Política de divulgación de vulnerabilidades
En ICenter trabajamos para que nuestros productos, ReservaEntradas y GestMant, sean cada día más seguros. Gestionamos de forma responsable la recepción, validación, corrección y publicación de las vulnerabilidades de seguridad que puedan afectarles, siguiendo el modelo de Divulgación Coordinada de Vulnerabilidades (CVD) y en coordinación con INCIBE-CERT.
Si has identificado una posible vulnerabilidad, te agradecemos que nos la comuniques de forma responsable. Esta página explica cómo enviarnos un reporte y cuál será el proceso que seguiremos hasta su resolución y publicación.
1. Contacto y canal de comunicación
El canal oficial para reportar vulnerabilidades de seguridad no divulgadas en los productos de ICenter es el correo electrónico:
También puedes utilizar nuestro formulario de contacto, indicando claramente en el asunto que se trata de una vulnerabilidad de seguridad.
Importante: este canal está destinado exclusivamente a la notificación de vulnerabilidades de seguridad. Si necesitas ayuda con el uso de nuestros productos, tienes una consulta técnica o quieres reportar un error sin impacto en la seguridad, utiliza nuestros canales habituales de soporte.
2. Cómo reportar una vulnerabilidad
Para que podamos analizar el problema lo antes posible, incluye en tu comunicación la siguiente información:
- Un título descriptivo del problema.
- El producto, servicio o sitio web afectado y, si procede, la versión o versiones.
- El tipo de vulnerabilidad, si lo conoces (por ejemplo: inyección de código, XSS, escalada de privilegios u omisión de autenticación). Si dispones de una clasificación CWE, puedes incluirla.
- Los pasos necesarios para reproducir el problema.
- Una prueba de concepto (PoC), código de ejemplo o registros HTTP/S que ayuden a verificar la vulnerabilidad. Si lo consideras útil, puedes adjuntar capturas de pantalla o vídeos.
- Una descripción del impacto que tendría la explotación de la vulnerabilidad.
- Tu nombre o alias, si deseas aparecer en el reconocimiento de la publicación.
3. Proceso de gestión
Una vez recibido el reporte, seguiremos este proceso:
- Confirmación de recepción: confirmaremos la recepción del reporte en un plazo máximo de 5 días laborables y asignaremos un número de caso para su seguimiento.
- Análisis y validación: nuestro equipo analizará la información recibida para determinar si se trata de una vulnerabilidad de seguridad y su severidad. Te informaremos del resultado del análisis y, si fuera necesario, solicitaremos información adicional.
- Desarrollo de la solución: si la vulnerabilidad se confirma, trabajaremos de forma prioritaria en una corrección y te mantendremos informado sobre el estado del proceso.
- Identificación: cuando la vulnerabilidad lo requiera, solicitaremos la asignación de un identificador CVE a través de INCIBE-CERT y lo compartiremos contigo cuando esté disponible.
4. Publicación de la vulnerabilidad
Para proteger a todos los recintos, organizaciones y usuarios que utilizan nuestros productos, te pedimos que no hagas pública la vulnerabilidad hasta que exista una solución disponible y el proceso de divulgación haya finalizado.
Nuestro proceso de publicación seguirá estos pasos:
- Publicaremos la corrección mediante una nueva versión del producto, un parche de seguridad o la actualización del servicio afectado.
- Informaremos previamente a los clientes cuando sea necesario para facilitar una actualización segura.
- Publicaremos la vulnerabilidad en nuestra página de Avisos de seguridad y, cuando se haya asignado un CVE, en el registro oficial gestionado por INCIBE.
Siempre que sea posible, la divulgación pública se realizará de forma coordinada una vez que la solución esté disponible, dando tiempo suficiente para que los usuarios puedan actualizar sus sistemas.
5. Buenas prácticas durante la investigación
Para que la investigación se desarrolle de forma segura y responsable, te pedimos que:
- No accedas, modifiques ni elimines datos de clientes, recintos o usuarios más allá de lo estrictamente necesario para demostrar la vulnerabilidad.
- No realices ataques de denegación de servicio ni pruebas que puedan degradar el funcionamiento de los sistemas.
- No utilices ingeniería social, phishing ni técnicas dirigidas contra empleados o clientes de ICenter.
- No hagas uso de credenciales, claves u otra información sensible que pudieras encontrar, y nos lo comuniques de inmediato.
- No mantengas persistencia en los sistemas ni instales herramientas más allá de lo necesario para la prueba de concepto.
Si actúas de buena fe y de acuerdo con esta política, ICenter no emprenderá acciones legales contra ti por la investigación realizada.
Gracias por colaborar
Agradecemos la colaboración de todas las personas que contribuyen a mejorar la seguridad de los productos de ICenter mediante un proceso de divulgación responsable. Cada reporte nos ayuda a ofrecer un servicio más seguro a los recintos y usuarios que confían en nosotros.