- Segnalazioni di sicurezza: security@opscadia.com
- Informazioni generali: info@opscadia.com
Consulta anche la Privacy Policy e i Termini di servizio.