Política de divulgación coordinada de vulnerabilidades
En EAS queremos conocer cuanto antes cualquier vulnerabilidad de seguridad en nuestras máquinas y controladores Atlantis PCT para corregirla y proteger a nuestros usuarios. Aquí le explicamos cómo comunicarnos un posible fallo de forma responsable y coordinada, y a qué nos comprometemos a cambio.
Reportar una vulnerabilidadProductos incluidos
Esta política se aplica a las siguientes máquinas y controladores, y al software que los integra, durante su período de soporte.
1.Cómo reportar una vulnerabilidad
Utilice nuestro punto de contacto único para asuntos de ciberseguridad. Para que podamos analizar el caso con rapidez, incluya la información indicada.
Toda la información recibida se trata de forma confidencial y se gestiona conforme a esta política.
- Máquina afectada
- Modelo de controlador Atlantis PCT
- Versión de software, firmware o PLC
- Descripción detallada de la vulnerabilidad
- Pasos para reproducir el problema
- Impacto potencial sobre la seguridad, disponibilidad o integridad del sistema
- Evidencias técnicas disponibles (capturas, registros, prueba de concepto)
- Medidas de mitigación conocidas
2.Nuestros compromisos
Cuando recibimos un reporte, en EAS nos comprometemos a:
Responder
Acusar recibo en un plazo razonable y mantener un canal de diálogo abierto con quien reporta.
Evaluar y corregir
Analizar el fallo, determinar su gravedad y trabajar en una corrección.
Informar
Comunicar a quien reporta la evolución y la resolución del caso.
Proteger
No emprender acciones legales contra quien investigue e informe de buena fe conforme a esta política, sin acceder a datos ajenos más allá de lo necesario ni causar daño.
Reconocer
Agradecer públicamente la contribución de quien reporta, si así lo desea.
3.Lo que pedimos a quien reporta
Para que la colaboración sea segura para todos, le pedimos que:
Actúe de buena fe
No aproveche el fallo más allá de lo necesario para demostrarlo, ni acceda, modifique o borre datos de terceros.
Mantenga la confidencialidad
No divulgue públicamente la vulnerabilidad hasta que EAS la haya corregido y se acuerde conjuntamente el momento de hacerla pública.
Respete la ley
Cumpla la legalidad vigente y respete la privacidad durante toda la investigación.
4.Proceso de coordinación y publicación
Así gestionamos cada vulnerabilidad, desde que la recibimos hasta que la solución llega a los usuarios.
Recepción
Recibimos el aviso por el canal de seguridad y confirmamos su recepción.
Análisis
EAS analiza y clasifica el fallo según su gravedad.
Corrección
Desarrollamos y validamos la actualización de seguridad.
Publicación coordinada
Con la corrección disponible, informamos sobre la vulnerabilidad solucionada y ponemos la actualización a disposición de los usuarios. La publicación puede aplazarse si divulgarla supone más riesgo que beneficio, hasta que los usuarios puedan aplicar el parche.
Notificación oficial
Si la vulnerabilidad se está aprovechando activamente o constituye un incidente grave, EAS notificará además al CSIRT y a ENISA, según el artículo 14 del Reglamento (UE) 2024/2847, y avisará a los usuarios afectados.
Anexo 1 · Reporte de vulnerabilidad
Copie esta estructura en su correo a security@escarre.com.
| Campo | Qué indicar |
|---|---|
| Datos de contacto | Nombre, empresa (si aplica), correo electrónico y teléfono. |
| Máquina afectada | TecnoMix, TecnoDos o TecnoSal (y número de serie, si lo conoce). |
| Controlador Atlantis PCT | PCT-300, PCT-310, PCT-315, PCT-320 o PCT-925. |
| Versión | Versión de software, firmware o PLC. |
| Descripción | Explicación detallada de la vulnerabilidad. |
| Pasos para reproducirla | Secuencia de acciones necesaria para reproducir el problema. |
| Impacto potencial | Efecto sobre la seguridad, la disponibilidad o la integridad del sistema. |
| Evidencias | Capturas, registros (logs) o prueba de concepto. |
| Mitigación | Medidas temporales conocidas para reducir el riesgo. |
| Reconocimiento público | Indique si desea aparecer como autor del reporte (Sí / No). |
¿Ha detectado un posible fallo de seguridad?
Escríbanos. Cuanto antes lo sepamos, antes podremos proteger a todos los usuarios.
security@escarre.com