Saltar al contenido
CBRT · DIVULGACIÓN COORDINADA

Política de divulgación de vulnerabilidades

Cybersecurity Blue & Red Team (“CBRT”, “nosotros” o “nuestro”) se compromete a mejorar la seguridad del ecosistema digital a través de la investigación responsable de vulnerabilidades, la divulgación coordinada y la colaboración constructiva con proveedores, mantenedores, clientes y la comunidad de seguridad. Esta Política explica cómo CBRT recibe, maneja, coordina y publica información sobre vulnerabilidades.

Estado como CNA. CBRT ha solicitado incorporarse al Programa CVE como CNA (CVE Numbering Authority); a la fecha, la solicitud está en proceso. Las disposiciones de esta Política sobre la reserva, asignación y publicación de ID de CVE aplicarán una vez que CBRT sea autorizada e incluida en la Lista de Socios (List of Partners) del Programa CVE; hasta entonces describen cómo CBRT operará como CNA. La recepción y coordinación de reportes de vulnerabilidad descritas aquí están vigentes desde ya.

Propósito

Los objetivos de esta Política son:

Reporte de una Vulnerabilidad

CBRT acepta informes de vulnerabilidades del público, incluyendo investigadores independientes, clientes, proveedores y otros terceros que actúen de buena fe. Envíe los informes a:

Por favor, incluya, cuando sea posible:

Tiempos de respuesta. CBRT acusa recibo de un informe dentro de tres (3) días hábiles. Para los informes que caen dentro del alcance de CNA de CBRT, respondemos a la solicitud de asignación de CVE dentro de cinco (5) días hábiles. Las solicitudes de otra CNA o de un Root relativas al derecho de primera opción (right of first refusal) sobre una vulnerabilidad dentro del alcance de CBRT se atienden dentro de las setenta y dos (72) horas, conforme a las Reglas de la CNA. Podemos solicitar detalles adicionales para validar o coordinar el problema. Cuando asignamos una ID de CVE a una vulnerabilidad que usted reportó, le proporcionamos esa ID de CVE.

Alcance

Esta Política cubre dos categorías de vulnerabilidades.

1. Vulnerabilidades que afectan a los sistemas propiedad de CBRT. CBRT acepta informes relacionados con vulnerabilidades que afectan a sistemas, servicios, aplicaciones o activos propiedad y operados por CBRT, donde dichas pruebas se realizaron de buena fe y de acuerdo con esta Política.

2. Vulnerabilidades descubiertas por CBRT, o reportadas a CBRT para coordinación, en productos de terceros. Esta Política también se aplica a las vulnerabilidades que CBRT descubre mediante investigación independiente o actividades de evaluación autorizadas, o que terceros nos reportan de buena fe para su coordinación, en software, productos, plataformas, dispositivos o servicios de terceros, siempre que:

Para las vulnerabilidades identificadas durante compromisos con clientes o evaluaciones privadas, CBRT seguirá el contrato aplicable, los límites de autorización y las obligaciones de confidencialidad. CBRT no divulgará ni publicará tales problemas sin la autorización requerida, a menos que la ley o el contrato lo permitan.

Productos al Final de su Vida Útil (End-of-Life)

CBRT puede asignar ID de CVE para vulnerabilidades en productos al final de su vida útil (End-of-Life) o sin soporte que ya no reciben mantenimiento, cuando el producto afectado cae dentro del alcance de CBRT y no está cubierto por otra CNA cuyo alcance se aplique de forma más específica. CBRT etiqueta dichos registros como unsupported-when-assigned de acuerdo con las Reglas de la CNA.

Actividades de Prueba Prohibidas

Al probar activos propiedad de CBRT bajo esta Política, no realice:

Casos en los que CBRT No Asignará un CVE

CBRT puede negarse a procesar, publicar o asignar ID de CVE para:

Investigación de Buena Fe y Puerto Seguro

CBRT apoya la investigación de seguridad de buena fe destinada a mejorar la seguridad y proteger a los usuarios. Si usted actúa de buena fe y cumple con esta Política, CBRT considerará su investigación como autorizada y no iniciará acciones legales en su contra por sus actividades de prueba en activos propiedad de CBRT. Esto se aplica cuando sus actividades se limitan a lo que es razonablemente necesario para identificar e informar una vulnerabilidad y usted evita causar daño a usuarios, sistemas o datos.

Para calificar para este puerto seguro, usted debe:

Este puerto seguro se aplica solo a actividades dirigidas a activos propiedad de CBRT y no vincula a proveedores externos, proveedores de servicios, clientes u otras organizaciones. Si su investigación involucra sistemas de terceros, debe asegurarse de tener la autorización adecuada del propietario relevante.

Principios de Divulgación

CBRT sigue un modelo de divulgación coordinada de vulnerabilidades. Nuestro objetivo es equilibrar la protección del usuario, el tiempo de remediación, la transparencia y la equidad para las partes afectadas.

