Versão 1.0 — Em vigor desde 11/09/26
1. Nosso compromisso
Projetamos e fabricamos componentes eletrônicos para sistemas de elevação. Alguns de nossos produtos incorporam firmware e interfaces de comunicação e, como qualquer sistema de software, podem conter vulnerabilidades.
Consideramos que a denúncia responsável de uma vulnerabilidade é uma contribuição para a segurança de nossos clientes e dos usuários finais de nossos produtos. Esta política descreve como nos comunicar um problema de segurança, o que nos comprometemos a fazer em resposta e o que solicitamos ao denunciante.
Nosso processo segue as normas ISO/IEC 29147 (divulgação de vulnerabilidades) e ISO/IEC 30111 (gestão de vulnerabilidades), bem como as obrigações do Regulamento (UE) 2024/2847 (Cyber Resilience Act).
2. Como fazer uma denúncia
Ponto de contato único: cybersecurity@vegalift.it
Este é o único canal oficial para denúncias de segurança relacionadas aos nossos produtos. Não utilize os canais de assistência técnica comercial: eles atrasam o atendimento e não garantem a confidencialidade.
Se você considerar que os detalhes técnicos da denúncia exigem proteção especial, entre em contato conosco indicando isso e combinaremos com você um canal de comunicação adequado antes de entrarmos em detalhes.
O que incluir na denúncia
Quanto mais informações você nos fornecer, mais rapidamente poderemos confirmar e corrigir. Pedimos que, na medida do possível:
- produto e modelo em questão, e versão do firmware, se conhecida;
- descrição da vulnerabilidade e de seu impacto potencial;
- passos para reproduzir o problema, incluindo eventuais configurações específicas;
- ambiente de teste utilizado (banco de testes, equipamento não instalado, sistema em operação);
- eventual código de teste, captura de tela ou captura de tráfego;
- se você deseja ser citado publicamente no comunicado, e com qual nome.
Denúncia anônima
Se preferir não revelar sua identidade, você pode relatar a vulnerabilidade indiretamente por meio do CSIRT designado como coordenador para a divulgação coordenada de vulnerabilidades. Na Itália, trata-se do CSIRT Italia, vinculado à Agência Nacional de Segurança Cibernética. O CSIRT nos encaminhará o relato, preservando seu anonimato.
3. Produtos abrangidos
Esta política se aplica a todos os produtos de hardware e firmware da marca Vegalift atualmente disponíveis no mercado ou dentro do respectivo período de assistência técnica, bem como aos aplicativos de software que acompanham sua instalação e configuração.
Também se enquadram nesse âmbito as vulnerabilidades presentes em componentes de terceiros integrados em nossos produtos (módulos de comunicação, bibliotecas, pilhas de rede): comunique-as a nós de qualquer forma, que nós nos encarregaremos da coordenação com o fornecedor original.
Não se enquadram nesta política: nossos sistemas de informação corporativos, o site institucional, os serviços de e-mail e as plataformas de terceiros que utilizamos. Para questões relacionadas a esses sistemas, escreva para cybersecurity@vegalift.it e nós encaminharemos a denúncia internamente.
4. Segurança das pessoas: o que NÃO fazer
Nossos produtos são instalados em sistemas de elevação em operação, utilizados por pessoas. Esse é o ponto mais importante desta política.
| Não realize testes em instalações já instaladas e em funcionamento. Sem exceções. Uma interferência em uma instalação em operação pode causar danos a pessoas, e nenhum objetivo de pesquisa justifica isso. |
Solicitamos também que você:
- limitar os testes a equipamentos de bancada, não conectados a um sistema em operação;
- não tentar ataques do tipo negação de serviço, nem testes de carga ou de estresse em sistemas em operação;
- não acessar, modificar, extrair ou armazenar dados que não lhe pertençam, e interromper imediatamente a atividade caso se depare com dados de terceiros;
- não recorrer à engenharia social contra nossos funcionários, clientes ou instaladores, nem a acessos físicos não autorizados às nossas instalações ou às salas de equipamentos;
- não divulgar publicamente a vulnerabilidade antes que seja concluído o procedimento de divulgação coordenada descrito no ponto 6.
