Política de divulgación responsable
Digi International Inc. se esfuerza por garantizar que nuestros clientes confíen en la seguridad de nuestros productos y servicios. Si ha descubierto una vulnerabilidad de seguridad en Digi.com o en cualquier Producto o Servicio de la marca Digi, le solicitamos que nos la comunique de acuerdo con esta Norma de Divulgación Responsable.
Para ofrecer un mecanismo seguro a nuestra base de clientes e investigadores, nos asociamos con Bugcrowd Inc. ("Bugcrowd") y aprovechamos su plataforma del Programa de Divulgación de Vulnerabilidades. Tras la validación de un envío, Digi corregirá las vulnerabilidades de acuerdo con nuestras normas de gestión de riesgos para mantener el compromiso con la confidencialidad, integridad y disponibilidad de nuestra infraestructura y productos.
Para notificar una presunta vulnerabilidad, envíe información detallada mediante el formulario que encontrará al final de esta página. Revise la sección de datos del informe de envío de vulnerabilidades para obtener sugerencias sobre qué proporcionar para los detalles del caso.
Decoro de seguridad
A continuación se describen el comportamiento esperado, la etiqueta y los principios que rigen las interacciones en el contexto de las actividades relacionadas con la seguridad para participar en nuestro programa de divulgación de vulnerabilidades.
- Cumpla siempre las normas de protección de datos y no viole la privacidad de nuestros usuarios, personal, contratistas, servicios o sistemas.
- Por ejemplo, no debe compartir, redistribuir o no proteger correctamente los datos recuperados de los sistemas o servicios.
- No debe acceder, descargar ni modificar datos que no le pertenezcan.
- No divulgue al público ni a terceros ninguna vulnerabilidad identificada o supuesta que se aborde en su envío sin el consentimiento expreso por escrito de Digi.
- Elimine de forma segura todos los datos recuperados durante su investigación tan pronto como ya no sean necesarios o en el plazo de un mes desde la resolución de la vulnerabilidad, lo que ocurra primero (o según exija la ley de protección de datos).
Ciclo de vida de la comunicación de presentación
El equipo de seguridad de Digi se compromete a coordinarse con el investigador de la forma más transparente y rápida posible. El ciclo de vida de la presentación incluye lo siguiente:
- El investigador o cliente envía el formulario siguiendo nuestra Norma y Programa de Divulgación de Vulnerabilidades.
- Toda comunicación con Digi acerca de la vulnerabilidad presentada se realizará a través del correo electrónico proporcionado en la presentación de la plataforma de divulgación de vulnerabilidades de Bugcrowd. (Nota: Para comunicarse con Digi y el equipo de seguridad de Bugcrowd, debe reclamar la presentación a través de una validación de correo electrónico enviada a su correo electrónico desde Bugcrowd).
- El equipo de seguridad de Digi encargado de la coordinación de vulnerabilidades acusará recibo de las posibles vulnerabilidades en un plazo de cuatro días desde su notificación. En el caso de las vulnerabilidades de día cero, acusaremos recibo de las posibles vulnerabilidades de día cero en un plazo de 24 horas desde su notificación.
- El equipo de seguridad de Digi se especifica como Digi_Sec_(nombre del miembro del personal de Digi) en la cadena de comunicación y actualizará continuamente al remitente a lo largo del ciclo de vida de la vulnerabilidad.
- Bugcrowd y el equipo de seguridad de Digi evaluarán la vulnerabilidad basándose en nuestro sistema de clasificación de riesgos.
- Una vez determinada la validez de la vulnerabilidad, se clasificará según el proceso de gestión del ciclo de vida del equipo de producto. Los resultados pueden requerir la adopción de medidas de acuerdo con las políticas de parches de Digi, que se pueden consultar aquí: https://www.digi.com/resources/security/security-policies
- Para consultar las declaraciones de asistencia de todos los demás productos, incluida la información sobre los productos al final de su vida útil ("EOL"), visite: https://www.digi.com/support/support-policy
Informes reglamentarios — Ley de ciberresiliencia de la UE, artículo 14
Además del ciclo de vida de las notificaciones descrito anteriormente, Digi International está sujeta a las obligaciones de notificación establecidas en el artículo 14 del Reglamento (UE) 2024/2847 (la «Ley de Resiliencia Cibernética» o «CRA») en lo que respecta a los productos de Digi con elementos digitales comercializados en el mercado de la Unión Europea. Estas obligaciones se aplicarán a partir del 11 de septiembre de 2026. En esta sección se describen únicamente las obligaciones de notificación de Digi; no modifica los procesos de presentación, clasificación o corrección establecidos en otras secciones de la presente Norma.
Hechos que deben comunicarse
El artículo 14 exige a Digi que notifique simultáneamente al CSIRT designado como coordinador y a la ENISA, a través de la plataforma única de notificación establecida en virtud del artículo 16 de la CRA, tan pronto como tenga conocimiento de cualquiera de las siguientes circunstancias:
- Una vulnerabilidad que se está explotando activamente y que se encuentra en un producto de Digi con elementos digitales.
- Un incidente grave que afecte a la seguridad de un producto de Digi que contenga elementos digitales. De conformidad con el artículo 14, apartado 5, un incidente se considera grave cuando afecta negativamente, o puede afectar negativamente, a la capacidad del producto para proteger la disponibilidad, la autenticidad, la integridad o la confidencialidad de datos o funciones sensibles o importantes; o cuando ha dado lugar, o puede dar lugar, a la introducción o ejecución de código malicioso en el producto o en la red y los sistemas de información de un usuario del producto.
Plazos de presentación de informes
Todos los plazos comienzan a contar a partir del momento en que Digi tiene conocimiento del hecho que da lugar a la solicitud.
En el caso de una vulnerabilidad que se esté explotando activamente (artículo 14, apartado 2):
- Notificación de alerta temprana: sin demoras indebidas y, en cualquier caso, en un plazo de 24 horas desde que Digi tenga conocimiento del hecho, indicando, cuando proceda, los Estados miembros en cuyo territorio Digi tenga constancia de que se ha puesto a la venta el producto afectado.
- Notificación de vulnerabilidades: sin demoras indebidas y, en cualquier caso, en un plazo de 72 horas desde que Digi tenga conocimiento de la misma, facilitando la información general disponible sobre el producto afectado, la naturaleza general del ataque y de la vulnerabilidad, las medidas correctivas o de mitigación adoptadas, las medidas correctivas o de mitigación que puedan adoptar los usuarios y, en su caso, una indicación del grado de confidencialidad que Digi atribuye a la información notificada.
- Informe final: a más tardar 14 días después de que se haya puesto a disposición una medida correctiva o mitigadora, que incluya, como mínimo, una descripción de la vulnerabilidad, así como su gravedad e impacto; cuando se disponga de ella, información relativa a cualquier actor malintencionado que haya aprovechado o esté aprovechando la vulnerabilidad; y detalles sobre la actualización de seguridad u otras medidas correctivas puestas a disposición para subsanar la vulnerabilidad.
En caso de incidente grave (artículo 14, apartado 4):
- Notificación de alerta temprana: sin demoras indebidas y, en cualquier caso, en un plazo de 24 horas desde que Digi tenga conocimiento del hecho, indicando, como mínimo, si se sospecha que el incidente ha sido causado por actos ilícitos o maliciosos y, cuando proceda, los Estados miembros en cuyo territorio Digi tenga constancia de que se ha comercializado el producto afectado.
- Notificación de incidentes: sin demoras indebidas y, en cualquier caso, en un plazo de 72 horas desde que Digi tenga conocimiento del mismo, facilitando información general, cuando esté disponible, sobre la naturaleza del incidente, una evaluación inicial del mismo, las medidas correctivas o de mitigación adoptadas, las medidas correctivas o de mitigación que puedan adoptar los usuarios y, cuando proceda, una indicación del grado de confidencialidad que Digi atribuye a la información notificada.
- Informe final: en el plazo de un mes a partir de la presentación de la notificación del incidente, que incluya, como mínimo, una descripción detallada del incidente, así como su gravedad y repercusiones; el tipo de amenaza o la causa raíz que probablemente haya provocado el incidente; y las medidas de mitigación aplicadas y en curso.
Cuando el CSIRT designado como coordinador y que recibe inicialmente una notificación así lo solicite, Digi facilitará un informe provisional sobre las novedades pertinentes, tal y como se establece en el artículo 14, apartado 6.
Notificación a los usuarios
Tras tener conocimiento de una vulnerabilidad que esté siendo explotada activamente o de un incidente grave que afecte a la seguridad de un producto con elementos digitales, Digi informará a los usuarios afectados por dicho producto —y, cuando proceda, a todos los usuarios— de la vulnerabilidad o del incidente y, en caso necesario, de las medidas correctivas y de mitigación de riesgos que los usuarios puedan aplicar para mitigar su impacto; cuando proceda, lo hará en un formato estructurado y legible por máquina que permita un procesamiento automático sencillo, tal y como se establece en el artículo 14, apartado 8.
Repercusiones para los solicitantes
- La información facilitada en una presentación con arreglo a la presente Norma podrá ser utilizada por Digi para elaborar y respaldar las notificaciones exigidas en virtud del artículo 14.
- Las notificaciones de Digi en virtud del artículo 14 se remiten de forma confidencial al CSIRT designado y a la ENISA, y no constituyen una divulgación pública. Las normas de confidencialidad establecidas en la sección «Normas de seguridad» siguen siendo de aplicación para quienes envían las notificaciones, salvo que Digi dé su consentimiento expreso por escrito para su divulgación.
