Política de notificación de vulnerabilidades de productos

Alcance

Esta política de notificación de vulnerabilidades de productos (la «Política») se aplica a las posibles vulnerabilidades de ciberseguridad que afecten a los productos de Wabtec y sus componentes, incluidos el software y el firmware asociados y los servicios digitales relacionados con los productos proporcionados por Wabtec.

Wabtec agradece las denuncias relativas a los productos, independientemente de que el denunciante tenga o no una relación comercial con Wabtec. Los informes sobre productos que ya no reciben soporte técnico pueden evaluarse caso por caso. La aceptación o evaluación de dicho informe no significa que Wabtec vaya a proporcionar un parche, una actualización u otra solución para un producto fuera del período de soporte aplicable.

Esta Política está destinada a las vulnerabilidades de ciberseguridad de los productos. El soporte general del producto, los problemas de calidad del producto que no afecten a la ciberseguridad, las reclamaciones de garantía y otros asuntos no relacionados con la seguridad deben dirigirse al canal de atención al cliente de Wabtec correspondiente.

Esta Política no autoriza las pruebas de sistemas, redes, productos o entornos que sean propiedad de clientes de Wabtec u otros terceros o estén gestionados por ellos.

Investigación de seguridad de buena fe

Wabtec apoya la investigación de seguridad de buena fe destinada a identificar y denunciar de manera responsable las posibles vulnerabilidades de ciberseguridad en los productos de Wabtec.

Si lleva a cabo investigaciones de seguridad de conformidad con esta Política, actúa de buena fe para evitar daños a Wabtec, a nuestros clientes y a otros terceros, y notifica sin demora a Wabtec las vulnerabilidades identificadas, Wabtec no emprenderá acciones legales contra usted únicamente por esa investigación.

Este compromiso se aplica únicamente a las reclamaciones respecto de las cuales Wabtec tiene la autoridad legal para eximir o controlar. No autoriza el acceso ni las pruebas de sistemas, productos, redes o entornos que sean propiedad de clientes u otros terceros o estén gestionados por ellos sin su permiso, y no vincula a terceros independientes ni a las autoridades gubernamentales o policiales.

Usted sigue siendo responsable de cumplir con las leyes aplicables y de obtener cualquier autorización requerida del propietario u operador de un sistema, producto, red o entorno.

Si no está seguro de si una investigación en particular es coherente con esta Política, póngase en contacto con el PSIRT de Wabtec antes de continuar.

Reglas de participación

Para promover una investigación responsable y proteger a los clientes, empleados, operaciones y otros terceros de Wabtec, los investigadores que participen en virtud de esta Política deben:

• Hacer un esfuerzo de buena fe para evitar dañar a Wabtec, a nuestros clientes, a otros terceros y al público;
• Realice pruebas únicamente en productos, sistemas y entornos de su propiedad o para los que tenga la autorización correspondiente;
• Evite probar servicios o infraestructuras de terceros, incluidos los entornos de producción de los clientes, a menos que cuente con una autorización independiente del tercero correspondiente;
• Evite cualquier actividad que pueda afectar negativamente a la seguridad o la disponibilidad de los entornos ferroviarios, de tránsito, mineros, industriales u otros entornos operativos;
• Evite interferir con el material rodante, el control del tren, la señalización, el frenado, las comunicaciones u otras funciones operativas o relacionadas con la seguridad;
• Evite la denegación de servicio, el agotamiento de los recursos y las pruebas destructivas o disruptivas;
• Evite las pruebas de seguridad física y la ingeniería social, incluida la suplantación de identidad;
• Evite introducir malware, ransomware, mecanismos de persistencia u otras funciones maliciosas;
• Evite acceder, modificar, eliminar, descargar o filtrar datos más allá del mínimo necesario para demostrar la existencia y el posible impacto de una vulnerabilidad;
• Deje de realizar las pruebas y notifique directamente a Wabtec si obtiene acceso a datos confidenciales, credenciales, información de clientes o funciones más allá de lo necesario para demostrar la vulnerabilidad;
• Evite los movimientos laterales o los intentos de establecer un acceso continuo después de que se haya demostrado la vulnerabilidad;
• Evite subir información no pública sobre vulnerabilidades, información de clientes u otra información confidencial a servicios públicos o de terceros, ya que hacerlo podría resultar en una divulgación no autorizada; y
• Coordine la divulgación de la vulnerabilidad notificada con Wabtec tal como se describe a continuación; en particular, no divulgue públicamente las vulnerabilidades identificadas hasta que Wabtec haya confirmado que se ha corregido la vulnerabilidad identificada.

