Cómo informar sobre una vulnerabilidad o problema de seguridad a Elo

Qué incluir en su informe

Para ayudarnos a investigar y responder rápidamente, proporcione lo siguiente:

• Su nombre completo e información de contacto
  (Preferiblemente correo electrónico, pero cualquier método que podamos usar para hacer un seguimiento es aceptable.)

• Descripción detallada del problema, incluyendo:

  • El nombre del servicio, producto o sistema de Elo afectado

  • El nombre del software, descripción y número de versión (si aplica)

  • Instrucciones paso a paso para reproducir el problema

  • Una descripción técnica de la vulnerabilidad (incluya prueba de concepto, si es posible)

  • El impacto o riesgo potencial que representa el problema

  • Cualquier otra información relevante que pueda ayudarnos a validar y resolver la vulnerabilidad

Política de divulgación de vulnerabilidades

Directrices de informe responsable

Elo valora y fomenta las contribuciones de los clientes y de la comunidad en general para ayudar a mejorar la seguridad de nuestros productos y servicios. Si identifica una posible vulnerabilidad, le pedimos que actúe de manera responsable y siga estas directrices:

• No acceda, modifique, o pruebe los sistemas, servicios, productos o software de Elo sin la debida autorización.

• No divulgue, altere, destruya o malverse ningún dato encontrado durante su investigación.

• Mantenga toda la información relacionada con el problema reportado estrictamente confidencial, incluyendo las comunicaciones con Elo.

• Evite ataques de denial-of-service (DoS) o cualquier prueba que pueda impactar la disponibilidad, integridad o confidencialidad de los sistemas de Elo.

• No participe en la ingeniería social, phishing o actividades similares dirigidas a clientes o empleados de Elo.

• Tenga en cuenta: Elo no ofrece compensación por el tiempo dedicado o las vulnerabilidades descubiertas durante pruebas o investigaciones no solicitadas.

Proceso de respuesta a vulnerabilidades

Elo sigue un proceso estructurado para evaluar y abordar las vulnerabilidades de seguridad reportadas.

Después del reconocimiento inicial, Elo hará esfuerzos razonables para responder dentro de 30 días para confirmar si la vulnerabilidad reportada ha sido:

• Validada y aceptada, o
• Rechazada
  • Si la vulnerabilidad es aceptada, Elo puede proporcionar un cronograma de mitigación propuesto no vinculante.
  • Si la vulnerabilidad es rechazada, Elo proporcionará la razón del rechazo y permanece abierto a revisar cualquier información adicional proporcionada.

Una vez que una vulnerabilidad es confirmada y aceptada, los ingenieros de Elo trabajarán para desarrollar mitigaciones adecuadas de hardware y/o software.

Elo se esfuerza por completar el análisis e implementar mitigaciones de software dentro de 90 días desde el reconocimiento inicial. Sin embargo, la liberación real de las mitigaciones puede extenderse más allá de este marco de tiempo debido a factores como:

• Los proveedores upstream tienen diferentes plazos para la resolución de problemas
• Se requieren cambios de hardware o arquitectónicos sustanciales
• Limitaciones en el ciclo de vida del producto o recursos
• Integración a través de múltiples canales de distribución o ecosistemas

A su entera discreción, Elo puede publicar periódicamente avisos de seguridad para informar al público sobre las mitigaciones completadas para los productos afectados.

Últimas actualizaciones de seguridad