Política PSIRT
El equipo de respuesta a incidentes de seguridad de producto (PSIRT) de Noxium gestiona la recepción, análisis, corrección y divulgación de las vulnerabilidades que afectan a nuestros productos y servicios.
Proceso de gestión de vulnerabilidades
Seguimos las mejores prácticas internacionales de divulgación coordinada de vulnerabilidades (CVD), basadas en ETSI TR 103 838 e ISO/IEC 29147.
- 01
Reporte
El investigador envía un reporte detallado de la vulnerabilidad a través de nuestro canal seguro.
- 02
Acuse de recibo
Confirmamos la recepción del reporte en un plazo máximo de 3 días laborables.
- 03
Evaluación
Nuestro equipo de seguridad analiza y valida la vulnerabilidad reportada.
- 04
Coordinación
Mantenemos comunicación con el investigador sobre el progreso y los tiempos de resolución.
- 05
Remediación
Desarrollamos y desplegamos las correcciones necesarias en nuestros productos.
- 06
Divulgación
Coordinamos la publicación de la vulnerabilidad con el investigador una vez solucionada.
Plazos de nuestro proceso interno
| Recepción del reporte | Inmediato | El reporte se recibe de forma segura y se trata con estricta confidencialidad. |
|---|---|---|
| Acuse de recibo | 3 días laborables | Confirmación con un identificador único que debe usarse en todas las comunicaciones posteriores. |
| Evaluación inicial | 7-10 días laborables | Validación de la vulnerabilidad, severidad y estimación del tiempo de resolución. |
| Actualizaciones periódicas | Cada 14 días | Información sobre hitos alcanzados y plazos estimados de publicación del parche. |
| Resolución y divulgación | Según severidad | Fecha de divulgación acordada con el investigador, con margen para que los clientes actualicen. |
Canales de reporte de vulnerabilidades
Correo electrónico
Para reportar vulnerabilidades, contacte con nuestro equipo de seguridad:
Incluya «[VULNERABILITY]» en el asunto del correo.
También puede contactarnos a través de nuestra página corporativa:
Respuesta en horario laboral (L-V, 9:00-18:00 CET).
Información requerida en el reporte
| Descripción de la vulnerabilidad | Descripción clara y detallada, incluyendo el tipo (inyección SQL, XSS, desbordamiento de búfer, etc.). | |
|---|---|---|
| Producto y versión afectados | Nombre del producto, modelo específico y versión de firmware o software. | |
| Pasos de reproducción | Instrucciones paso a paso, con las configuraciones necesarias y las condiciones específicas. | |
| Impacto y severidad | Impacto potencial sobre confidencialidad, integridad y disponibilidad, y severidad estimada. | |
| Detalles técnicos | Logs, capturas de pantalla, prueba de concepto (PoC), tráfico de red capturado, etc. | |
| Información del investigador | Nombre o alias, datos de contacto y preferencias de reconocimiento público (opcional). | |
Política de respuesta y divulgación
Alcance
Aceptamos reportes de vulnerabilidades en los siguientes productos y servicios:
Routers Raxon
Routers industriales para infraestructuras de telemedida eléctrica.
Módems Axom
Módems 4G para comunicaciones IoT en entornos industriales.
Gateways RMU-Aqua
Gateways NB-IoT para redes de sensores de bajo consumo.
Plataforma Sócrates
Plataforma en la nube para gestión y análisis de datos IoT.
NoxApp
Aplicación móvil Android para monitorización y control.
Política de respuesta
Confirmamos la recepción en un máximo de 3 días laborables, realizamos una evaluación inicial en 7-10 días laborables y mantenemos informado al investigador cada 14 días hasta la resolución.
Divulgación coordinada y embargo
Solicitamos un período mínimo de 90 días desde el reporte inicial antes de cualquier divulgación pública. La fecha de publicación se acuerda con el investigador, respetando un período razonable para que los clientes actualicen sus sistemas.
Reconocimiento
- Hall of Fame. Los investigadores que reporten vulnerabilidades válidas se incluyen, con su consentimiento, en nuestro Hall of Fame de seguridad.
