Política de divulgación responsable de vulnerabilidades
En la empresa VITALIT d.o.o. Nos tomamos en serio la seguridad de nuestros sitios web, servicios y sistemas de información. Esta política describe cómo los investigadores de seguridad y otras personas pueden informarnos de manera responsable sobre una posible vulnerabilidad de seguridad.
La política no constituye un programa público de recompensas por vulnerabilidades descubiertas y no permite pruebas de seguridad ilimitadas.
1. El objeto de la póliza
El propósito de esta política es proporcionar una manera clara y segura de informar posibles vulnerabilidades de seguridad descubiertas en sistemas de acceso público administrados directamente por VITALIT d.o.o.
Nuestro objetivo es comprender, verificar y manejar el informe de manera adecuada, mientras protegemos a los usuarios, los clientes, los datos y el rendimiento del sistema.
2. Cómo reportar una vulnerabilidad
Enviar la solicitud a: info@vitalit.si
Para el título del mensaje, utilice:Informar vulnerabilidad
Puede preparar la solicitud en esloveno o inglés.
No incluya contraseñas, tokens de acceso, claves privadas, bases de datos completas u otra información confidencial que no sea necesaria para comprender el problema en el mensaje.
3. ¿Qué información debe contener la solicitud?
Cuando sea posible, incluya:
- URL, dominio, aplicación o sistema donde experimentó el problema;
- una descripción clara de la vulnerabilidad sospechada;
- pasos para replicar el hallazgo;
- posible impacto de la vulnerabilidad;
- fecha y hora de detección;
- el dispositivo, navegador o entorno de software utilizado;
- capturas de pantalla limitadas, registros u otras pruebas necesarias para la verificación;
- tu información de contacto para recibir una respuesta.
La evidencia debe contener sólo la cantidad mínima de información necesaria para demostrar el problema.
4. Actividades permitidas
Al verificar una posible vulnerabilidad:
- utilizar únicamente métodos no invasivos y no destructivos;
- limitar la verificación al mínimo necesario para demostrar el problema;
- utilizar sus cuentas y datos de usuario siempre que sea posible;
- no afectará la disponibilidad o funcionamiento normal del sistema;
- cesará inmediatamente cuando se confirme adecuadamente la existencia de una vulnerabilidad;
- informar la vulnerabilidad sin demoras indebidas.
La presencia de esta política no constituye un permiso general para realizar pruebas de penetración u otras revisiones de seguridad.
5. Actividades prohibidas
Sin autorización previa por escrito, no se permite lo siguiente:
- ataques de denegación de servicio o pruebas de estrés;
- escaneo masivo o automatizado que podría afectar el funcionamiento de los sistemas;
- adivinación de contraseñas, ataques de fuerza bruta o relleno de credenciales;
- ingeniería social, phishing o suplantación de identidad;
- pruebas de seguridad física;
- instalar software malicioso;
- establecer acceso permanente o persistencia;
- alterar, eliminar o corromper datos;
- acceder a las cuentas o datos de otros usuarios;
- descargar documentos, buzones de correo, bases de datos o archivos completos;
- obtener código fuente o configuraciones que no están disponibles públicamente;
- anuncio público de vulnerabilidades antes de la coordinación con VITALIT d.o.o.;
- probar los sistemas de nuestros clientes o de otros terceros.
Los sistemas de los clientes no están incluidos en esta política, incluso cuando VITALIT d.o.o. participa en su mantenimiento.
6. Protección de datos y privacidad
Si accidentalmente encuentra información personal, confidencial, comercial o de cliente durante la verificación:
- cesará inmediatamente el acceso adicional;
- no descargar, copiar, modificar o compartir los datos;
- no cree grabaciones adicionales a menos que sea necesario para demostrar el problema;
- proporcionar sólo la cantidad mínima de información en la solicitud;
- notificarnos que es posible que se hayan expuesto datos confidenciales.
No envíe datos sensibles por correo electrónico regular, a menos que sea necesario y haya acordado previamente con nosotros el método de transmisión adecuado.
7. Procedimiento de tramitación de la solicitud
Después de recibir la solicitud, nos esforzaremos por:
- acusar recibo de la solicitud;
- verificar que la solicitud contenga información suficiente;
- evaluar técnicamente los hallazgos;
- priorizar según el impacto potencial;
- tomar las medidas necesarias o remitir el informe al propietario competente del sistema;
- solicitar información adicional al solicitante según sea necesario.
El tiempo de procesamiento depende de la complejidad, el impacto, la disponibilidad de la solución y la posible participación de terceros proveedores.
VITALIT d.o.o. no garantiza un tiempo fijo para la eliminación y no garantiza una recompensa monetaria o de otro tipo.
8. Divulgación Coordinada
No haga pública la información sobre una vulnerabilidad hasta que: Nosotros
- no comprobamos vulnerabilidades;
- no evaluamos el impacto;
- no tomamos medidas razonables para mitigar el riesgo;
- no estamos de acuerdo con usted sobre el momento apropiado y el alcance de la divulgación.
La divulgación pública sin coordinación previa puede aumentar el riesgo para los usuarios, clientes y otras organizaciones.
9. Alcance de la Política
La política se aplica a los sitios web y sistemas de acceso público administrados directamente por VITALIT d.o.o., a menos que se indique lo contrario en el sistema individual.
La política no se aplica automáticamente a:
- los sistemas de nuestros clientes;
- sistemas de socios comerciales;
- servicios de otros proveedores;
- plataformas o infraestructura de terceros;
- cuentas de usuario que no son propiedad del solicitante.
Si no está seguro de si un sistema está dentro del alcance de esta política, escriba a info@vitalit.si.
10. Contacto
Reportar vulnerabilidades de seguridad a: info@vitalit.si
Asunto del mensaje:Informar vulnerabilidad
Para preguntas generales, incidentes, problemas de usuarios o solicitudes de soporte, utilice los canales habituales de contacto y soporte de VitaliT.