Nuestro plazo de divulgación predeterminado es de noventa (90) días a partir de la notificación inicial al proveedor, mantenedor, cliente, propietario del producto o propietario interno afectado. Este plazo puede extenderse cuando hay un esfuerzo de remediación activo y el cliente, proveedor o propietario del producto solicita tiempo adicional por una razón justificada. CBRT también puede acortar el plazo cuando la divulgación temprana es necesaria para proteger a los usuarios, incluidos los casos que involucran explotación activa, exposición significativa o riesgo público urgente.

Proceso de Divulgación

Cuando CBRT recibe o descubre una vulnerabilidad no publicada previamente, generalmente seguimos este proceso:

  1. Validación y clasificación: Revisamos el informe, validamos el problema, evaluamos el impacto, identificamos los productos o activos afectados y determinamos si el informe está dentro del alcance.
  2. Acuse de recibo inicial: Acusamos recibo y podemos solicitar aclaraciones, pruebas o detalles de reproducción.
  3. Notificación a la parte afectada: Si el problema afecta a un proveedor, mantenedor, cliente o propietario de producto de terceros, CBRT hará esfuerzos razonables para notificar a la parte apropiada a través de un contacto de seguridad establecido u otro canal confiable.
  4. Período de coordinación: CBRT trabaja con las partes interesadas relevantes para apoyar la validación, remediación, evaluación de la gravedad, gestión del cronograma y planificación de la divulgación.
  5. Manejo de CVE: Si el problema es elegible y cae dentro del alcance de CBRT como CNA, CBRT puede reservar o asignar una ID de CVE. Si el alcance de otra CNA se aplica de forma más específica, CBRT puede diferir o coordinar con esa CNA.
  6. Aviso público: Al final del período de coordinación, o antes cuando esté justificado, CBRT publica un aviso público.
  7. Actualizaciones posteriores a la divulgación: Los avisos pueden actualizarse para reflejar nuevas versiones, disponibilidad de parches, declaraciones del proveedor, cambios de gravedad, versiones adicionales afectadas u otras correcciones relevantes.

Cronograma Predeterminado

A menos que se justifique un cronograma diferente, CBRT generalmente sigue este cronograma:

CBRT puede extender el cronograma más allá de los 90 días cuando un cliente, proveedor o propietario de producto solicita más tiempo y hay un esfuerzo de remediación legítimo en curso. CBRT puede divulgar antes cuando la seguridad pública o la explotación activa justifiquen una publicación anterior.

Publicación del Registro CVE

Una vez que se divulga públicamente una vulnerabilidad con una ID de CVE asignada por CBRT, CBRT publica el Registro CVE correspondiente de forma oportuna, y dentro de las 72 horas de la divulgación pública, conforme a las Reglas de la CNA. CBRT publica o actualiza el Registro CVE dentro de las 72 horas si tiene conocimiento de que un tercero ha divulgado públicamente una vulnerabilidad vinculada a una ID de CVE que CBRT asignó.

Asignación de CVE

Al operar dentro de su alcance como CNA, CBRT puede reservar y publicar Registros CVE para vulnerabilidades elegibles. CBRT generalmente asignará CVE solo cuando:

CBRT reserva o asigna una ID de CVE únicamente cuando se espera la divulgación pública de la vulnerabilidad. Si una ID de CVE asignada finalmente no puede divulgarse públicamente — por ejemplo, debido a una restricción contractual o legal — CBRT rechazará esa ID de CVE en lugar de dejarla asignada pero sin divulgar.

Para productos cubiertos por otra CNA cuyo alcance se aplique de forma más específica, CBRT puede diferir la asignación de CVE a esa CNA o coordinar con ellos según corresponda. Los desacuerdos sobre una determinación, asignación o contenido de un registro se manejan a través de la Política y el Procedimiento del Programa CVE para Disputar un Registro CVE.

Publicación de Avisos

CBRT publica avisos en:

Los avisos públicos están disponibles de forma gratuita, sin registro, inicio de sesión ni términos de uso restrictivos, y pueden incluir:

CBRT puede publicar material de prueba de concepto cuando se considere responsable y útil para la validación, remediación o uso defensivo. CBRT puede retener o limitar los detalles de explotación cuando la publicación cree un riesgo innecesario.

Reconocimiento

CBRT puede reconocer a los investigadores que envían informes válidos, a menos que el reportero solicite anonimato o que las restricciones legales, contractuales u operativas impidan el reconocimiento público.

Ubicación de la Política y Contacto

Cambios

CBRT puede actualizar esta Política de vez en cuando para reflejar los requisitos operativos, legales, contractuales o del programa. La versión más actual se publicará en la URL de la política anterior.

← Volver al portal · Última actualización: 9 de octubre de 2026