INFORMACIÓN RELATIVA A LA
CIBERSEGURIDAD

MEIKO agradece todos los avisos recibidos en relación con riesgos de seguridad y los procesa de manera rigurosa y transparente. Al descubrir cualquier vulnerabilidad, podemos ofrecer a nuestros clientes un elevado nivel de seguridad de forma continua. Por lo tanto, nos interesa identificar cualquier punto débil y desarrollar una solución satisfactoria.

Esta política de divulgación de vulnerabilidades describe el procedimiento que se debe seguir al notificarnos cualquier vulnerabilidad a nosotros (la «Organización») y al examinar nuestros productos en busca de puntos débiles.

Le recomendamos que lea íntegramente esta política de divulgación de vulnerabilidades antes de notificar cualquier vulnerabilidad, así como que siempre actúe de conformidad con la misma. Valoramos a quienes dedican su tiempo y esfuerzo a denunciar vulnerabilidades de seguridad de acuerdo con esta política. No obstante, no ofrecemos ninguna garantía de compensación económica por la revelación de vulnerabilidades.

El notificante es responsable de sus propias acciones y debe respetar los principios de proporcionalidad y subsidiariedad al investigar y notificar las vulnerabilidades. En otras palabras, el notificante no debe hacer más de lo necesario para demostrar la vulnerabilidad y debe notificarla siempre primero al propietario del sistema o de la información.

A cambio, si sigue las instrucciones de esta política, la organización no emprenderá ninguna acción legal contra sus investigaciones y notificaciones de vulnerabilidades realizadas de buena fe. Esta protección legal no se aplicará si existen indicios de intencionalidad maliciosa.

El notificante debe

• notificar el problema lo antes posible para evitar que partes malintencionadas descubran la vulnerabilidad y se aprovechen de ella;
• realizar la notificación a la organización de forma confidencial para evitar que terceros accedan a esta información.

El notificante y la organización acordarán de forma clara la divulgación de la vulnerabilidad. Si hay más de una organización implicada, el principio básico es que las vulnerabilidades solo podrán publicarse si todas las organizaciones están de acuerdo con ello.

Si considera que ha encontrado una vulnerabilidad de seguridad, envíe su notificación a la siguiente dirección de correo electrónico: service-support@meiko-global.com

Solo se tendrán en cuenta los emails redactados en inglés o alemán.

En la notificación, debe incluir los siguientes datos:

• Recurso (dirección web, dirección IP, nombre del producto o servicio) donde se puede observar la vulnerabilidad
• Categoría de debilidad (p. ej., CWE) (opcional)
• Nivel de gravedad (p. ej., CVSS v3.1) (opcional)
• Título de la vulnerabilidad (obligatorio)
• Descripción de la vulnerabilidad (se debe incluir un resumen, archivos de apoyo y posibles medidas de mitigación o recomendaciones) (obligatorio)
• Impacto (¿qué podría hacer un intruso?) (obligatorio)
• Medidas a implementar. Deben ser medidas sencillas, no destructivas y que sirvan como prueba de concepto.

Datos de contacto opcionales:

• Nombre
• Correo electrónico

Después de presentar la notificación, nos aseguraremos de que llegue al departamento más adecuado según nuestros procesos. Una vez enviada la notificación, el proceso es el siguiente:

• La organización enviará un acuse de recibo al notificante.
• La notificación se evaluará y gestionará de conformidad con nuestra evaluación de riesgos (impacto, gravedad y complejidad de la explotación).
• La organización mantendrá informada al notificante sobre el estado de la tramitación
• Se solicita al notificante que se abstenga de realizar consultas con una frecuencia superior a una vez cada 14 días
• La organización procederá a la publicación de los hallazgos previa consulta con el notificante, si existe una probabilidad razonable de que la vulnerabilidad afecte asimismo a otros entornos o sistemas.
• La organización tramitará la notificación con carácter estrictamente confidencial
• No facilitaremos sus datos personales a terceros sin su consentimiento.

SE PROHÍBE:

• Explotar la vulnerabilidad o anomalía identificada, en particular mediante accesos no justificados o la manipulación de volúmenes excesivos o significativos de datos
• Divulgar la vulnerabilidad a terceros antes de su resolución
• Modificar datos en los sistemas o servicios de la organización
• Utilizar ataques a la seguridad física, ingeniería social, ataques de denegación de servicio distribuido, spam o herramientas de escaneo invasivas o destructivas de alta intensidad
• Intentar o notificar cualquier forma de denegación de servicio como, por ejemplo, saturar un servicio con un gran volumen de solicitudes
• Interrumpir los servicios o sistemas de la empresa

Email: service-support@meiko-global.com