Cómo reportar una vulnerabilidad o problema de seguridad a Elo

Qué incluir en su informe

Para ayudarnos a investigar y responder rápidamente, proporcione lo siguiente:

• Su nombre completo e información de contacto
  (Correo electrónico preferido, pero cualquier método que podamos usar para hacer un seguimiento es aceptable.)

• Descripción detallada del problema, incluyendo:

  • El nombre del servicio, producto o sistema de Elo afectado

  • El nombre del software, descripción y número de versión (si corresponde)

  • Instrucciones paso a paso para reproducir el problema

  • Una descripción técnica de la vulnerabilidad (incluya prueba de concepto, si es posible)

  • El impacto o riesgo potencial que representa el problema

  • Cualquier otra información relevante que pueda ayudarnos a validar y resolver la vulnerabilidad

Política de Divulgación de Vulnerabilidades

Directrices para un Reporte Responsable

Elo valora y fomenta las contribuciones de los clientes y la comunidad en general para ayudar a mejorar la seguridad de nuestros productos y servicios. Si identifica una posible vulnerabilidad, le pedimos que actúe de manera responsable y siga estas directrices:

• No acceda, modifique o pruebe los sistemas, servicios, productos o software de Elo sin la debida autorización.

• No divulgue, altere, destruya o malutilice cualquier dato encontrado durante su investigación.

• Mantenga toda la información relacionada con el problema reportado estrictamente confidencial, incluyendo las comunicaciones con Elo.

• Evite ataques de denegación de servicio (DoS) o cualquier prueba que pudiera afectar la disponibilidad, integridad o confidencialidad de los sistemas de Elo.

• No participe en ingeniería social, phishing o actividades similares dirigidas a clientes o empleados de Elo.

• Tenga en cuenta: Elo no ofrece compensación por el tiempo invertido o las vulnerabilidades descubiertas durante pruebas o investigaciones no solicitadas.

Proceso de Respuesta a Vulnerabilidades

Elo sigue un proceso estructurado para evaluar y abordar las vulnerabilidades de seguridad reportadas.

Tras el reconocimiento inicial, Elo hará esfuerzos razonables para responder dentro de 30 días para confirmar si la vulnerabilidad reportada ha sido:

• Validada y aceptada, o
• Rechazada
  • Si la vulnerabilidad es aceptada, Elo puede proporcionar una línea de tiempo propuesta no vinculante para mitigar.
  • Si la vulnerabilidad es rechazada, Elo proporcionará la justificación del rechazo y permanecerá abierta a revisar cualquier información adicional proporcionada.

Una vez que se confirma y acepta una vulnerabilidad, los ingenieros de Elo trabajarán para desarrollar mitigaciones adecuadas de hardware y/o software.

Elo se esfuerza por completar el análisis e implementar mitigaciones de software dentro de 90 días del reconocimiento inicial. Sin embargo, el lanzamiento real de las mitigaciones puede extenderse más allá de este plazo debido a factores como:

• Proveedores ascendentes que tienen diferentes plazos para la resolución de problemas
• Cambios sustanciales en hardware o arquitectónicos requeridos
• Limitaciones del ciclo de vida del producto o de recursos
• Integración a través de múltiples canales de distribución o ecosistemas

A su exclusivo criterio, Elo puede publicar periódicamente boletines de seguridad para informar al público sobre mitigaciones completadas para productos afectados.

Últimas Actualizaciones de Seguridad