1. Ámbito de aplicación
Esta política se aplica a las vulnerabilidades de seguridad de los productos y servicios de EpiSensor: EpiSensor Edge (incluida la edición gratuita en una Raspberry Pi), System Manager, Core, los Gateways EpiSensor, los dispositivos EpiSensor y su firmware, y los sitios web y servicios en línea de EpiSensor. También se aplica al software de terceros que EpiSensor incluye en sus productos.
Las vulnerabilidades de un producto de otro fabricante que esté conectado a un producto EpiSensor deberían notificarse a ese fabricante. Comuníquenoslas también a nosotros si afectan a la forma en que nuestros productos funcionan con él.
2. Cómo notificar una vulnerabilidad
Escriba a security@episensor.com. Si puede, le rogamos que escriba en inglés. Si no está seguro de si algo es una vulnerabilidad, notifíquelo de todos modos.
Este mismo contacto se publica en un formato legible por máquina en nuestro archivo security.txt.
3. Qué debe incluir
- El producto y la versión que ha probado, por ejemplo la versión de Edge y el hardware en el que se ejecuta, o la dirección de la página web.
- En qué consiste la vulnerabilidad y qué podría hacer un atacante con ella.
- Los pasos para reproducirla, con el código de prueba de concepto, los registros o las capturas de pantalla de que disponga.
- Si cree que está siendo aprovechada.
- Si desea que se le reconozca el hallazgo y de qué forma.
No incluya datos personales que no necesite para demostrar el problema.
4. Nuestros compromisos
- Acusamos recibo de su notificación en un plazo de cinco días hábiles.
- La evaluamos, le indicamos si podemos reproducirla y le mantenemos informado hasta su resolución.
- Corregimos las vulnerabilidades confirmadas y ponemos a disposición actualizaciones de seguridad de forma gratuita, también para la edición gratuita de Edge.
- Cuando hay una corrección disponible, publicamos un aviso de seguridad que describe la vulnerabilidad, las versiones afectadas y la forma de corregirla o mitigarla, y le reconocemos el hallazgo si así lo desea.
- Notificamos las vulnerabilidades aprovechadas activamente y los incidentes graves al CSIRT designado como coordinador y a ENISA, conforme exige el Reglamento de Ciberresiliencia de la UE (Reglamento (UE) 2024/2847), e indicamos a los usuarios afectados qué pueden hacer para reducir el riesgo.
No ofrecemos ninguna remuneración por las notificaciones.
5. Divulgación coordinada
Le rogamos que nos dé la oportunidad de corregir una vulnerabilidad antes de que se hagan públicos sus detalles. Si nos notifica una vulnerabilidad, usted se compromete a no publicar sus detalles hasta que hayamos publicado una corrección o hayan transcurrido 90 días desde su notificación, lo que ocurra antes. Podemos acordar con usted una fecha distinta, por ejemplo una posterior cuando una corrección tenga que llegar a dispositivos instalados en campo, o una anterior cuando la vulnerabilidad esté siendo aprovechada.
Puede compartir sus hallazgos con el propietario de la instalación que haya probado, y puede notificar una vulnerabilidad en cualquier momento a un equipo nacional de respuesta a incidentes de seguridad informática (CSIRT) o a otra autoridad competente.
6. Normas para las pruebas de seguridad
- Pruebe únicamente instalaciones de su propiedad o que usted explote, o que su propietario le haya autorizado a probar.
- No pruebe los sistemas, redes, dispositivos o datos de ninguna otra persona. No realice escaneos ni ataques contra los sitios web y servicios en línea de EpiSensor: si detecta un problema en ellos, notifíquelo sin realizar más pruebas.
- No interrumpa ni degrade ningún servicio, red o dispositivo, por ejemplo mediante pruebas de denegación de servicio, y tenga cuidado de no afectar a los equipos que Edge supervisa o controla.
- No acceda a datos que no le pertenezcan, ni los copie, conserve, modifique, elimine o divulgue, más allá del mínimo necesario para demostrar la existencia de una vulnerabilidad. Si llega a acceder a tales datos, deténgase, infórmenos y elimine cualquier copia que conserve.
- No recurra a la ingeniería social, el phishing ni ataques físicos contra EpiSensor, su personal, sus clientes o sus dependencias.
- Cumpla la ley. El contrato de licencia solo permite la descompilación y cualquier otra forma de ingeniería inversa en la medida en que la ley lo permita.
7. Puerto seguro
No presentaremos ninguna reclamación contra usted, ni pediremos a ninguna autoridad que actúe contra usted, por las investigaciones de seguridad y las notificaciones que realice de buena fe y de conformidad con esta política. Estos mismos términos forman parte del contrato de licencia de EpiSensor Edge, en su cláusula 2.3.
Esta política no puede autorizar pruebas de sistemas que pertenezcan a otra persona. En caso de duda, consúltenos antes de realizar pruebas.
8. Actualizaciones de seguridad y período de soporte
Proporcionamos gratuitamente actualizaciones de seguridad para el software y el firmware de EpiSensor durante al menos dos años desde la publicación de una versión o el fin de la comercialización del producto, lo que ocurra más tarde, o durante más tiempo cuando la ley lo exija, por ejemplo el período de soporte que el Reglamento de Ciberresiliencia de la UE establece para los productos introducidos en el mercado de la UE a partir del 11 de diciembre de 2027. Una actualización de seguridad puede consistir en una nueva versión del software o del firmware.
Edge se actualiza como snap o mediante la aplicación de escritorio System Manager, y el firmware de los dispositivos Zigbee que lo admiten se actualiza por vía inalámbrica desde Edge. Instale sin demora las actualizaciones de seguridad: una versión que se encuentre fuera de su período de soporte deja de recibirlas.