Revelación de vulnerabilidades

En TKH Security consideramos la seguridad de nuestros sistemas, nuestra red y nuestros productos como una prioridad máxima. No obstante, es posible que aparezca alguna vulnerabilidad, por lo que agradecemos la notificación de cualquier hallazgo/información para poder tomar medidas lo antes posible. Valoramos su colaboración para proteger mejor a nuestros clientes y a nuestros sistemas.

Notificación

Le rogamos que comunique sus hallazgos lo antes posible tras descubrirlos a: privacy-security@tkhsecurity.com.

Le solicitamos que:

Informe lo antes posible para evitar que personas malintencionadas encuentren la vulnerabilidad y se aprovechen de ella;
Informe a la organización de manera confidencial para evitar que otras personas accedan a esta información;
Proporcione información suficiente para reproducir el problema de modo que podamos resolverlo lo antes posible. Una descripción de la vulnerabilidad suele ser suficiente, pero las vulnerabilidades más complejas pueden requerir información más detallada;
No revele la vulnerabilidad o el problema a otras personas hasta que se haya resuelto;
No se exponga al riesgo para demostrar la vulnerabilidad posteriormente, ya que esto puede causar daños adicionales y poner en peligro la seguridad innecesariamente;
No abuse de una vulnerabilidad más allá de lo necesario para determinarla;
No copie, modifique ni borre datos del sistema;
No realice ningún cambio en el sistema;
No acceda al sistema repetidamente ni lo comparta con otras personas;
No utilice ataques de fuerza directa, ingeniería social, seguridad física, denegación de servicio distribuida, spam o aplicaciones de terceros para acceder a los sistemas.

Le prometemos que:

Responderemos a su informe en un plazo de 5 días con nuestra evaluación del mismo y una fecha prevista para su solución;
Si ha cumplido las condiciones anteriores, no emprenderemos acciones legales contra usted en relación con el informe;
Trataremos su denuncia de forma confidencial y no compartiremos su información personal con terceros sin su permiso, a menos que sea necesario para cumplir con una obligación legal. Es posible denunciar bajo seudónimo o de forma anónima;
Le mantendremos informado de los avances en la resolución del problema;
Al informar sobre el problema notificado, si lo desea, indicaremos su nombre como descubridor;
Nos esforzamos por resolver todos los problemas lo antes posible y estaremos encantados de participar en cualquier publicación sobre el problema una vez resuelto.

Nuestra llamada política coordinada de divulgación de vulnerabilidades no es una invitación a escanear activamente nuestra red o nuestros sistemas en busca de puntos débiles. Nosotros mismos supervisamos la red de nuestra empresa, lo que significa que hay muchas posibilidades de que detectemos su escaneo, lo que puede acarrear costes innecesarios. Esta política se ha elaborado a partir de la base de directrices Coordinated Vulnerability Disclosure policy (CVD) del National Cyber Security Center (NCSC).