5. O que nos comprometemos a fazer
| Fase | Tempos |
| Confirmação de recebimento da denúncia | em até 3 dias úteis |
| Resultado da avaliação inicial e início do acompanhamento | em até 10 dias úteis |
| Atualizações sobre o andamento | pelo menos a cada 30 dias |
| Disponibilidade da correção ou da medida de mitigação | meta de 90 dias a partir da confirmação |
Além disso, nos comprometemos a:
- atribuir a cada denúncia um código de rastreamento e informá-lo a você;
- informá-lo caso consideremos que a denúncia não é reproduzível ou está fora do escopo, explicando o motivo;
- não iniciar nem apoiar ações judiciais contra você por atividades de pesquisa conduzidas de boa-fé e em conformidade com esta política;
- reconhecer publicamente sua autoria no comunicado, se assim desejar, ou manter sua confidencialidade, caso prefira;
- envolver o fornecedor original quando a vulnerabilidade residir em um componente de terceiros, paralelamente à nossa atividade de correção.
Uma esclarecimento sobre os prazos de correção. A atualização do firmware dos nossos produtos não é feita remotamente: ela requer uma intervenção no local por parte de pessoal técnico qualificado. A disponibilidade de uma correção e sua aplicação efetiva no equipamento instalado são, portanto, dois momentos distintos, e o segundo pode levar um tempo significativamente maior. Levamos isso em consideração ao coordenar a divulgação.
Atualmente, não oferecemos recompensas financeiras por denúncias de vulnerabilidades.
6. Divulgação coordenada
O objetivo da divulgação coordenada é dar aos usuários a oportunidade de se protegerem antes que as informações técnicas se tornem públicas.
Solicitamos que você não divulgue publicamente os detalhes da vulnerabilidade por 90 dias a partir da nossa confirmação de recebimento, ou até a publicação do nosso comunicado, se ocorrer antes. Caso a correção exija mais tempo — o que é possível pelos motivos indicados acima —, entraremos em contato com você para acordar uma prorrogação, justificando-a.
Quando a correção ou a medida de mitigação estiver disponível, publicamos um comunicado de segurança em https://mega.vegalift.it/hc/it/articles/30008798138396-Advisory-list, contendo:
- o identificador CVE, quando atribuído;
- os produtos e as versões de firmware afetados;
- uma avaliação da gravidade de acordo com o CVSS;
- a descrição do impacto;
- as instruções operacionais para os instaladores e as eventuais medidas de mitigação aplicáveis enquanto se aguarda a correção.
Só podemos adiar a divulgação pública quando considerarmos, por motivos devidamente justificados, que os riscos de uma divulgação imediata superam os benefícios, e apenas pelo tempo necessário para permitir que os usuários apliquem a correção. Nesse caso, documentamos a justificativa.
7. Obrigações de notificação às autoridades
Por uma questão de transparência, informamos que, caso constatemos que uma vulnerabilidade em nossos produtos está sendo ativamente explorada, somos obrigados por lei a notificá-la ao CSIRT Italia e à ENISA por meio da plataforma única de notificação, no prazo de 24 horas a partir do momento em que tomarmos conhecimento do fato, nos termos do artigo 14 do Regulamento (UE) 2024/2847.
Essa notificação diz respeito à vulnerabilidade e à sua exploração. Não divulgamos sua identidade às autoridades sem o seu consentimento.
8. Contatos e revisões
Ponto de contato único para vulnerabilidades: cybersecurity@vegalift.it
Sede social:
Vegalift S.r.l. Via degli Appennini 11-13, Contrada Capparuccia, 63845 - Ponzano di Fermo (FM) Italia