La investigación relacionada con las funcionalidades relacionadas con la seguridad debe realizarse únicamente en un entorno no operativo debidamente controlado y con todas las autorizaciones necesarias.

Por lo general, está fuera del alcance

Por lo general, Wabtec no considera las vulnerabilidades de ciberseguridad de los productos las observaciones relacionadas con las mejores prácticas de seguridad o los problemas de configuración sin un impacto demostrable en la ciberseguridad.

Entre los ejemplos se pueden incluir:

• Divulgación de la versión informativa sin un impacto de seguridad demostrado;
• encabezados de seguridad HTTP faltantes o recomendados sin una explotabilidad demostrada;
• Vulnerabilidades teóricas sin una ruta de ataque creíble ni un impacto en la seguridad;
• Hallazgos que dependan únicamente de navegadores, sistemas operativos o plataformas de terceros obsoletos o incompatibles;
• Problemas que requieren una interacción inverosímil por parte del usuario sin un impacto significativo en la seguridad; y
• Otras recomendaciones de configuración o refuerzo de la seguridad que no supongan un riesgo importante para la confidencialidad, la integridad, la disponibilidad, la privacidad, la seguridad o las operaciones.

Esta lista es más ilustrativa que exhaustiva. Wabtec puede evaluar cualquier informe en el que el denunciante demuestre un impacto significativo en la ciberseguridad, la seguridad, la privacidad o las operaciones.

Si no está seguro de si un problema está dentro del alcance, le recomendamos que lo denuncie.

¿Qué ocurre después de denunciar una vulnerabilidad

El PSIRT de Wabtec coordina la gestión de las posibles vulnerabilidades de ciberseguridad de los productos denunciadas. El proceso generalmente consta de las siguientes etapas.

1. Recepción y clasificación

El PSIRT de Wabtec recibe y realiza una revisión inicial de los informes de vulnerabilidad.

El PSIRT de Wabtec acepta los informes en cualquier momento y se esforzará por acusar recibo de un informe de vulnerabilidad en un plazo de dos días hábiles.

Los informes que indiquen un riesgo inminente para la seguridad, una explotación activa o un impacto significativo en los clientes o las operaciones tendrán prioridad para una evaluación rápida.

2. Evaluación técnica

Wabtec evalúa las posibles vulnerabilidades notificadas y, según proceda, trabaja con los equipos pertinentes de productos, ingeniería, ciberseguridad, seguridad, asuntos legales y otros para:

• Validar y reproducir el problema denunciado;
• Determinar los productos y las versiones afectados;
• Evaluar el posible impacto en la ciberseguridad, la seguridad, la privacidad y las operaciones;
• Evaluar la explotabilidad y la gravedad; y
• Determine si se requiere información adicional por parte del denunciante.

Wabtec puede ponerse en contacto con el denunciante durante este proceso para obtener información técnica adicional o aclaraciones.

3. Remediación y mitigación

En el caso de las vulnerabilidades validadas, Wabtec determinará las medidas correctivas o de mitigación de riesgos adecuadas en función de las circunstancias.

Según la vulnerabilidad y el producto afectado, estas medidas pueden incluir actualizaciones de software o firmware, cambios en la configuración, controles compensatorios, soluciones alternativas, orientación al cliente u otras medidas.

Los plazos de respuesta y reparación varían en función de factores como la gravedad y la complejidad de la vulnerabilidad, los productos afectados, las consideraciones de seguridad, la disponibilidad de las mitigaciones, el estado del ciclo de vida del producto y la necesidad de coordinarse con los clientes, proveedores, proveedores de tecnología, reguladores, CERT, CSIRT u otras partes afectadas.

