Seguridad de los productos / PSIRT

Esta política se aplica a todos los sistemas, aplicaciones y servicios de GRIMME accesibles al público, salvo que se excluya expresamente. 

Quedan excluidos del ámbito de aplicación: 

• Ataques de denegación de servicio (DoS) o pruebas de carga
• Ingeniería social
• Ataques físicos
• Ataques a terceros o proveedores 

La gestión de las notificaciones de vulnerabilidades recibidas se lleva a cabo de forma centralizada a través del Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT) de GRIMME. 

El PSIRT se encarga de: 

• la recepción y documentación de los informes
• la evaluación técnica y la priorización de las vulnerabilidades
• la coordinación interna de las medidas de análisis y corrección
• la comunicación externa coordinada de la información relevante para la seguridad 

Apoyamos la investigación responsable en materia de seguridad y nos comprometemos a no emprender acciones legales contra aquellas personas que actúen de buena fe y cumplan con esta directriz. 

Esto se aplica, en particular, en las siguientes condiciones: 

• No se consultarán, modificarán ni se extraerán datos de terceros, salvo en la medida en que sea inevitable y estrictamente necesario para demostrar la vulnerabilidad.
• No se afectará intencionadamente a ningún sistema (por ejemplo, mediante ataques DoS, borrado de datos o interrupción del servicio).
• Las vulnerabilidades detectadas se nos notificarán de forma inmediata y confidencial, y no se harán públicas antes de que hayamos tenido tiempo suficiente para subsanarlas. 

En el marco de estas condiciones, consideramos que sus actividades están autorizadas y no emprenderemos acciones civiles ni penales. En caso de que, de forma involuntaria, se vean afectados datos sensibles, esperamos que no los almacene, transmita ni utilice de ningún otro modo, y que nos informe de ello de inmediato. 

Tenga en cuenta que este «Safe Harbor» no se aplica a actividades que infrinjan la legislación vigente o que excedan las condiciones anteriormente mencionadas. 

GRIMME se rige por el principio de la gestión coordinada de las vulnerabilidades. Todas las notificaciones recibidas se tratan de forma confidencial y son examinadas, evaluadas y priorizadas por el PSIRT. La publicación externa de información relevante para la seguridad se lleva a cabo de forma coordinada y solo una vez concluida la evaluación y aplicadas las medidas correctivas adecuadas. El objetivo es minimizar los riesgos para los clientes y los operadores, y evitar la divulgación de información sin verificar o sin parches. 

En caso de vulnerabilidades o incidentes de seguridad sujetos a notificación obligatoria, nos reservamos el derecho a transmitir la información a las autoridades competentes y a los organismos de supervisión, de conformidad con los requisitos legales vigentes.  

Tenga en cuenta que, debido a disposiciones legales, requisitos de confidencialidad o investigaciones en curso, es posible que no podamos revelar todos los detalles sobre las vulnerabilidades notificadas ni comunicar el estado completo de su tramitación.  

Por ello, es muy posible que la respuesta al notificante no se produzca hasta que se haya realizado una evaluación definitiva o se haya publicado un aviso de seguridad.