Coordinated Vulnerability Disclosure Policy

Objetivo

Bender GmbH & Co. KG se compromete a garantizar la seguridad de sus productos, servicios e infraestructura informática. Las vulnerabilidades de seguridad pueden acarrear riesgos considerables si no se detectan y se subsanan a tiempo y de forma responsable.

La presente política de divulgación coordinada de vulnerabilidades (Coordinated Vulnerability Disclosure, CVD) define un proceso claro y estructurado para la notificación de vulnerabilidades. Permite a Bender investigar los problemas notificados, evaluar sus repercusiones y adoptar las medidas correctivas adecuadas antes de que se produzca una divulgación pública.

Ámbito de aplicación

Los siguientes componentes se incluyen expresamente en el ámbito de aplicación de esta directriz:

• Software de producto y firmware
• Sistemas de backend
• Infraestructura de TI gestionada por Bender
• Todos los servicios en la nube y API de Bender
• Sitios web de la empresa (p. ej., bender.de, bender.es, bender‑cn.com, …)

Fuera del ámbito de aplicación

Las siguientes actividades y sistemas quedan excluidos de esta política y no deben notificarse en el marco de este proceso de CVD:

• Ataques de denegación de servicio mediante inundación de datos
• Configuraciones erróneas por parte del cliente
• Ataques de ingeniería social
• Ataques físicos que requieran acceso directo al dispositivo

Notificar una vulnerabilidad

Bender fomenta la divulgación responsable y pone a disposición varios canales seguros para notificar presuntas vulnerabilidades.

Comunicación segura

Para garantizar la confidencialidad de las comunicaciones, Bender pone a disposición una clave PGP pública. Se recomienda encarecidamente a los informantes que utilicen la comunicación cifrada siempre que sea posible, especialmente al intercambiar detalles técnicos sensibles.

Directrices de divulgación

Para garantizar un proceso de divulgación responsable y eficiente, se ruega a los informantes que sigan las siguientes directrices:

• Proporcione información técnica suficiente para que se pueda reproducir el problema (por ejemplo, capturas de pantalla, registros, código de prueba de concepto).
• No divulgue la vulnerabilidad ni públicamente ni a terceros hasta que Bender haya confirmado su corrección.
• Abstenerse de realizar acciones malintencionadas, incluyendo la destrucción de datos, el acceso no autorizado a los datos o la interrupción del servicio.

Envío de un informe: requisitos generales

Todo informe de vulnerabilidad debe cumplir los siguientes requisitos mínimos:

• Una descripción clara, detallada y reproducible de la vulnerabilidad y sus posibles repercusiones.
• Todos los datos de prueba, cuentas de prueba y pasos necesarios para la verificación.
• Solo se puede incluir una vulnerabilidad por informe; los problemas no relacionados deben enviarse por separado.
• Unas instrucciones escritas paso a paso en las que se describa cómo se puede reproducir el problema.

Programa de recompensas por errores

Bender no cuenta con ningún programa de recompensas por errores ni de remuneración por vulnerabilidades de seguridad.

Debido al creciente número de notificaciones automatizadas e infundadas de vulnerabilidades de seguridad, entre las que se incluyen informes generados por herramientas automatizadas o basadas en inteligencia artificial sin una verificación técnica suficiente, Bender centra sus recursos exclusivamente en la divulgación coordinada y responsable.

La presentación de un informe de vulnerabilidad de seguridad en el marco de esta política no da derecho al informante a ninguna compensación económica. Los informes se evalúan exclusivamente en función de su relevancia técnica, su solidez y sus repercusiones.

Respuesta y gestión

Bender se esfuerza por responder a los informes de vulnerabilidades dentro de los plazos establecidos:

• Confirmación: en un plazo de 3 días laborables
• Primera revisión técnica: en un plazo de 15 días laborables

Todas las vulnerabilidades notificadas se gestionan en el marco de un proceso interno establecido para la gestión de vulnerabilidades e incidentes de seguridad. La clasificación de la gravedad y la priorización se realizan internamente en función del riesgo y las repercusiones técnicas.

Coordinación y divulgación

Bender aplica un enfoque coordinado en materia de divulgación para minimizar los riesgos y garantizar la transparencia:

• Las vulnerabilidades se corrigen, en la medida de lo posible, antes de su divulgación pública.
• La divulgación se coordina, en la medida de lo posible, con la persona que la ha notificado.
• Salvo que se acuerde lo contrario, se aplica un plazo máximo de 90 días para la divulgación.

Publicaciones y avisos

Los avisos de seguridad y la información CVE son publicados por el socio de Bender, CERT@VDE.

Safe Harbor

Bender ofrece una garantía «Safe Harbor» para la investigación en materia de seguridad realizada de buena fe. No emprenderemos acciones legales contra los investigadores que:

• actúen de forma responsable y de buena fe.
• eviten realizar pruebas en sistemas productivos de los clientes.
• no infrinjan las leyes de protección de datos.
• no aprovechen las vulnerabilidades más allá de lo necesario para su verificación.

Reconocimiento

Bender valora la investigación en materia de seguridad responsable y puede reconocer públicamente a los colaboradores, por ejemplo, a través de un «Salón de la Fama», siempre que no se solicite expresamente el anonimato.

Actualización de la política

Esta política se revisa periódicamente y se actualiza cuando sea necesario para tener en cuenta los cambios en los productos, los servicios y los requisitos legales.