Política de divulgación de vulnerabilidades

Directrices

Con arreglo a esta política, se entiende por "investigación" las actividades en las que:

• Notifíquenos lo antes posible si descubre un problema de seguridad real o potencial.
• Haga todo lo posible para evitar violaciones de la privacidad, la degradación de la experiencia del usuario, cualquier interrupción de los sistemas de producción y la manipulación o destrucción de datos.
• Utilice los exploits sólo en la medida necesaria para confirmar la existencia de una vulnerabilidad. No utilice un exploit para comprometer o exfiltrar datos, establecer el acceso a un sistema o utilizar el exploit para pivotar a otros sistemas.
• Concédanos un plazo razonable para resolver el problema antes de divulgarlo públicamente.
• No presente un volumen considerable de informes de baja calidad.

Tras confirmar la presencia de una vulnerabilidad o descubrir cualquier dato sensible (como datos de identificación personal, información o registros financieros, o información propiedad de terceros o secretos comerciales), debe detener todas las pruebas, notificárnoslo inmediatamente y abstenerse de compartir estos datos con nadie.

Importante

Al notificar problemas, omita cualquier información sensible o personal (como datos de identificación personal, información o registros financieros, o información de propiedad de terceros o secretos comerciales) en las pruebas que proporcione.

Sólo podrá acceder e interactuar con cuentas de su propiedad o cuentas para las que cuente con el permiso explícito del titular o titulares de la cuenta. Los métodos empleados para examinar o validar un asunto deben estar en consonancia con lo que generalmente se considera razonable y de buena fe, como por ejemplo, a título meramente enunciativo y no limitativo:

• No cause daños potenciales o reales a nuestros sistemas, aplicaciones o usuarios. Por ejemplo, desplegar ataques de fuerza bruta para acceder a nuestras aplicaciones, productos o servicios. DDOS o cualquier otra prueba disruptiva.
• Están estrictamente prohibidos el scraping y el fuzzing automatizados o la realización de escaneos grandes o ciegos mediante herramientas de automatización.
• No realice ataques dirigidos contra centros de datos, socios, filiales y/o bienes del personal.
• No lleve a cabo actividades de ingeniería social (p. ej., phishing, smishing, vishing) para obtener acceso a personal, colegas, aplicaciones, productos o servicios de Forward Thinking Systems.
• No explote una vulnerabilidad (conocida o no) para ver datos no autorizados o corruptos. Cuando valide una filtración, pruebe sólo la cantidad mínima necesaria para demostrar o validar el problema. Absténgase de descargar más datos de los absolutamente necesarios para demostrar el problema o de modificar o borrar datos.

Notificación de vulnerabilidades

Si se descubre una vulnerabilidad, el investigador debe proporcionar un resumen detallado de la misma, que incluya (pero no se limite a) lo siguiente:

• Descripciones claras de la vulnerabilidad y su impacto potencial;
• Nombre del producto, versión y configuración de cualquier software o hardware que pueda estar potencialmente afectado;
• Instrucciones paso a paso para reproducir el problema;
• Una prueba de concepto; y medidas de corrección o mitigación sugeridas, según proceda.

Aceptamos el envío de informes de vulnerabilidad por correo electrónico a [email protected]. En caso necesario, las denuncias pueden presentarse de forma anónima. Si comparte información de contacto con nosotros, acusaremos recibo de su denuncia en un plazo de tres días laborables.

Al enviar una vulnerabilidad, reconoce que cualquier recompensa potencial queda a discreción de Forward Thinking Systems, que no tiene expectativas de compensación y que renuncia expresamente a cualquier reclamación de pago futura contra Forward Thinking Systems.

Lo que nos gustaría ver de su presentación

Para ayudarnos a tratar y priorizar los envíos de vulnerabilidades, recomendamos que sus informes de vulnerabilidades:

• Describa el lugar donde se descubrió la vulnerabilidad y el impacto potencial del uso del exploit.
• Ofrece una descripción exhaustiva de los pasos necesarios para reproducir la vulnerabilidad (se recomiendan capturas de pantalla o scripts de prueba de concepto).
• Se divulgan en inglés, si es posible.

Qué puede esperar de nosotros

Si decide compartir su información de contacto con nosotros, nos comprometemos a coordinarnos con usted de la forma más rápida y abierta posible.

• Acusaremos recibo de su informe de vulnerabilidad en un plazo de 3 días laborables.
• En la medida de nuestras posibilidades, le confirmaremos la existencia de la vulnerabilidad y seremos lo más abiertos posible sobre nuestro proceso de reparación, incluidos los problemas o retos que puedan retrasar la resolución.
• Nos esforzaremos por mantener un diálogo abierto para debatir la cuestión o cuestiones.

Preguntas

Las preguntas relativas a esta política pueden enviarse directamente a [email protected]. También le invitamos a ponerse en contacto con nosotros para hacernos llegar sus sugerencias para mejorar esta política.