Coordinated vulnerability disclosure
← Políticas

CERT: Política de divulgación de vulnerabilidades

Las vulnerabilidades notificadas al CERT/CC se divulgarán al público 45 días después del informe inicial, independientemente de la existencia o disponibilidad de parches o soluciones alternativas por parte de los proveedores afectados. Las circunstancias atenuantes, como la explotación activa, las amenazas de naturaleza especialmente grave (o trivial) o las situaciones que requieren cambios en un estándar establecido, pueden dar lugar a una divulgación anterior o posterior. Las divulgaciones realizadas por el CERT/CC incluirán el reconocimiento a quien informó, salvo que este solicite otra cosa. Informaremos a los proveedores afectados de nuestros planes de publicación y negociaremos calendarios de publicación alternativos con los proveedores afectados cuando sea necesario.

El objetivo de esta política es equilibrar la necesidad del público de estar informado sobre las vulnerabilidades de seguridad con la necesidad de los proveedores de disponer de tiempo para responder con eficacia. La determinación final del calendario de publicación se basará en el interés general de la comunidad.

Las vulnerabilidades que se nos notifiquen se reenviarán a los proveedores afectados tan pronto como sea factible tras recibir el informe. El nombre y los datos de contacto de quien informó se reenviarán a los proveedores afectados, salvo que este solicite otra cosa. Informaremos a quien notificó de los cambios significativos en el estado de cualquier vulnerabilidad que haya notificado, en la medida de lo posible y sin revelar información que se nos haya facilitado de forma confidencial.

Las vulnerabilidades se divulgarán en Notas de vulnerabilidad (Vulnerability Notes).

Los informes de vulnerabilidades de sitios web del Gobierno de EE. UU. se reenviarán a US-CERT para su coordinación con el Gobierno.

Preguntas frecuentes

P: ¿Significa esto que el CERT/CC se decanta por la "divulgación completa"?

R: No distribuiremos exploits, si es eso lo que significa "divulgación completa". En nuestra experiencia, el número de personas que pueden beneficiarse de la disponibilidad de exploits es pequeño en comparación con el número de personas perjudicadas por quienes los usan con malicia. Sin embargo, divulgaremos información sobre vulnerabilidades que quizá no hubiéramos divulgado antes. Dentro de los límites de nuestros recursos, publicaremos información sobre tantas vulnerabilidades como podamos.

P: ¿Por qué no 30 días, o 15 días, o de inmediato?

R: Creemos que 45 días puede ser un plazo bastante exigente para una organización grande. Acortarlo no ayudará de forma realista a resolver el problema. A falta de pruebas de explotación, anunciar vulnerabilidades de forma gratuita puede no ser lo mejor para la seguridad pública.

P: ¿No sería mejor mantener en secreto las vulnerabilidades si no hay una solución disponible?

R: Las vulnerabilidades se descubren y se divulgan de forma rutinaria, con frecuencia antes de que los proveedores hayan tenido una oportunidad razonable de ofrecer una solución, y la divulgación a menudo incluye exploits funcionales. En nuestra experiencia, si no hay una divulgación responsable y cualificada de la información sobre vulnerabilidades, los investigadores, programadores, administradores de sistemas y otros profesionales de TI que descubren vulnerabilidades suelen sentir que no tienen más remedio que hacer pública la información en un intento de presionar a los proveedores para que aborden el problema.

P: ¿Se divulgarán todas las vulnerabilidades en 45 días?

R: No. A menudo pueden darse circunstancias que nos lleven a ajustar nuestro calendario de publicación. Las amenazas especialmente graves o de las que tengamos pruebas de explotación probablemente nos llevarán a acortar nuestro calendario de publicación. Las amenazas que requieran cambios "difíciles" (cambios en estándares, cambios en componentes centrales del sistema operativo) nos llevarán a ampliar nuestro calendario de publicación. Es posible que no publiquemos todas las vulnerabilidades que se nos notifiquen.

P: ¿Sorprenderán a los proveedores con anuncios de vulnerabilidades?

R: No. Antes de la divulgación pública, haremos un esfuerzo de buena fe por informar a los proveedores de nuestras intenciones.

P: Si un proveedor no está de acuerdo con su evaluación de un problema, ¿estará disponible esa información?

R: Sí. Solicitamos y publicamos declaraciones autenticadas de los proveedores y hacemos referencia a la información pertinente de los proveedores en las notas de vulnerabilidad. No ocultaremos la información facilitada por los proveedores simplemente porque discrepe de nuestra evaluación del problema.

P: ¿Quién recibe la información antes de la divulgación pública?

R: Por lo general, facilitamos la información a cualquier persona que pueda contribuir a la solución y con quien tengamos una relación de confianza, incluidos proveedores (a menudo incluidos proveedores cuyos productos no son vulnerables), expertos de la comunidad, patrocinadores y sitios que forman parte de una infraestructura crítica nacional, si creemos que esos sitios corren riesgo.

P: ¿Divulgan todas las vulnerabilidades notificadas?

R: No. Podemos, a nuestra discreción, negarnos a coordinar o publicar un informe de vulnerabilidad. Esta decisión se basa por lo general en el alcance y la gravedad de la vulnerabilidad y en nuestra capacidad para aportar valor al proceso de coordinación y divulgación. Tanto si coordinamos o publicamos como si no, recomendamos que quien informa haga un esfuerzo de buena fe por notificar al proveedor afectado y trabajar directamente con él antes de la divulgación pública.