Ciberseguridad
Reglamento de Ciberresiliencia de la UE
Seguridad de la información y gestión de vulnerabilidades
La seguridad de nuestros dispositivos de medición, sistemas conectados y soluciones de software es nuestra máxima prioridad. Con la entrada en vigor del Reglamento de Ciberresiliencia (CRA) europeo, los fabricantes de productos digitales y conectados están obligados a garantizar la ciberseguridad a lo largo de todo el ciclo de vida de los mismos. Un elemento fundamental de este reglamento es el establecimiento de un proceso estructurado para la gestión de vulnerabilidades, así como la puesta a disposición de un punto de contacto directo para la divulgación coordinada de vulnerabilidades (Coordinated Vulnerability Disclosure).
Para cumplir con este requisito, ofrecemos a los investigadores de seguridad, clientes y socios un canal fiable para comunicar de forma estructurada y confidencial los posibles riesgos de seguridad a nuestro equipo de seguridad.
Finalidad de este punto de contacto: qué se debe notificar aquí
Este punto de contacto sirve exclusivamente para recibir y tramitar notificaciones sobre vulnerabilidades de seguridad en nuestros productos.
- Dispositivos de medición y hardware: vulnerabilidades en el firmware, los protocolos de comunicación industrial, las interfaces de hardware o los controles de acceso físico de los componentes conectados en red
- Software y aplicaciones: errores relevantes para la seguridad en nuestras aplicaciones de escritorio, aplicaciones móviles, servicios en la nube, API o interfaces web
- Arquitectura y autenticación: formas de eludir las restricciones de acceso, procedimientos de autenticación o cifrado defectuosos, así como riesgo de ataques relacionados con la denegación de servicio (DoS)
Nota importante sobre la delimitación:
Esta dirección de correo electrónico no sustituye a nuestro servicio técnico habitual. Para consultas de asistencia técnica generales, dudas sobre el funcionamiento, reclamaciones o fallos de funcionamiento que no tengan relevancia para la seguridad informática, le rogamos que siga poniéndose en contacto con nuestro servicio de asistencia informática.
Notificar una vulnerabilidad
Envíe las notificaciones de seguridad por correo electrónico a: edv@esders.de
Para que podamos analizar y reproducir su informe lo antes posible, le rogamos que incluya la siguiente información en su mensaje:
- Producto afectado: Denominación exacta del modelo, revisión del hardware, número de serie (si procede) y versión del software o del firmware
- Tipo de vulnerabilidad: Clasificación breve
- Pasos para reproducirla: Descripción clara
- Evaluación de la gravedad: Su valoración del riesgo o de la posibilidad de explotación
- Datos de contacto: Datos para ponernos en contacto con usted en caso de dudas, así como para coordinar posteriormente la publicación
Nuestro procedimiento (divulgación coordinada de vulnerabilidades)
Tratamos todas las notificaciones recibidas de forma confidencial y de acuerdo con los principios de gestión responsable de las vulnerabilidades.
- Confirmación de recepción: Recibirá una confirmación de la recepción de su notificación en un plazo de 3 días laborables.
- Verificación y corrección: Nuestro equipo de seguridad analiza el hallazgo y elabora lo antes posible las medidas correctivas correspondientes (por ejemplo, actualizaciones de firmware, parches o soluciones provisionales).
- Colaboración: Mantenemos un diálogo transparente con la parte que ha notificado la vulnerabilidad y procuramos llegar a un acuerdo sobre su publicación tan pronto como estén disponibles medidas de protección eficaces para nuestros usuarios.
- Protección jurídica: Renunciamos a emprender acciones legales contra aquellas personas que, de buena fe y de acuerdo con los principios éticos, investiguen vulnerabilidades, no causen daños y nos comuniquen su detección de forma confidencial y con antelación.