4. Divulgación coordinada

Wabtec busca coordinar la divulgación de las vulnerabilidades de ciberseguridad de los productos de manera que ayude a proteger a los clientes y otras partes afectadas.

Pedimos a los periodistas que mantengan la confidencialidad de la información de vulnerabilidad no pública mientras Wabtec investiga el problema y, cuando proceda, desarrolla y coordina las medidas de remediación o mitigación.

Wabtec procurará trabajar de buena fe con el denunciante para establecer un plazo de divulgación adecuado, cuando proceda. El momento de la divulgación puede tener en cuenta factores como:

• La gravedad de la vulnerabilidad y la explotabilidad;
• Evidencia de explotación activa o inminente;
• Posibles consecuencias operativas o de seguridad;
• Disponibilidad y validación de las medidas de remediación o mitigación;
• consideraciones de implementación para los clientes afectados;
• La coordinación con los proveedores y otras partes afectadas; y
• Requisitos legales y reglamentarios aplicables

Los investigadores no deben divulgar públicamente los detalles de las vulnerabilidades antes de una fecha de divulgación coordinada acordada, a menos que la ley aplicable exija lo contrario.

5. Reconocimiento del reportero

Cuando proceda y con el consentimiento del denunciante, Wabtec podrá reconocer al denunciante en un aviso de seguridad publicado u otro tipo de comunicación sobre vulnerabilidades. Los reporteros también pueden solicitar que su identidad permanezca confidencial o que no se reconozca públicamente.

Avisos de seguridad y notificaciones a los clientes

Cuando proceda, Wabtec puede publicar un aviso de seguridad o proporcionar otras notificaciones para ayudar a los clientes afectados a comprender y abordar un riesgo de ciberseguridad identificado.

Según las circunstancias, un aviso o notificación puede incluir:

• Una descripción de la vulnerabilidad;
• Productos y versiones afectados;
• Un identificador CVE e información sobre la gravedad de la vulnerabilidad, cuando proceda;
• Posible impacto en la ciberseguridad, las operaciones o la seguridad;
• factores atenuantes o soluciones alternativas conocidos; y
• Los parches, actualizaciones, cambios de configuración u otras acciones recomendadas disponibles.

El momento, la forma y el contenido de una notificación dependerán de las circunstancias de la vulnerabilidad, incluidas la protección y la seguridad de los clientes, el riesgo de explotación, la disponibilidad de las soluciones correctivas, los productos y clientes afectados, la coordinación con terceros y los requisitos legales y reglamentarios aplicables.

Cuando proceda, Wabtec puede coordinar la información sobre vulnerabilidades con los CERT, CSIRT, otras autoridades gubernamentales, organizaciones industriales, proveedores u otras partes interesadas afectadas pertinentes.

Sin recompensa ni compensación

A menos que Wabtec acuerde expresamente lo contrario por escrito, esta Política no constituye un programa de recompensas por errores y la presentación de un informe de vulnerabilidad no da derecho a compensación, reembolso u otro tipo de pago.

Limitaciones de la política

La participación en este programa de divulgación de vulnerabilidades no otorga ningún derecho o licencia sobre la propiedad intelectual de Wabtec, excepto en la medida limitada necesaria para llevar a cabo las investigaciones permitidas por esta Política.

Nada de lo dispuesto en esta Política autoriza actividades que infrinjan la ley aplicable o los derechos de un tercero.

Wabtec puede actualizar esta Política de vez en cuando para reflejar los cambios en sus productos, los procesos de gestión de vulnerabilidades, los requisitos aplicables o las mejores prácticas de seguridad.

Póngase en contacto con Wabtec PSIRT

Las posibles vulnerabilidades de ciberseguridad de los productos deben notificarse al equipo de respuesta a incidentes de seguridad de los productos de Wabtec: PSIRT [at] Wabtec [dot] com

Para obtener información confidencial sobre vulnerabilidades, utilice la clave PGP pública de Wabtec.