Politica di Segnalazione delle Vulnerabilità

Divulgazione Coordinata delle Vulnerabilità

Spoken Ink Limited (registrata in Inghilterra e Galles con il numero 06968714, certificata ISO 27001) tutela con il massimo rigore la sicurezza del proprio software per il trasporto ferroviario, delle piattaforme multimediali a circuito chiuso e dei servizi digitali per il settore pubblico. In conformità con le linee guida dello UK National Cyber Security Centre (NCSC) e con lo standard RFC 9116, accogliamo segnalazioni in buona fede da ricercatori di sicurezza, enti pubblici e operatori ferroviari.

1. Ambito di Applicazione

• www.whooshmedia.co.uk e www.spokenink.co.uk
• Applicazioni web esposte su Internet, mappe accessibili delle stazioni e servizi di informazione ai passeggeri gestiti direttamente da Whoosh e Spoken Ink.

2. Come Segnalare una Vulnerabilità

Inviare le segnalazioni a Security Team all’indirizzo security@spokenink.co.uk. Il nostro manifesto leggibile da macchina (RFC 9116) è disponibile su /.well-known/security.txt.

Si prega di includere l’URL o il componente interessato, i passaggi per riprodurre il problema, l’impatto potenziale e un recapito per gli aggiornamenti.

3. Regole di Comportamento (Ricerca in Buona Fede)

• Non accedere, copiare, modificare né cancellare dati appartenenti a passeggeri, operatori ferroviari, partner aeronautici o amministrazioni pubbliche.
• Non eseguire attacchi denial-of-service (DoS/DDoS), scansioni automatizzate invasive, test fisici né attività di social engineering o phishing.
• Mantenere la riservatezza fino al completamento della risoluzione.

4. Il Nostro Impegno & Safe Harbour

• Conferma di ricezione: entro 3 giorni lavorativi.
• Valutazione e risoluzione: valutazione iniziale entro 10 giorni lavorativi secondo il nostro sistema di gestione ISO 27001.
• Tutela legale (Safe Harbour): Spoken Ink Limited non avvierà azioni legali nei confronti dei ricercatori che agiscono in buona fede rispettando la presente politica.