Política de Vulnerabilidad
Esta política regula todas y cada una de las violaciones o vulnerabilidades relacionadas a la seguridad de la información ocurridas dentro de las operaciones de MAGNOLOGIC.
Esta política establece los procesos para informar al personal de MAGNOLOGIC sobre cualquier violación de datos, sospecha de violación de datos o vulnerabilidad encontrada en los sistemas de MAGNOLOGIC. Una violación de datos implica la pérdida, el acceso no autorizado o la divulgación no autorizada de información personal. Una vulnerabilidad es cualquier defecto que pueda encontrarse en un sistema que podría provocar una violación de datos o una interrupción del servicio prestado.
El cumplimiento de este Procedimiento y Plan de Respuesta garantizará que MAGNOLOGIC pueda contener, evaluar y responder a las violaciones de datos o vulnerabilidades de manera expedita y mitigar el daño potencial que éstas puedan producir.
Para MAGNOLOGIC mantener la confidencialidad, integridad y disponibilidad de nuestra información y nuestros sistemas es sumamente importante. Agradecemos el trabajo realizado por los investigadores de seguridad que nos ayudan a mejorar nuestras medidas de seguridad. Es por ello que queremos tener un proceso claro para informar acerca de vulnerabilidades o violaciones de seguridad. Todas las vulnerabilidades y/o violaciones de seguridad deben informarse a: contacto@magnologic.cl
MAGNOLOGIC invita a los investigadores de seguridad a informar cualquier vulnerabilidad o violación de seguridad que crean haber encontrado. Todos los informes enviados de conformidad con esta política serán investigados y cualquier problema que pueda surgir se resolverá lo antes posible. Si el investigador hace un esfuerzo de buena fe para cumplir con esta política durante su investigación de seguridad, consideraremos que su investigación está autorizada, trabajaremos con el investigador para comprender y resolver el problema rápidamente y no recomendaremos ni iniciaremos acciones legales relacionadas con su investigación.
ACCIONES INVESTIGADORES
Las siguientes listas describen las acciones que los investigadores deben, pueden y no deben realizar en sus métodos de evaluación
Los investigadores de seguridad deben:
- detener las pruebas y notificarnos de inmediato al descubrir una vulnerabilidad.
- detener las pruebas y notificarnos de inmediato al descubrir información expuesta que sea de carácter privado.
- purgar toda información de MAGNOLOGIC de carácter privado almacenada al informar una vulnerabilidad.
Los investigadores de seguridad pueden:
- ver o almacenar la información de MAGNOLOGIC de carácter privado solo en la medida necesaria para documentar la presencia de una posible vulnerabilidad.
Los investigadores de seguridad no deben:
- realizar pruebas en sistemas que no estén en el listado de sistemas que se encuentra a continuación.
- divulgar información sobre vulnerabilidades, excepto según lo establecido en las secciones «Informar una vulnerabilidad» y «Divulgación» a continuación.
- participar en la realización de pruebas físicas de instalaciones o recursos.
- participar en prácticas de ingeniería social.
- enviar correos electrónicos no solicitados a los usuarios de MAGNOLOGIC, incluyendo mensajes de «phishing.»
- ejecutar o intentar ejecutar ataques de «Denegación de Servicio» (DoS) o «Agotamiento de Recursos.»
- introducir software malicioso.
- realizar pruebas de una manera que pueda degradar el funcionamiento de los sistemas de MAGNOLOGIC; o dañar, interrumpir o deshabilitar intencionalmente los sistemas de MAGNOLOGIC.
- eliminar, alterar, compartir, retener o destruir la información de MAGNOLOGIC, o hacer que ésta sea inaccesible.
- utilizar un exploit para extraer información, establecer el acceso a la línea de comandos o establecer una presencia persistente en los sistemas de MAGNOLOGIC.
Hemos determinado que el siguiente sistema puede ser investigado:
www.magnologic.cl
Los investigadores pueden enviar informes de forma anónima, aunque cualquier método de contacto posible es bienvenido para aclarar cualquier información acerca de la vulnerabilidad reportada u otro intercambio técnico.
Al informar una vulnerabilidad o una violación de seguridad, la inclusión de una descripción técnica detallada de los pasos para reproducirla, incluyendo las herramientas, imágenes y cualquier otra documentación que pueda adjuntarse a los informes es ideal.
La información que debe proporcionarse (si se conoce) a esta altura incluye:
- Cuando se produjo la violación o se explotó la vulnerabilidad (fecha y hora).
- Descripción de la violación/vulnerabilidad (el tipo de información personal involucrada).
- Causa de la violación, si se conoce; caso contrario, cómo se descubrió.
- ¿Qué sistemas se ven afectados, si los hay?
- ¿Qué proyecto/área/tarea está involucrada?
MAGNOLOGIC determinará la gravedad según los siguientes criterios:
- El tipo y alcance de la información personal involucrada
- Si varias personas se han visto afectadas
- Si la información está protegida por alguna medida de seguridad (contraseñas o cifrado).
- La persona o tipos de personas que ahora tienen acceso
- Si existe (o podría existir) un riesgo real de daño grave para las personas afectadas.
Si la violación o sospecha de violación podría llamar la atención de los medios o de las partes interesadas