Política de gestión de vulnerabilidades del CRA
Las posibles vulnerabilidades que afecten a productos suministrados por Aisa pueden notificarse por correo electrónico a
Para cumplir con los requisitos del Reglamento de Ciberresiliencia (Cyber Resilience Act, CRA) y las mejores prácticas de ciberseguridad, Aisa ha establecido la política de gestión de vulnerabilidades que se describe a continuación.
Esta política se aplica, en particular, cuando:
- una parte externa notifica una posible vulnerabilidad que afecta a un producto suministrado por Aisa;
- se divulga públicamente una vulnerabilidad que afecta a un producto suministrado por Aisa;
- se identifica internamente una vulnerabilidad que afecta a un producto suministrado por Aisa.
¿Cómo notificar una vulnerabilidad?
Una vulnerabilidad, cuando se explota, podría afectar negativamente a la confidencialidad, integridad, disponibilidad o seguridad de los equipos suministrados por Aisa o de su entorno de producción.
Los problemas derivados exclusivamente de la configuración específica de una instalación o de la red del cliente, así como de credenciales de acceso comprometidas, no se consideran vulnerabilidades en el ámbito de esta política. No obstante, Aisa podrá responder a notificaciones relacionadas con este tipo de incidentes.
Se recomienda a cualquier persona que descubra una posible vulnerabilidad que afecte a un producto suministrado por Aisa que la notifique directamente a Aisa en
.
Siempre que sea posible, la notificación debe incluir:
- el producto Aisa afectado con su número de serie;
- una descripción de la vulnerabilidad y su posible impacto;
- evidencia relevante o prueba de concepto;
- si la vulnerabilidad ya ha sido divulgada;
- si la persona notificante está dispuesta a coordinar la divulgación con Aisa.
Para facilitar el envío de esta información:
Descargue nuestro formulario de notificación de vulnerabilidades (PDF, en inglés, 360 KB)
Gestión de vulnerabilidades
La política de gestión de vulnerabilidades de Aisa consta de cuatro fases principales. La comunicación con las entidades notificadoras relevantes, organizaciones coordinadoras y terceros tiene lugar durante todo el proceso.
- 1. Recepción
- 2. Verificación
- 3. Remediación
- 4. Publicación
1. Recepción
Requisitos
Acusar recibo de la notificación, establecer comunicación con la entidad notificadora, abrir ID de caso.
Resultados
- Acuse de recibo de la notificación
- ID de caso para la vulnerabilidad notificada
2. Verificación
Requisitos
Evaluar la exhaustividad de la notificación, comprobar la validez, reproducibilidad y aplicabilidad de la vulnerabilidad en el contexto del producto, evaluar el posible impacto de la vulnerabilidad notificada en el producto, determinar si es necesario coordinar el proceso con terceros.
Resultados
- Registro inicial de la vulnerabilidad y evaluación en el contexto del producto.
- Evidencia o casos de prueba que confirmen la vulnerabilidad.
- Evaluación de riesgos e impacto en el producto.
- Información de estado para las partes relevantes.
3. Remediación
Requisitos
Desarrollar y validar medidas adecuadas de remediación y/o mitigación, reevaluando la gravedad a medida que se disponga de nueva información.
Resultados
- Remediación validada, cuando proceda.
- Mitigaciones validadas o recomendaciones de reducción de riesgos, cuando proceda.
- Información de estado para las partes relevantes.
4. Publicación
Requisitos
Preparar un parche de seguridad, comunicar la información de seguridad apropiada y cerrar el proceso de gestión de vulnerabilidades.
Resultados
- Parche de seguridad e/o instrucciones de mitigación, cuando proceda.
- Un aviso de seguridad u otra notificación al cliente.
- Comunicación final a las partes relevantes.