Divulgación coordinada de vulnerabilidades de Fox-IT

En Fox-IT consideramos que la seguridad de nuestros sistemas, nuestra red y nuestros productos es de suma importancia. A pesar del gran cuidado que ponemos en la seguridad, aún pueden quedar puntos débiles. Si ha encontrado un punto débil de este tipo, nos gustaría saberlo lo antes posible para poder tomar las medidas adecuadas cuanto antes.

Los puntos débiles pueden descubrirse de dos maneras: puede toparse con algo por casualidad durante el uso normal de un entorno digital, o puede esforzarse explícitamente por encontrarlos.

Nuestra política de divulgación responsable no es una invitación a escanear activamente nuestra red empresarial para descubrir puntos débiles. Nosotros mismos supervisamos nuestra red empresarial. Esto significa que hay muchas probabilidades de que se detecte un escaneo y de que nuestro Centro de Operaciones de Seguridad (SOC) realice una investigación, lo que podría generar costes innecesarios. Sin embargo, le invitamos a buscar activamente vulnerabilidades en nuestros productos en un entorno sin conexión que no sea de producción y a notificarnos sus hallazgos. Nuestra responsabilidad hacia nuestros clientes implica que no pretendemos fomentar intentos de piratería en su infraestructura; no obstante, nos gustaría saber de usted lo antes posible si se encuentran vulnerabilidades, para poder resolverlas adecuadamente.

Nos gustaría trabajar con usted para poder proteger mejor a nuestros clientes y nuestros sistemas.

Le pedimos que:

Envíe sus hallazgos por correo electrónico lo antes posible a security-alert@fox-it.com.
No abuse de la vulnerabilidad; por ejemplo, descargando, editando o eliminando datos. Siempre nos tomaremos en serio su informe e investigaremos cualquier sospecha de vulnerabilidad, incluso sin pruebas.
No comparta el problema con otras personas hasta que se haya resuelto.
No utilice ataques a la seguridad física, ingeniería social ni herramientas de piratería, como escáneres de vulnerabilidades.
Proporcione información suficiente para reproducir el problema para que podamos resolverlo lo antes posible. Normalmente, la dirección IP o la URL del sistema afectado y una descripción de la vulnerabilidad bastan, aunque puede ser necesaria más información para vulnerabilidades más complejas.

Lo que prometemos:

Responderemos a su informe en un plazo de tres días hábiles, con nuestra evaluación del informe y una fecha prevista de resolución.
Trataremos su informe de forma confidencial y no compartiremos su información personal con terceros sin su permiso. Se exceptúan la policía y el poder judicial en caso de procesamiento o si se exige la información.
Le mantendremos informado del avance de la solución al problema.
En la comunicación sobre el problema notificado, indicaremos su nombre como la parte que descubrió el problema, si así lo desea.
Lamentablemente, no es posible garantizar de antemano que no se emprenderán acciones legales contra usted. Esperamos poder considerar cada situación individualmente. Nos consideramos moralmente obligados a denunciarle si sospechamos que se está abusando del punto débil o de los datos, o que ha compartido con otros el conocimiento del punto débil. Puede estar tranquilo: un descubrimiento accidental en nuestro entorno en línea no dará lugar a un procesamiento.
Como agradecimiento por su ayuda, ofrecemos una recompensa por cada informe de un problema de seguridad que no conozcamos. Determinamos el valor de la recompensa en función de la gravedad de la brecha y de la calidad del informe.

Nos esforzamos por resolver todos los problemas lo antes posible, por mantener informadas a todas las partes implicadas y nos gustaría participar en cualquier publicación sobre el problema una vez resuelto.

Ejemplo: Bits of Freedom

Nuestra dependencia de la infraestructura digital no deja de crecer. Esto se aplica a la sociedad en su conjunto, pero también a nosotros mismos. Por ello, opinamos que los gobiernos y las organizaciones (incluida la nuestra) deberían comprometerse firmemente con la protección de nuestra infraestructura digital. Somos conscientes de que, a pesar de nuestras mejores intenciones y de nuestro mayor cuidado, pueden existir vulnerabilidades en nuestros sistemas. Si llega a encontrar alguna de estas debilidades, nos encantaría saber de usted para poder resolver el problema.

Lo que esperamos de usted

Cuando investigue uno de nuestros sistemas, tenga en cuenta la proporcionalidad del ataque. No es necesario demostrar que, si somete nuestro sitio web al mayor ataque DDoS de la historia de internet, el sitio puede quedar inaccesible. Ya lo sabemos. También entendemos que, si mete una excavadora en nuestra oficina, probablemente podrá llevarse uno de nuestros portátiles.
Este principio de proporcionalidad también es relevante al demostrar la propia vulnerabilidad. No debe inspeccionar ni modificar más datos de los estrictamente necesarios para confirmar la validez de su hallazgo. Por ejemplo, si puede modificar nuestra página de inicio, añada una sola palabra no polémica en lugar de apoderarse de toda la página. Si puede obtener acceso a una base de datos, basta con mostrarnos una lista de las tablas que contiene, o quizá el primer registro de una de ellas.
Una vulnerabilidad en uno de nuestros sistemas debe notificarse lo antes posible enviando un correo electrónico a security@bof.nl. Preferiblemente, cifre su mensaje con OpenPGP. Proporcione información suficiente para que podamos reproducir e investigar el problema.
La clave pública OpenPGP de security@bof.nl
No compartirá su conocimiento de la vulnerabilidad con otras partes mientras no hayamos abordado el problema y sigamos dentro de un plazo razonable desde que lo notificó.
Eliminará toda la información confidencial que haya obtenido durante su investigación en cuanto hayamos resuelto la vulnerabilidad.

Lo que puede esperar de nosotros

Responderemos a su informe en un plazo de tres días de manera detallada. Incluiremos una estimación del tiempo que necesitaremos para abordar el problema. Por supuesto, le mantendremos informado periódicamente de nuestros avances.
Resolveremos la vulnerabilidad lo antes posible. También aquí es importante la proporcionalidad: el tiempo necesario para corregir una vulnerabilidad depende de varios factores, entre ellos la gravedad y la complejidad del problema en cuestión.
Si sigue las directrices aquí expuestas, no emprenderemos acciones legales contra usted en relación con su informe.
Para nosotros es importante reconocer lo que hizo, si así lo desea. Mencionaremos su nombre en una publicación sobre la vulnerabilidad solo si usted está de acuerdo.
Como agradecimiento por ayudarnos a proteger mejor nuestros sistemas, nos gustaría recompensar cada informe de una vulnerabilidad que desconociéramos en ese momento. La recompensa dependerá de la gravedad de la vulnerabilidad y de la calidad del informe.

Si encuentra una vulnerabilidad en software de terceros que utilizamos y esa vulnerabilidad está cubierta por un programa de recompensas por errores, no intentaremos reclamar esa recompensa; debería hacerlo usted.