Commend International se toma muy en serio la seguridad de nuestros productos y servicios, y valoramos a la comunidad de seguridad. El proceso coordinado de divulgación de vulnerabilidades de seguridad nos ayuda a garantizar la seguridad y la privacidad de nuestros clientes y usuarios.
Este documento describe nuestra política para aceptar informes de seguridad de nuestros clientes, investigadores de seguridad externos, así como la divulgación de vulnerabilidades de seguridad encontradas en Commend International. Estaremos encantados de recibir todos los informes relativos a vulnerabilidades según las directrices de esta política.
La seguridad y la protección de datos se basan en la confianza. La gente aceptará y utilizará soluciones y servicios sólo si son dignos de confianza.
Para más información:
https://clibrary-online.commend.com/en/cyber-security/security-advisories.html
Directrices
Commend International exige que todos los investigadores:
- Respetar la intimidad y la seguridad de los demás
- Respetar el ámbito de aplicación claramente definido
- Asegurarse de que cualquier prueba es legal y está autorizada
- Realizar esfuerzos razonables para ponerse en contacto con el equipo de seguridad de Commend International
- Proporcionar información suficiente que nos permita reproducir y verificar la vulnerabilidad identificada
Commend International pone a disposición de todos los investigadores:
- Dirección de contacto para notificar vulnerabilidades
- Respuesta a los informes en un plazo razonable
- Alcance claramente definido para nuestra cartera de productos
- No emprender acciones legales relacionadas con su investigación
- Comunicación abierta y respetuosa con todos los investigadores
- Publicar avisos de seguridad de Commend (CSA) y registros de cambios
- Ofrecer reconocimiento en los Avisos de Seguridad de Commend publicados
Notificación de Vulnerabilidades
Commend International agradece todos los esfuerzos de los investigadores de seguridad que nos proporcionan información detallada sobre las vulnerabilidades de seguridad de nuestros productos y servicios. Para nosotros es esencial disponer de detalles suficientes en el informe inicial para poder comprender el impacto total de la vulnerabilidad notificada. Nuestro equipo de seguridad se complace en verificar y reproducir la vulnerabilidad notificada en un plazo razonable. Por lo tanto, responderemos en un plazo de 15 días.
El informe inicial debe incluir
- Detalles suficientes de la vulnerabilidad que permitan comprenderla y reproducirla
- Impacto previsto de la vulnerabilidad
- Código de prueba de concepto, script, captura de pantalla (si está disponible)
- Cualquier referencia o lectura adicional que pueda ser apropiada (si está disponible)
- Recomendaciones sobre cómo mitigar o resolver el problema (si se dispone de ellas)
Proceso de Divulgación Coordinado
Commend International se toma muy en serio la seguridad de nuestros sistemas. Se requiere un proceso de divulgación coordinado para proteger a nuestros clientes de cualquier amenaza. Un informe de vulnerabilidad es el punto de partida. Esta acción crea internamente un ticket de problema de seguridad que será revisado por nuestro equipo de seguridad. La revisión inicial da lugar a un primer borrador de análisis de impacto que concluye en un nivel de gravedad de acuerdo con el Sistema Común de Puntuación de Vulnerabilidades (CVSS). Los miembros de nuestra Junta de Seguridad definirán los siguientes pasos para cada vulnerabilidad notificada. A continuación, volvemos a ponernos en contacto con el investigador de seguridad y le informamos sobre el plan de corrección, las posibles contramedidas o las soluciones alternativas. Aunque esto puede ser suficiente para una solución fácil, hay vulnerabilidades más complejas que requieren una discusión continua para su aclaración entre nuestro equipo de seguridad, los desarrolladores involucrados y el investigador de seguridad que informa. Agradecemos una comunicación abierta y respetuosa, así como recomendaciones sobre cómo se podría mitigar o resolver el problema. Nuestro objetivo es dar prioridad a la solución de una vulnerabilidad crítica o de alta calificación en un tiempo razonable mediante un parche de seguridad o, si esto no es factible, dentro de la próxima versión oficial. Como último paso de respuesta se comunicará el plazo para publicar un Aviso de Seguridad de Commend (CSA). Por lo tanto, intentamos solucionar una vulnerabilidad notificada y publicar la información en un plazo de 90 días.
Animamos a todos los clientes e investigadores de seguridad a inscribirse en nuestro Programa de avisos de seguridad Commend:
https://clibrary-online.commend.com/en/cyber-security/security-advisories.html
Este es el contenido de un aviso de seguridad de Commend publicado:
- Resumen de la notificación de vulnerabilidad
- Productos afectados
- Actualizaciones de software
- Solución o mitigación
- Explotación y anuncios públicos
- Reconocimiento
- Fuentes
- Contacto y divulgación coordinada
- Registro de cambios
Gama de Productos
- Symphony Cloud Services
- Servidor Symphony VirtuoSIS
- Dispositivos Symphony
- Commend Studio