Gracias por ayudarnos a mantener seguros nuestros productos. Este documento explica cómo puedes reportarnos una vulnerabilidad de seguridad que hayas encontrado en un producto de KIDE, S. Coop. (en adelante, KIDE), y qué puedes esperar de nosotros a partir de ese momento.
Nuestro compromiso
KIDE valora la colaboración de la comunidad de seguridad, clientes e investigadores independientes para identificar y corregir vulnerabilidades en nuestros productos. Nos comprometemos a atender de buena fe todo reporte recibido conforme a esta política, sin tomar acciones legales contra quien reporte una vulnerabilidad de forma responsable y respetando los términos aquí descritos.
Alcance
Esta política aplica a los productos con elementos digitales conectados desarrollados y comercializados por KIDE, así como sus componentes de software y firmware asociados.
Quedan fuera de esta política los sistemas de terceros no operados por KIDE, los ataques de ingeniería social contra nuestro personal o clientes, y las pruebas que puedan degradar la disponibilidad de instalaciones en producción de nuestros clientes (por ejemplo, ataques de denegación de servicio). Si tienes dudas sobre si un hallazgo entra dentro del alcance, repórtalo de todas formas: lo evaluaremos.
Cómo reportar una vulnerabilidad
Puedes comunicarnos una vulnerabilidad a través de este canal:
- Formulario web: disponible en el apartado «Seguridad» de www.kide.com, con los campos necesarios para describir el hallazgo.
Te pedimos que incluyas, en la medida de lo posible: el producto y la versión afectados; una descripción del problema y de cómo puede ser aprovechado; los pasos para reproducirlo; y, si los tienes, capturas de pantalla, registros o código de prueba de concepto (proof of concept).
Puedes reportar de forma anónima. Ten en cuenta que, si necesitamos contactarte para aclarar detalles o coordinar la divulgación, no podremos hacerlo si no dejas un medio de contacto.
Qué puedes esperar de nosotros
| Hito | Nuestro compromiso |
|---|---|
| Acuse de recibo | En un plazo máximo de 3 días hábiles desde la recepción de tu reporte, te confirmaremos que lo hemos recibido y te asignaremos un identificador de seguimiento. |
| Evaluación inicial | En un plazo máximo de 10 días hábiles, te informaremos de si hemos podido confirmar la vulnerabilidad y de la prioridad que le hemos asignado. |
| Actualizaciones de seguimiento | Mientras trabajamos en la corrección, te mantendremos informado periódicamente del progreso, al menos cada 30 días si el caso continúa abierto. |
| Resolución y divulgación | Una vez disponible la corrección, publicaremos un aviso de seguridad y te lo comunicaremos, junto con el reconocimiento acordado. |
Política de embargo (divulgación coordinada)
Te pedimos que no divulgues públicamente ni compartas con terceros los detalles de la vulnerabilidad hasta que hayamos publicado una corrección o medida de mitigación, o hasta que hayan transcurrido 90 días naturales desde tu reporte inicial, lo que ocurra primero. Este plazo puede acortarse o ampliarse de mutuo acuerdo entre KIDE y la persona notificante, atendiendo a la complejidad de la corrección y a la existencia de explotación activa.
Si la vulnerabilidad está siendo aprovechada activamente o supone un riesgo grave e inminente para nuestros clientes, KIDE podrá acelerar la publicación de un aviso y de las medidas paliativas correspondientes, incluso antes de disponer de una corrección definitiva.
Publicación del aviso de seguridad
Una vez disponible la corrección, publicaremos un aviso de seguridad en el apartado «Avisos de seguridad» de nuestra web, con una descripción de la vulnerabilidad, el producto y las versiones afectadas, su gravedad y las instrucciones para aplicar la corrección o la medida de mitigación.
Reconocimiento
Si lo deseas, incluiremos tu nombre o alias en el aviso de seguridad publicado, como agradecimiento por tu contribución. Si prefieres permanecer en el anonimato, respetaremos tu decisión.
KIDE no tiene un programa de reconocimiento económico, limitándose este reconocimiento a un agradecimiento público en el reporte de la vulnerabilidad si tu deseas ser incluido.
Contacto
Para cualquier consulta relacionada con esta política, puedes escribirnos a security@kide.com.
Última actualización:
