Avviso agli utenti e catena a monte
Accanto alla notifica all’autorità, il regolamento prevede due adempimenti che riguardano altri destinatari: informare gli utenti impattati e segnalare al manutentore un difetto che risiede in un componente di terzi. CRAnotify li tratta come attività distinte, ciascuna con la propria traccia nel registro.
Avviso agli utenti impattati · Art. 14(8)
Quando un evento incide sulla sicurezza del prodotto, il fabbricante informa senza indebito ritardo gli utenti del prodotto — e, se opportuno, tutti gli utenti — dell’evento e delle misure correttive o di mitigazione che possono adottare.
La schermata Avvisa gli utenti (dal percorso del deposito) permette di:
- scegliere il perimetro dei destinatari: utenti registrati, clienti e distributori, tutti i soggetti impattati;
- partire da un testo-base già impostato, da adattare al caso;
- registrare l’avviso come eseguito, con perimetro e momento.
CRAnotify non invia l’avviso ai tuoi clienti: la diffusione avviene con i tuoi canali (avvisi di sicurezza, email ai clienti, note di rilascio, portale prodotto). Qui se ne registra l’esecuzione, che è ciò che va poi dimostrato.
Buona pratica. Nell’avviso indica sempre: prodotto e versioni interessate, che cosa può accadere, che cosa deve fare l’utente adesso, quando arriverà la correzione. Un avviso che descrive il problema senza dire cosa fare genera solo chiamate all’assistenza.
Segnalazione al manutentore · Art. 13(6)
Se la vulnerabilità riguarda un componente di terzi incluso nel prodotto — una libreria open source, un modulo di fornitore — il fabbricante la segnala alla persona o all’entità che lo mantiene.
La schermata Segnalazione a monte elenca i componenti registrati nella distinta base del prodotto (vedi Anagrafica dei prodotti), propone un testo-base e registra l’avvenuta segnalazione.
- Segnala al canale di sicurezza dichiarato dal progetto (
SECURITY.md,security.txt, advisory privati), non a un canale pubblico. - Concorda una finestra di divulgazione coordinata prima di pubblicare dettagli.
- Conserva la corrispondenza: è la prova che la catena a monte è stata attivata.
In che ordine
La notifica all’autorità ha i termini più stretti e ha la precedenza. Gli altri due adempimenti seguono, ma non aspettare la relazione finale per farli: l’avviso agli utenti è tanto più utile quanto prima arriva, e la segnalazione a monte spesso è la condizione perché la correzione esista.
consapevolezza ──24 h──▶ preallerta all’autorità
│
├─▶ avviso agli utenti impattati (Art. 14(8), senza indebito ritardo)
└─▶ segnalazione al manutentore a monte (Art. 13(6), appena identificato)Che cosa resta a registro
| Atto | Riga di registro | Tipo |
|---|---|---|
| Avviso agli utenti registrato | «Avviso agli utenti impattati registrato» con il perimetro dei destinatari | notifica |
| Avviso riaperto | «Avviso agli utenti impattati riaperto» | notifica |
| Segnalazione a monte registrata | «Segnalazione al manutentore registrata» con riferimento ai componenti | notifica |
Entrambe le attività contano nell’lista di attivazione: sono due dei sette passi.
Da non confondere
L’avviso agli utenti non sostituisce la notifica all’autorità, e la notifica all’autorità non sostituisce l’avviso agli utenti. Sono obblighi distinti con destinatari e finalità diverse: adempierne uno solo lascia scoperto l’altro.