Política de divulgación coordinada de vulnerabilidades
Xovis (en lo sucesivo, la «Empresa») ha establecido un proceso formal para la recepción, evaluación, coordinación, corrección y comunicación de informes sobre vulnerabilidades de seguridad de los productos. El proceso se aplica a los productos que incorporan elementos digitales y contribuye al cumplimiento de los requisitos normativos, en particular los derivados de la Ley de Resiliencia Cibernética y del marco de la NIS2.
Ámbito de aplicación
Esta política se aplica a las vulnerabilidades de seguridad en productos con elementos digitales, incluido el software integrado, el firmware y los componentes pertinentes de terceros, respecto a los cuales Xovis es responsable de la evaluación y la coordinación relacionadas con el producto.
Base normativa
La Política de divulgación coordinada de vulnerabilidades (CVD) de Xovis se basa en los siguientes requisitos y recomendaciones:
Ley de Ciberresiliencia (UE) 2024/2847, en particular los requisitos relativos a la gestión de vulnerabilidades y la divulgación coordinada
Directiva NIS2 (UE) 2022/2555 y el contexto de su aplicación en Alemania
Los requisitos derivados de la gobernanza, el cumplimiento normativo y la gestión de la seguridad de la información de Xovis
La política de CVD de la empresa establece el punto único de contacto para la presentación de informes, así como los procedimientos para la clasificación y la corrección de los mismos, proporcionando así la base de gobernanza para la gestión de vulnerabilidades de los productos.
Oficina de notificación de vulnerabilidades
Xovis designa el siguiente punto de contacto para la recepción de informes y consultas relacionados con vulnerabilidades de los productos: support@xovis.com. Este punto de contacto se considera la primera vía de acceso para la recepción de informes sobre vulnerabilidades.
Requisitos mínimos para la gestión de informes
Para gestionar las notificaciones, es necesario seguir los siguientes pasos:
Recepción y registro de los informes
Determinación del alcance y la relevancia en materia de seguridad
Asignación a la parte responsable de su elaboración y resolución
Elevación de los informes relevantes confirmados
Aplicación de controles de trazabilidad y documentación
Evaluación y priorización
El informe se evaluará en cuanto a su validez técnica y su impacto en el negocio. En particular, se tendrán en cuenta los siguientes criterios:
Productos y versiones afectados
Vector de ataque y complejidad
Impacto en la confidencialidad, la integridad, la disponibilidad y la autenticidad
Posibilidad de explotación y disponibilidad pública del código de explotación
Medidas correctivas
Repercusión en la base instalada y en los clientes
Participación de componentes de terceros
Relevancia para la presentación de informes reglamentarios o contractuales
«Safe Harbor»
La Empresa apoya la divulgación responsable de vulnerabilidades de seguridad de sus productos y no recurrirá a acciones civiles ni facilitará información a las autoridades penales en relación con las notificaciones presentadas de buena fe, en particular cuando se siga el procedimiento establecido en la presente política y sin la intención de causar daños a los sistemas, datos o servicios de la Empresa.
Esta protección de «Safe Harbor» no se extiende a los actos destinados a dañar directamente los productos, servicios o sistemas de la empresa, ni al acceso o tratamiento ilícito de datos personales, lo que puede constituir un delito según el derecho penal y/o la legislación sobre protección de datos.
Medidas de subsanación y corrección
Las vulnerabilidades confirmadas se subsanarán mediante los procesos de desarrollo y mantenimiento de productos, lo que incluye la implementación de correcciones de código, medidas de refuerzo de la seguridad, actualizaciones de firmware y/o software, medidas compensatorias y comunicación con los clientes, según proceda. En los casos en que no sea posible una subsanación inmediata, se documentará y se tendrá en cuenta el riesgo residual derivado de la vulnerabilidad.
Comunicación y divulgación
La empresa aplicará una política de divulgación coordinada, que garantizará que la divulgación pública de una vulnerabilidad se realice de manera que se equilibren adecuadamente los intereses de todas las partes implicadas. Esto incluye, en particular, garantizar que la divulgación se produzca una vez que se disponga de las contramedidas adecuadas o que estas estén suficientemente desarrolladas y documentadas, limitando así la exposición de los usuarios a posibles efectos adversos.
La empresa podrá optar por no divulgar la información en caso de que dicha decisión esté justificada, en particular con el fin de minimizar el impacto negativo en los clientes y otras partes interesadas. En tales casos, deberán documentarse los motivos de la decisión de no divulgar la información.
Componentes de terceros
En el caso de componentes de terceros incorporados en los productos de Xovis, se evaluará su impacto en los productos afectados y se adoptarán medidas correctoras de acuerdo con las instrucciones del proveedor del componente, según proceda. Se publicarán, si es necesario, las notas o avisos del fabricante en relación con una vulnerabilidad que afecte a un componente concreto.
Documentación y transparencia
Los procedimientos de Xovis para demostrar el cumplimiento de los requisitos de la Ley de Resiliencia Cibernética y de la NIS2, en particular la trazabilidad del proceso de gestión de vulnerabilidades, incluyen los siguientes elementos:
Recepción del informe y evaluación inicial, incluida la determinación del alcance y la evaluación técnica de la relevancia
Evaluación técnica, incluida la determinación de la relevancia técnica y la gravedad
Asignación de responsabilidades
Medidas de corrección y mitigación
Pruebas de asesoramiento, publicación de actualizaciones o escalado
En base a lo anterior, la Política de CVD incorpora los controles necesarios para la notificación, el tratamiento, la divulgación y la documentación de los informes sobre vulnerabilidades de seguridad de los productos, de conformidad con el marco normativo.
Punto de contacto de seguridad
Para cualquier consulta relacionada con vulnerabilidades de seguridad de los productos, póngase en contacto con el siguiente buzón de correo del Grupo Xovis: support@xovis.com.