Objetivo:
O objetivo desta política é estabelecer um processo claro e transparente para a divulgação de vulnerabilidades nos sistemas e aplicações da ATISoluciones.
Âmbito:
Esta política aplica-se a todos os trabalhadores, empresas contratadas, fornecedores, investigadores e terceiros que tenham conhecimento de qualquer vulnerabilidade nos sistemas e aplicações da ATISoluciones.
Processo de Divulgação:
1. Identificação de Vulnerabilidades:
Qualquer trabalhador, empresa contratada, fornecedor, terceiro ou investigador que descubra uma vulnerabilidade nos sistemas e aplicações da ATISoluciones deve comunicá-la de imediato à equipa de segurança da informação.
2. Comunicação de Vulnerabilidades:
As vulnerabilidades devem ser comunicadas à equipa de segurança da informação através do seguinte canal de comunicação, mediante o envio de um e-mail para o endereço cve@atisoluciones.com.
A comunicação deve incluir informações completas e precisas sobre a vulnerabilidade descoberta, incluindo a descrição, o impacto potencial, os passos detalhados para a reproduzir e qualquer outra informação relevante.
A ATISoluciones admitirá testes de segurança que:
- Sejam realizados de forma a proteger a segurança e a privacidade de todos os nossos clientes e parceiros.
- Sejam realizados exclusivamente dentro do âmbito definido nesta política.
- Facultem à ATISoluciones todos os pormenores do problema de segurança no momento da divulgação.
- Deem à ATISoluciones a oportunidade de tomar medidas corretivas antes da revelação pública da vulnerabilidade ou da sua revelação a terceiros.
- Cumpram as leis e regulamentos aplicáveis às atividades de testes de segurança.
3. Avaliação e Priorização:
- A equipa de segurança da informação avaliará cada comunicação de vulnerabilidade recebida para determinar a sua validade e gravidade.
- As vulnerabilidades serão priorizadas de acordo com o seu impacto potencial na segurança dos sistemas e da informação da empresa.
4. Comunicação da Divulgação:
- Depois de avaliada e validada a vulnerabilidade, o descobridor será notificado do resultado da avaliação.
- Será feita a coordenação com a equipa de desenvolvimento ou com os fornecedores de software para desenvolver e aplicar as correções (patches) ou soluções necessárias.
5. Divulgação aos clientes:
- A ATISoluciones informará prioritariamente todos os seus clientes afetados pela referida vulnerabilidade (bem como das orientações a seguir para a corrigir/eliminar) com 15 dias de antecedência em relação à divulgação pública da mesma, a fim de oferecer uma margem de tempo de cortesia para a sua correção.
6. Divulgação Pública:
- Será feita uma divulgação pública da vulnerabilidade depois de desenvolvidas e aplicadas as soluções correspondentes, desde que tal não comprometa a segurança dos sistemas.
- A divulgação pública será realizada de forma coordenada e responsável, seguindo as melhores práticas de divulgação de vulnerabilidades, sendo publicada em https://www.atisoluciones.com/incidentes-cve
Confidencialidade:
Todas as comunicações relacionadas com a divulgação de vulnerabilidades serão tratadas de forma confidencial, e a identidade do descobridor será protegida, se assim o solicitar.
Revisão e Atualização:
Esta política será revista e atualizada periodicamente pela equipa de segurança da informação para garantir a sua eficácia e pertinência. Do mesmo modo, a ATISoluciones reserva-se o direito de a atualizar sem aviso prévio.
Aprovação:
Esta política foi aprovada pela ATISoluciones em 09/05/2024
