Política de notificación de vulnerabilidades
1. Objetivo
FLEX-Elektrowerkzeuge GmbH (en lo sucesivo, «la Organización») se compromete a aceptar, evaluar y dar respuesta a los informes sobre vulnerabilidades de ciberseguridad relacionados con sus productos que incluyan elementos digitales. La presente Política describe nuestro proceso coordinado de notificación de vulnerabilidades y respalda nuestro cumplimiento de los requisitos aplicables del Reglamento (UE) 2024/2847 («Reglamento de Ciberresiliencia de la UE» o «CRA»).
Sometemos a nuestros productos a un proceso de mejora constante, centrándonos en las necesidades cambiantes del mercado, dando respuesta a las amenazas que aparecen y adaptándonos a los nuevos vectores de ataque.
2. Ámbito de aplicación
Puede informar de cualquier posible vulnerabilidad de ciberseguridad que detecte en los siguientes productos durante su uso:
Aplicaciones (APP) y productos que pueden conectarse a las aplicaciones
Productos con interfaces de diagnóstico y sus herramientas de diagnóstico asociadas con control remoto
3. Cómo informar de una vulnerabilidad
3.1 Canal de envío
Le rogamos que no nos envíe información sobre problemas a través de canales no seguros. Los informes sobre vulnerabilidades deben enviarse a nuestra dirección de correo electrónico:
Contacto para cuestiones relativas a la seguridad: psirt@flex-tools.com
Si su informe incluye código exploit, credenciales de acceso, datos personales u otra información confidencial, póngase primero en contacto con nosotros para que podamos proporcionarle un método de transferencia seguro y adecuado.
Este punto de contacto está supervisado por personal cualificado, no únicamente por herramientas automatizadas.
3.2 Contenido del informe
Las personas que informen sobre el incidente deberían facilitar, en la medida de lo posible, la siguiente información para facilitar la clasificación adecuada de los casos:
Aplicación o producto afectado: Nombre y versión exactos, versión del firmware o del software (imprescindible)
Descripción de la vulnerabilidad: Una descripción detallada de la vulnerabilidad y su posible impacto
Pasos para reproducir el error: Instrucciones paso a paso, que incluyan detalles sobre las herramientas y el entorno
Pruebas que lo respaldan: Capturas de pantalla, capturas de red, registros o código de prueba de concepto (PoC)
Evaluación de la gravedad: Se recomienda la puntuación CVSS v3.1 o v4.0
Datos de contacto: Correo electrónico u otros datos de contacto para la comunicación de seguimiento (imprescindible)
3.3 Directrices para la investigación en materia de seguridad
Al realizar investigaciones o pruebas de seguridad, se ruega:
evitar acceder, copiar, modificar o borrar datos que pertenezcan a otros usuarios,
no utilizar técnicas de ingeniería social, phishing, ataques de denegación de servicio, ataques físicos u otros métodos que puedan perturbar el funcionamiento de nuestros productos, servicios o usuarios,
limitar las pruebas a lo que sea razonablemente necesario para confirmar y documentar la vulnerabilidad,
dejar de realizar pruebas y avisarnos de inmediato si accede a datos personales, credenciales, información confidencial o sistemas que excedan el ámbito previsto y
no revelar públicamente la vulnerabilidad antes de que hayamos tenido una oportunidad razonable de investigarla y subsanarla, sin perjuicio de lo dispuesto en la legislación aplicable.
La presente Política no autoriza conductas ilegales ni aquellas que, de cualquier otra forma, excedan los permisos de acceso que le han sido otorgados.
4. Gestión de vulnerabilidades
El Equipo de Respuesta a Incidentes de Seguridad de Productos (PSIRT, por su siglas en inglés) se ocupará de la evaluación de vulnerabilidades y riesgos tan pronto como reciba un informe de vulnerabilidad. Las vulnerabilidades confirmadas se subsanarán y se darán a conocer, manteniendo la comunicación necesaria con la persona que las haya notificado. Si se confirma que la vulnerabilidad se encuentra en un componente de nivel superior, el PSIRT lo notificará al proveedor.
Antes de cualquier divulgación pública, ambas partes deberán llegar a un acuerdo sobre lo siguiente:
Fecha de publicación
Contenido de cualquier anuncio o comunicado público
Plazo de embargo necesario para proteger a los usuarios
5. Confidencialidad
La Organización mantendrá la confidencialidad de los informes sobre vulnerabilidades y no compartirá los datos personales de quien los comunique a terceros sin su consentimiento explícito, salvo que así lo exija la ley.
Las personas que informen sobre el incidente también pueden preservar el anonimato; sin embargo, el anonimato puede limitar la capacidad de la Organización para proporcionar información de seguimiento.
6. Divulgación de una vulnerabilidad ya solucionada
No hay vulnerabilidades registradas que se hayan solucionado.