Denunciar una vulnerabilidad de ciberseguridad de un producto

Wabtec se compromete con la seguridad de sus productos y con ayudar a proteger a los clientes y las industrias que confían en ellos. El equipo de respuesta a incidentes de seguridad de los productos (PSIRT) de Wabtec coordina la recepción, la evaluación, la corrección y la divulgación de las posibles vulnerabilidades de ciberseguridad que afectan a los productos de Wabtec.

Wabtec agradece los informes sobre vulnerabilidades de investigadores de seguridad, clientes, grupos industriales, vendedores, socios, agencias gubernamentales, CERT y otras partes. Valoramos la investigación de seguridad de buena fe y la presentación responsable de informes de vulnerabilidad como contribuciones importantes para mejorar la seguridad y la resiliencia de nuestros productos.

Esta política de notificación de vulnerabilidades de productos explica cómo denunciar a Wabtec una posible vulnerabilidad de ciberseguridad de un producto, qué puede esperar después de enviar un informe y las normas que se aplican a la hora de realizar investigaciones de seguridad relacionadas con los productos de Wabtec.

A continuación encontrará una breve descripción de cómo denunciar una vulnerabilidad. El contacto por correo electrónico sirve como el único punto de contacto para los fines de la Ley de Ciberresiliencia.

Denunciar una vulnerabilidad

Si cree que ha identificado una vulnerabilidad de ciberseguridad o un defecto de seguridad que afecta a un producto de Wabtec, infórmelo al equipo de respuesta a incidentes de seguridad de los productos de Wabtec en: PSIRT [at] Wabtec [dot] com.

Le recomendamos que cifre la información confidencial sobre vulnerabilidades utilizando la clave PGP pública de Wabtec, disponible a continuación.

Para ayudarnos a evaluar su informe de manera eficiente, proporcione toda la información que esté razonablemente disponible de la siguiente manera:

• Haga un seguimiento de la información de contacto (por ejemplo, la dirección de correo electrónico) o indique si desea permanecer en el anonimato;
• Descripción de la vulnerabilidad potencial;
• el producto, el modelo, el software o el firmware de Wabtec afectados y la versión aplicable;
• el tipo de vulnerabilidad o la enumeración de puntos débiles comunes (CWE), si se conocen;
• La configuración o las condiciones necesarias para reproducir la vulnerabilidad;
• Instrucciones paso a paso sobre cómo reproducir la vulnerabilidad;
• Posible impacto en la seguridad, las operaciones o la privacidad;
• código de prueba de concepto, registros, rastros de red, capturas de pantalla u otra información de respaldo, cuando corresponda;
• Cualquier explotación conocida o sospechada de la vulnerabilidad;
• Si la información relativa a la vulnerabilidad ya se ha divulgado públicamente; y
• Cualquier posible solución o mitigación que haya identificado.

No incluya información personal, información confidencial del cliente ni otros datos que no sean necesarios para que Wabtec evalúe la vulnerabilidad.