Política de divulgación coordinada de vulnerabilidades (CVD)
Nuestro compromiso con la ciberseguridad
La seguridad de nuestras soluciones de sincronización y visualización horaria es una prioridad. Animamos a los investigadores de seguridad y a los expertos independientes a que nos comuniquen de forma responsable cualquier vulnerabilidad que detecten en nuestros productos. Nuestra política de divulgación coordinada de vulnerabilidades (CVD) explica cómo comunicar, analizar, corregir y divulgar las vulnerabilidades para que puedan investigarse y resolverse adecuadamente, protegiendo al mismo tiempo a los usuarios de nuestras soluciones.
Ámbito de aplicación de la política
Esta política se aplica a los productos de Gorgy Time que siguen teniendo soporte. Según el producto, puede incluir el firmware, las interfaces web, el software asociado y los componentes de hardware. Para comprobar si su equipo sigue teniendo soporte, consulte la información de soporte disponible para el producto correspondiente.
Cómo comunicar una vulnerabilidad
Para comunicar una vulnerabilidad, utilice el formulario que aparece a continuación e incluya, en la medida de lo posible, la información necesaria para reproducir y analizar el problema: producto y versión afectados, descripción, posible impacto, pasos para reproducirlo y cualquier dato técnico relevante.
Plazos de respuesta y gestión
Nuestro objetivo es confirmar la recepción de los informes en un plazo de dos días laborables y ofrecer una primera respuesta en un plazo de diez días laborables. El tiempo necesario para analizar una vulnerabilidad y preparar una corrección depende de su naturaleza, gravedad y de los productos afectados. Mantendremos informada a la persona que haya comunicado el problema sobre su evolución y acordaremos con ella el calendario de divulgación.
Divulgación coordinada y publicación
Antes de publicar información, nuestro equipo técnico analiza la vulnerabilidad para evaluar su impacto e identificar los productos afectados. Si es necesario corregirla, la solución se desarrolla y se prueba antes de ponerse a disposición de los usuarios. A continuación, se informa a los usuarios afectados de las medidas que deben tomar, según la naturaleza de la vulnerabilidad. Si se necesita más tiempo para completar la corrección o proteger los productos afectados, se informa a los usuarios y se acuerdan los siguientes pasos.
Investigación de seguridad responsable
Gorgy Time fomenta la comunicación responsable de vulnerabilidades. Cuando un investigador actúa de buena fe y respeta las reglas que se indican a continuación, Gorgy Time no tiene intención de emprender acciones legales contra él por las actividades de investigación realizadas en el marco de esta política, dentro de los límites de la legislación aplicable.
El investigador deberá, en particular:
- limitar las pruebas a lo necesario para identificar y demostrar la vulnerabilidad;
- no alterar, destruir ni dejar fuera de servicio datos o sistemas;
- no acceder a datos, copiarlos ni divulgarlos más allá de lo estrictamente necesario para comunicar la vulnerabilidad;
- no aprovechar la vulnerabilidad para beneficio propio ni en beneficio de terceros;
- no hacer pública la vulnerabilidad antes de que finalice el periodo de coordinación acordado con Gorgy Time, salvo autorización previa;
- comunicar la vulnerabilidad lo antes posible a través de uno de nuestros canales oficiales y colaborar de buena fe en su análisis.
Confidencialidad y comunicación
La información recibida en una notificación se utiliza únicamente para analizar la vulnerabilidad, preparar una corrección y coordinar su publicación. La identidad de la persona que la comunica se mantiene confidencial y no se comparte con terceros sin su consentimiento, salvo que exista una obligación legal. Cuando sea necesario, Gorgy Time informa a los clientes afectados sobre la vulnerabilidad y les comunica las correcciones disponibles o las medidas que pueden adoptar para proteger sus equipos.
Comunicación responsable de vulnerabilidades
Para contribuir a mejorar la seguridad de nuestros productos, la investigación debe realizarse de forma responsable. Las pruebas no deben implicar acceso no autorizado a sistemas de producción, modificación o destrucción de datos ni extracción de datos personales. No se permiten ataques de denegación de servicio, intentos de ingeniería social ni el uso de vulnerabilidades con fines maliciosos o lucrativos en el marco de esta política.