Política de divulgación de vulnerabilidades 
EGLO Leuchten GmbH

16 de julio de 2024

Introducción

Esta política de divulgación de vulnerabilidades se aplica a cualquier vulnerabilidad que esté considerando comunicarnos. Le recomendamos que lea detenidamente esta política de divulgación de vulnerabilidades antes de notificar una vulnerabilidad y que actúe siempre de conformidad con ella. Valoramos a quienes se toman el tiempo y el esfuerzo de informar sobre vulnerabilidades de seguridad de acuerdo con esta política. Sin embargo, no ofrecemos recompensas monetarias por la divulgación de vulnerabilidades.

Autorización 

Si realiza de buena fe la identificación y notificación de vulnerabilidades cumpliendo esta política, consideraremos que su investigación está autorizada y trabajaremos con usted para comprender y resolver el problema rápidamente. 
EGLO Leuchten GmbH no recomendará ni emprenderá acciones legales relacionadas con sus actividades de identificación de vulnerabilidades en nuestros sistemas siempre que siga las directrices de esta política. 

Ámbito de aplicación 

Esta política ofrece a los participantes la oportunidad de buscar posibles vulnerabilidades en los sistemas, equipos y productos de nuestra organización, incluyendo 

- AwoX AwoX Smart CONTROL
- AwoX AwoX HomeControl App
- Productos inteligentes 

con buenas intenciones o para transmitir cualquier información que descubran sobre una vulnerabilidad.
Las vulnerabilidades encontradas en sistemas de proveedores también están excluidas del ámbito de aplicación y deben comunicarse directamente al proveedor de acuerdo con su propia política de divulgación (si procede).

Informar sobre 

Si cree que ha encontrado una vulnerabilidad de seguridad, envíenos su informe a través del siguiente enlace/correo electrónico: privacy@awox.com

En su informe, incluya detalles sobre:

• La página en la que se observa la vulnerabilidad
• Una breve descripción del tipo de vulnerabilidad
• Pasos para reproducirla. Debe tratarse de una prueba de concepto benigna y no destructiva. Esto ayuda a garantizar que el informe se pueda clasificar de forma rápida y precisa. También reduce la probabilidad de informes duplicados, o la explotación maliciosa de algunas vulnerabilidades, como las tomas de control de subdominios.

Qué puede esperar de nosotros 

Una vez que nos haya enviado su informe, le responderemos en el plazo de un mes laborable y trataremos de resolverlo en un plazo de 180 días. También intentaremos mantenerle informado de nuestros progresos. 

La prioridad de la corrección se evalúa teniendo en cuenta el impacto, la gravedad y la complejidad del exploit. Los informes de vulnerabilidad pueden tardar algún tiempo en clasificarse o solucionarse. Le invitamos a preguntar por el estado, pero evite hacerlo más de una vez cada 14 días. Esto permite a nuestros equipos centrarse en la corrección. 

Le notificaremos cuando se haya corregido la vulnerabilidad notificada, y puede que le invitemos a confirmar que la solución cubre la vulnerabilidad adecuadamente. 

Una vez resuelta la vulnerabilidad, recibiremos con agrado las solicitudes de divulgación de su informe. Nos gustaría unificar la orientación a los usuarios afectados, por lo que le rogamos que siga coordinando la divulgación pública con nosotros.

Directrices

Usted NO debe

• Infringir ninguna ley o normativa aplicable.
• Acceder a cantidades innecesarias, excesivas o significativas de datos.
• Modificar datos en los sistemas o servicios de la Organización.
• Utilizar herramientas de exploración invasivas o destructivas de alta intensidad para encontrar vulnerabilidades.
• Intentar o notificar cualquier forma de denegación de servicio, por ejemplo, saturar un servicio con un gran volumen de solicitudes.
• Interrumpir los servicios o sistemas de la Organización.
• Presentar informes que detallen vulnerabilidades no explotables, o informes que indiquen que los servicios no se ajustan plenamente a las «mejores prácticas», por ejemplo, falta de encabezados de seguridad.
• Presentar informes que detallen deficiencias en la configuración de TLS, por ejemplo, compatibilidad con conjuntos de cifrado «débiles» o la presencia de compatibilidad con TLS1.0.
• Comunicar cualquier vulnerabilidad o detalles asociados por medios distintos a los descritos en el security.txt publicado.
• Realizar ingeniería social, «phishing» o atacar físicamente al personal o la infraestructura de la Organización. * Exigir una compensación económica para revelar cualquier vulnerabilidad.
  
  

Usted debe:

• Cumplir siempre las normas de protección de datos y no debe violar la privacidad de los usuarios, el personal, los contratistas, los servicios o los sistemas de la Organización. Por ejemplo, no debe compartir, redistribuir o no proteger adecuadamente los datos obtenidos de los sistemas o servicios.
• Elimine de forma segura todos los datos recuperados durante su investigación tan pronto como ya no sean necesarios o en el plazo de 1 mes desde la resolución de la vulnerabilidad, lo que ocurra primero (o según lo exija la legislación sobre protección de datos).