Ejemplo de divulgación de vulnerabilidades de ResponsibleDisclosure.nl

En Acme Corporation consideramos que la seguridad de nuestros sistemas es una prioridad máxima. Pero por mucho esfuerzo que dediquemos a la seguridad de los sistemas, aún puede haber vulnerabilidades.

Si descubre una vulnerabilidad, nos gustaría saberlo para poder tomar medidas y abordarla lo antes posible.

Le pedimos que nos ayude a proteger mejor a nuestros clientes y nuestros sistemas.

Por favor, haga lo siguiente:

• Envíe sus hallazgos por correo electrónico a cert@example.com. Cifre sus hallazgos con nuestra clave PGP para evitar que esta información crítica caiga en manos equivocadas,

• No se aproveche de la vulnerabilidad o el problema que haya descubierto, por ejemplo descargando más datos de los necesarios para demostrar la vulnerabilidad o eliminando o modificando datos de otras personas,

• No revele el problema a otras personas hasta que se haya resuelto,

• No utilice ataques a la seguridad física, ingeniería social, denegación de servicio distribuida, spam ni aplicaciones de terceros, y

• Facilite información suficiente para reproducir el problema, de modo que podamos resolverlo lo antes posible. Normalmente, la dirección IP o la URL del sistema afectado y una descripción de la vulnerabilidad serán suficientes, pero las vulnerabilidades complejas pueden requerir más explicaciones.

Lo que prometemos:

• Responderemos a su informe en un plazo de 3 días hábiles con nuestra evaluación del informe y una fecha prevista de resolución,

• Si ha seguido las instrucciones anteriores, no emprenderemos ninguna acción legal contra usted en relación con el informe,

• Trataremos su informe con estricta confidencialidad y no transmitiremos sus datos personales a terceros sin su permiso,

• Le mantendremos informado de los avances hacia la resolución del problema,

• En la información pública sobre el problema notificado, indicaremos su nombre como descubridor del problema (salvo que desee otra cosa), y

• Como muestra de nuestro agradecimiento por su ayuda, ofrecemos una recompensa por cada informe de un problema de seguridad que aún no conociéramos. El importe de la recompensa se determinará en función de la gravedad de la fuga y de la calidad del informe. La recompensa mínima será un cheque regalo de 50 €.

Nos esforzamos por resolver todos los problemas lo antes posible y nos gustaría desempeñar un papel activo en la publicación final sobre el problema una vez resuelto.

Este texto ha sido escrito por Floor Terra y se publica bajo una licencia Creative Commons Attribution 3.0 Unported.