- Créditos en advisories. Los avisos de seguridad incluyen el crédito al investigador, respetando sus preferencias de anonimato o alias.
- Comunicación transparente. Mantenemos una comunicación abierta durante todo el proceso.
Estándares de referencia
- ETSI TR 103 838. Guía de divulgación coordinada de vulnerabilidades para productos IoT.
- ISO/IEC 29147. Estándar internacional para la divulgación de vulnerabilidades.
- INCIBE-CERT. Recursos sobre CVD del Centro de Respuesta a Incidentes de Seguridad español.
- CVSS. Sistema de puntuación para evaluar la severidad de vulnerabilidades.
Los plazos indicados son orientativos y pueden variar según la complejidad y la severidad de cada caso.
Protección de datos y confidencialidad
Tratamiento responsable
No compartimos datos personales del investigador ni detalles técnicos con terceros sin consentimiento explícito, salvo cuando sea necesario para resolver el problema.
Cumplimiento normativo
Los datos personales se tratan conforme al RGPD y a la legislación española aplicable, exclusivamente para gestionar el reporte y el reconocimiento acordado.
Retención de información
La información se conserva el tiempo necesario para gestionar el caso y cumplir las obligaciones legales. Puede solicitar la eliminación de sus datos una vez cerrado el caso.
Seguridad en las comunicaciones
Para información especialmente confidencial podemos coordinar el uso de cifrado PGP u otros métodos seguros de comunicación.
Declaración de seguridad
Prácticas recomendadas
- Reporte las vulnerabilidades de forma responsable y confidencial.
- Proporcione información detallada para facilitar la reproducción.
- Permita un tiempo razonable para la corrección antes de la divulgación pública.
- Actúe de buena fe y evite acciones que puedan dañar nuestros sistemas o datos.
- Respete la privacidad de nuestros clientes y usuarios.
- Limite las pruebas al mínimo necesario para demostrar la vulnerabilidad.
Actividades prohibidas
- Acceder, modificar o eliminar datos que no le pertenecen.
- Realizar ataques de denegación de servicio (DoS/DDoS).
- Ejecutar pruebas en sistemas de producción de clientes sin autorización.
- Divulgar públicamente la vulnerabilidad antes de su resolución.
- Realizar ingeniería social contra empleados o clientes.
- Intentar extorsionar o solicitar compensación económica.
Noxium se reserva la interpretación final de esta política.
Preguntas frecuentes
¿Ofrecen recompensas económicas por vulnerabilidades?
Actualmente no contamos con un programa de bug bounty con recompensas económicas. Reconocemos públicamente las contribuciones de los investigadores y valoramos su colaboración en la mejora de la seguridad de nuestros productos.
¿Qué hago si encuentro una vulnerabilidad crítica que está siendo explotada activamente?
Contacte inmediatamente con security@noxium.es indicando «URGENTE» en el asunto. Priorizaremos estos casos y responderemos en el menor tiempo posible.
¿Puedo realizar pruebas en dispositivos de producción?
No. Las pruebas deben realizarse únicamente en dispositivos de su propiedad o en entornos de prueba autorizados.
¿Cuánto tiempo debo esperar antes de divulgar públicamente una vulnerabilidad?
Solicitamos un período mínimo de 90 días desde el reporte inicial para desarrollar, probar y desplegar las correcciones. En vulnerabilidades críticas trabajaremos para reducir este plazo y siempre coordinaremos la divulgación con el investigador.
¿Qué necesito para acceder a dispositivos de prueba?
Si necesita hardware específico para validar una vulnerabilidad, contacte con nuestro equipo de seguridad. Evaluaremos cada caso y, cuando sea posible, facilitaremos dispositivos de prueba o información técnica adicional.
¿Aceptan reportes sobre productos de terceros que integran sus dispositivos?
El programa cubre únicamente productos desarrollados por Noxium. Si la vulnerabilidad afecta a componentes de terceros, repórtela al fabricante correspondiente; le agradecemos que nos informe para evaluar el impacto en nuestros productos.
¿Listo para reportar una vulnerabilidad?
Agradecemos su contribución a la seguridad de nuestros productos y clientes.
Enviar reporte