Recursos · 41
Divulgación coordinada de vulnerabilidades: recibir, reparar e informar
Construir una ruta segura para informes externos, evaluar impacto, coordinar a las partes afectadas y publicar orientaciones útiles.
Actualizado · 3 min
Lo que esta guía ayuda a lograr
- Hacer posible y seguro el reporte
- Darle un propietario a cada informe
- Coordinar un arreglo verificable
- Brindar a los usuarios orientación práctica
Comprobación rápida
- ¿Se puede enviar un informe sin cuenta de cliente?
- ¿Están claros el alcance y las pruebas permitidas?
- ¿Quién responde si el contacto principal está ausente?
- ¿Qué productos y proveedores comparten el defecto?
- ¿Qué mitigación provisional es útil?
- ¿El aviso identifica las versiones realmente afectadas?
Método paso a paso
- 1
Publicar una política clara
Indique alcance, pruebas a evitar, canal de contacto, detalles útiles del informe y proceso de respuesta. Haga revisar la política para su contexto.
Entregable: política publicada y canal monitoreado.
- 2
Reconocer y proteger evidencia
Confirmar recepción, asignar un identificador, limitar la circulación de datos sensibles y solicitar sólo las pruebas necesarias para reproducir el problema.
Entregable: informe fechado con propietario.
- 3
Evaluar y ampliar alcance
Reproducir sin dañar los sistemas. Examinar la explotabilidad, los activos, las versiones, los datos y los componentes compartidos con otros productos o proveedores.
Entregable: evaluación de impacto y mapa de stakeholders.
- 4
Coordinar la remediación
Mantener diálogo regular con el reportero y mantenedores. Acordar hitos de validación y adaptar la comunicación si el riesgo o la difusión cambian.
Entregable: línea de tiempo compartida, pruebas de corrección y regresión.
- 5
Publicar y dar seguimiento
Explicar las versiones afectadas, correcciones o mitigaciones, acciones del usuario e incertidumbres. Verifique la implementación y actualice el aviso a medida que cambien los hechos.
Entregable: evidencia versionada de asesoramiento y distribución.
Ejemplo trabajado ficticio
Situación ilustrativa
Un investigador reporta un fallo en el control de acceso en una versión antigua de API. El equipo lo reconoce, reproduce el caso en un entorno autorizado y comprueba que un componente compartido afecta a dos productos.
Decisión y pruebas esperadas
El plan conecta mantenedores, versiones, pruebas de arreglo y una mitigación provisional. El aviso final brinda a los usuarios una acción clara y acredita al investigador según lo acordado.
Indicadores de gestión
| Indicador | Qué mide | Primera acción |
|---|---|---|
| Recibo rastreado | Informes con propietario y fecha de primera respuesta | Reparar canales silenciosos |
| Alcance establecido | Productos afectados, versiones y dependencias confirmadas | Ampliar la búsqueda antes del consejo final |
| Corrección verificada | Casos originales y relacionados reproducidos en versiones publicadas | No cerrar una variante vulnerable |
| Usuarios informados | La orientación llega a los públicos afectados | Actualizar canales y traducciones requeridos |
Errores comunes
- Prometer un plazo único sin importar el riesgo
- Solicitar datos personales excesivos al denunciante
- Tratar el reconocimiento como remediación
- Publicación de evidencia de explotación detallada antes de la mitigación utilizable
- Olvido de versiones integradas por socios
Preguntas frecuentes
¿Es una política de divulgación una recompensa por errores?
No. Una política explica cómo informar y coordinar. Las recompensas necesitan reglas y recursos separados.
¿La comunicación debe esperar siempre a una solución?
No. El tiempo depende del riesgo, las medidas provisionales y las partes afectadas. Registre y revise la decisión.
¿Cuándo debe ayudar un coordinador?
Un coordinador puede ayudar cuando varios proveedores se ven afectados, un contacto no responde o se dificulta compartir un horario.
Referencias oficiales
Las referencias respaldan el método. Adapte los controles a su contexto; no constituyen certificación. Los títulos de referencia originales y los documentos fuente pueden estar en otro idioma.
