Cómo informar sobre una vulnerabilidad de seguridad o problema a Elo

Qué incluir en su informe

Para ayudarnos a investigar y responder rápidamente, proporcione lo siguiente:

• Su nombre completo e información de contacto
  (Correo electrónico preferido, pero cualquier método que podamos utilizar para seguir en contacto es aceptable.)

• Descripción detallada del problema, incluyendo:

  • El nombre del servicio, producto o sistema de Elo afectado

  • El nombre del software, descripción y número de versión (si aplica)

  • Instrucciones paso a paso para reproducir el problema

  • Una descripción técnica de la vulnerabilidad (incluya prueba de concepto, si es posible)

  • El impacto o riesgo potencial que representa el problema

  • Cualquier otra información relevante que pueda ayudarnos a validar y resolver la vulnerabilidad

Política de Divulgación de Vulnerabilidades

Directrices de Informes Responsables

Elo valora y fomenta las contribuciones de clientes y de la comunidad en general para ayudar a mejorar la seguridad de nuestros productos y servicios. Si identifica una posible vulnerabilidad, le pedimos que actúe de manera responsable y siga estas directrices:

• No acceda, modifique o pruebe los sistemas, servicios, productos o software de Elo sin la debida autorización.

• No divulgue, altere, destruya o misuse cualquier dato encontrado durante su investigación.

• Mantenga toda la información relacionada con el problema informado estrictamente confidencial, incluidas las comunicaciones con Elo.

• Evite ataques de denegación de servicio (DoS) o cualquier prueba que pueda impactar la disponibilidad, integridad o confidencialidad de los sistemas de Elo.

• No participe en ingenierías sociales, phishing, o actividades similares dirigidas a clientes o empleados de Elo.

• Tenga en cuenta: Elo no ofrece compensación por el tiempo dedicado o vulnerabilidades descubiertas durante pruebas o investigaciones no solicitadas.

Proceso de Respuesta a Vulnerabilidades

Elo sigue un proceso estructurado para evaluar y abordar las vulnerabilidades de seguridad reportadas.

Tras el reconocimiento inicial, Elo hará esfuerzos razonables para responder dentro de 30 días para confirmar si la vulnerabilidad reportada ha sido:

• Validada y aceptada, o
• Rechazada
  • Si la vulnerabilidad es aceptada, Elo puede proporcionar un cronograma de mitigación propuesto sin compromiso.
  • Si la vulnerabilidad es rechazada, Elo proporcionará la justificación del rechazo y seguirá receptivo a revisar cualquier información adicional proporcionada.

Una vez que una vulnerabilidad es confirmada y aceptada, los ingenieros de Elo trabajarán para desarrollar mitigaciones de hardware y/o software apropiadas.

Elo se esfuerza por completar el análisis e implementar las mitigaciones de software dentro de 90 días a partir del reconocimiento inicial. Sin embargo, el lanzamiento real de las mitigaciones puede extenderse más allá de este plazo debido a factores tales como:

• Proveedores de upstream con diferentes cronogramas de resolución de problemas
• Cambio sustancial de hardware o arquitectónicos requeridos
• Limitaciones en el ciclo de vida del producto o recursos
• Integración a través de múltiples canales de distribución o ecosistemas

Según su propio criterio, Elo puede publicar periódicamente boletines de seguridad para informar al público sobre las mitigaciones completadas para los productos afectados.

Últimas Actualizaciones de Seguridad