Política de VAHLE sobre la divulgación responsable de vulnerabilidades

VAHLE desarrolla y suministra productos y soluciones que cumplen con los más altos estándares de calidad, fiabilidad y ciberseguridad. El Equipo de Respuesta a Emergencias Informáticas (CERT) de VAHLE respalda este objetivo ayudando a identificar, evaluar y subsanar las vulnerabilidades de seguridad detectadas en los productos y soluciones de VAHLE por investigadores de seguridad, socios, clientes u otras partes externas.

En caso de incidentes de seguridad potenciales o confirmados, el CERT de VAHLE coordina las medidas necesarias con los expertos competentes en desarrollo, productos y áreas especializadas. Esto incluye la evaluación de la vulnerabilidad notificada, la elaboración de un plan de medidas adecuado y la comunicación periódica con la persona que ha realizado la notificación. VAHLE apoya el principio de divulgación coordinada de vulnerabilidades (Coordinated Vulnerability Disclosure) y, por lo tanto, solicita que las vulnerabilidades notificadas se traten de forma confidencial hasta que se haya proporcionado una solución adecuada o una medida de mitigación de riesgos.

Independientemente de los contratos de servicio o del ciclo de vida de un producto, se invita a todas las personas y organizaciones a notificar las vulnerabilidades de seguridad identificadas. Agradecemos las notificaciones de investigadores de seguridad, CERT (Equipos de Respuesta a Emergencias Informáticas), asociaciones sectoriales, socios, clientes y cualquier otra fuente responsable.

En este sentido, VAHLE respeta los intereses y deseos de la persona que realiza la notificación. También se aceptan notificaciones anónimas.

VAHLE examina minuciosamente cada notificación y tomará las medidas adecuadas siempre que se demuestre que la vulnerabilidad notificada está relacionada con un producto, un software o un servicio de VAHLE.

Una divulgación pública precipitada puede exponer a los clientes y a los sistemas a riesgos innecesarios. Por ello, recomendamos expresamente un enfoque coordinado a la hora de dar a conocer la información.

Rogamos a quienes informen de vulnerabilidades de seguridad sin resolver que no las revelen a terceros ni las hagan públicas mientras no se haya acordado su divulgación.

Si se respeta esta directriz, el VAHLE CERT, junto con los departamentos especializados competentes, realizará los esfuerzos oportunos para:

• confirmar sin demora la recepción de una notificación de vulnerabilidad,
• evaluar la notificación e iniciar su tramitación,
• informar al denunciante de los avances significativos,
• facilitar un plazo estimado para la evaluación y la corrección, en la medida de lo posible,
• informar al denunciante tan pronto como haya disponible una solución, una corrección u otra medida adecuada.

Se facilitarán actualizaciones del estado tan pronto como se disponga de información relevante.

VAHLE no emprenderá acciones legales contra personas u organizaciones que actúen de buena fe y notifiquen las vulnerabilidades de seguridad de forma responsable, siempre que se cumplan las siguientes condiciones:

• No se llevarán a cabo acciones que causen perjuicio a VAHLE, a sus clientes o a terceros.
• Se respetarán en todo momento la privacidad, la confidencialidad y la seguridad de los datos de los clientes, de la empresa o de las personas.
• No se vea afectada la disponibilidad, la integridad o la seguridad de los sistemas y servicios.
• No se infringirán las leyes ni normativas vigentes.
• No se publicará información sobre la vulnerabilidad antes de que se haya acordado su divulgación con VAHLE o de que VAHLE haya confirmado su corrección.

VAHLE valora el trabajo y el compromiso de los investigadores en materia de seguridad, los clientes, los socios y todas las demás partes implicadas que contribuyen a identificar vulnerabilidades y a notificarlas de forma responsable. Gracias a esta colaboración, contribuimos juntos de manera significativa a la seguridad de nuestros productos, de nuestros clientes y de toda la industria conectada.

Le agradecemos su apoyo en la mejora continua de la ciberseguridad en VAHLE.