Política de divulgación coordinada de vulnerabilidades (CVD)
Esta política explica cómo recibimos, evaluamos, corregimos y coordinamos la divulgación de vulnerabilidades de seguridad en nuestros productos, así como los principios que deben seguir los informantes durante el proceso de investigación y presentación.
Descripción general
Nos comprometemos a proporcionar a nuestros clientes, de manera oportuna, la información, las instrucciones y las soluciones necesarias para abordar las vulnerabilidades de seguridad de nuestros productos. El equipo de respuesta a incidentes de seguridad de productos se encarga de coordinar la respuesta y la divulgación de las vulnerabilidades, y recomienda a los clientes que migren a versiones del producto que cuenten con soporte antes de que finalice el período de soporte.
Gestión de informes de vulnerabilidades
La información sobre nuevas vulnerabilidades debe tratarse como información confidencial hasta su divulgación pública. Una vez completada la verificación, coordinaremos con los equipos de producto, los proveedores externos y quienes hayan reportado la vulnerabilidad para desarrollar soluciones de corrección o mitigación.
Corrección de fallas
- Lanzar una nueva versión de los productos afectados;
- Ofrecer parches de seguridad que se puedan instalar;
- Proporcionar instrucciones de actualización para componentes de terceros;
- Ofrecer soluciones provisionales que permitan reducir los riesgos.
Evaluación de la gravedad y el impacto
| Nivel de gravedad | Puntuación básica de CVSS |
|---|---|
| grave | 9.0–10.0 |
| 高 | 7.0–8.9 |
| 中 | 4.0–6.9 |
| 低 | 0.1–3.9 |
Comunicación externa
A través de boletines de seguridad, avisos y artículos informativos, explicamos el impacto, los productos y versiones afectados, la información sobre CVE/CVSS, las medidas correctivas y los materiales de referencia necesarios.
Cómo reportar una falla de seguridad
- Nombre, modelo y versión del producto;
- Sistema operativo, configuración y entorno de pruebas;
- Tipo de vulnerabilidad o CWE;
- Instrucciones paso a paso que se pueden reproducir;
- Prueba de concepto e impacto potencial.
Aviso legal
Esta política puede modificarse de acuerdo con cambios en la legislación, las normas, los productos y las operaciones. Los derechos específicos de los clientes se rigen por los contratos, las garantías y los acuerdos de soporte aplicables.