- Los plazos previstos en el artículo 14 comienzan a contar a partir del momento en que Digi tenga conocimiento de un hecho relevante, con independencia de los compromisos de notificación descritos en la sección «Ciclo de vida de la comunicación de presentación».
- Si dispone de pruebas de que se está aprovechando activamente una vulnerabilidad, le rogamos que lo indique de forma clara y destacada al principio de su notificación, para que Digi pueda evaluar sin demora la obligación de alerta temprana de 24 horas.
Cómo marcar una presentación a la CRA
Si tu notificación se refiere a un producto de Digi con elementos digitales disponibles en el mercado de la Unión Europea y consideras que puede estar relacionada con una vulnerabilidad que se está explotando activamente o con un incidente grave, tal y como se ha descrito anteriormente, envíala de manera que el equipo de seguridad de Digi pueda identificarla de inmediato:
- Destino: selecciona «Cyber Resilience Act (CRA)» en el menú desplegable «Destino» del formulario de envío integrado de Bugcrowd.
- Título resumido: incluya el texto «Ley de Resiliencia Cibernética (CRA)» en el título resumido de su propuesta, junto con la breve descripción habitual del tema.
Seleccionar el objetivo de la CRA e incluir «Ley de Resiliencia Cibernética (CRA)» en el título resumido no modifica la forma en que se clasifica o evalúa la presentación con arreglo a la presente norma. Permite a Digi evaluar sin demora los plazos de notificación previstos en el artículo 14.
Tipos de presentación incluidos
- Vulnerabilidades de la lógica empresarial
- OWASP Top 10
- Divulgación de información
- Exposición de datos
- Problemas de autorización/autenticación
- Se puede enviar cualquier cosa fuera de la lista anterior que pueda afectar o afecte actualmente a la confidencialidad, integridad o disponibilidad de los sistemas, servicios o propiedad de Digi.
Datos del informe de presentación de vulnerabilidades
La siguiente información ayudaría mejor al equipo de seguridad de Digi y Bugcrowd a validar y triar la vulnerabilidad.
- Nombre del producto o servicio, URL o versión del firmware afectado
- Sistema operativo de los componentes implicados
- Información sobre la versión
- Descripción técnica, lo más detallada posible, de las acciones realizadas y de su resultado.
- Código de ejemplo utilizado para probar o demostrar la vulnerabilidad
- Información de contacto del periodista
- Otras partes implicadas, si procede
- Planes de divulgación
- Evaluación de la amenaza/riesgo Detalles de las amenazas identificadas y/o nivel de riesgo (P1(Crítico)P2(Grave) P3(Moderado)P4(Bajo)P5(Informativo))
- Configuración de software del ordenador o configuración del dispositivo en el momento de descubrir la vulnerabilidad
- Información pertinente sobre los componentes conectados y el momento en que se produce la vulnerabilidad (por ejemplo, un componente o dispositivo secundario desencadena la vulnerabilidad)
- Fecha y hora del descubrimiento
- Información sobre el navegador, incluido el tipo y la versión, si procede
- Cualquier prueba o indicio de que la vulnerabilidad está siendo explotada de forma activa, incluidas las fechas observadas, los indicadores de compromiso y el impacto observado.
Sistema de clasificación de riesgos
Para la priorización/clasificación inicial de los hallazgos, este programa utilizará la taxonomía de clasificación de vulnerabilidades de Bugcrowd. Sin embargo, en algunos casos, la prioridad de una vulnerabilidad se modificará debido a su probabilidad o impacto. En todos los casos en que se rebaje la prioridad de un problema, se proporcionará al investigador una explicación completa y detallada, junto con la oportunidad de apelar y argumentar a favor de una prioridad más alta. Antes de enviar información sobre la evaluación de riesgos, tenga en cuenta el desglose de gravedad que seguimos con la plataforma de Bugcrowd:
- P1 Crítico: El problema identificado en el envío tiene la máxima prioridad y debe asignarse a los bloqueos importantes. Normalmente, los envíos con una prioridad P1 clasificados como bloqueadores importantes hacen que la aplicación no se pueda utilizar, tienen el potencial de interrumpir las operaciones empresariales y requieren atención inmediata.
- P2 Grave: Este problema identificado en la presentación no es crítico pero afecta significativamente a la aplicación.
- P3 Moderado: El envío no presenta un problema crítico o grave, pero sí descubre un fallo en la aplicación que debe solucionarse.
- P4 Bajo: Esta presentación tiene la prioridad más baja y representa un problema menor.
- P5 Informativo: Esta presentación puede proporcionar información sospechosa, pero no concluyente si plantea algún riesgo.
Las clasificaciones de prioridad internas de Digi recogidas en esta sección se utilizan para la clasificación de incidencias y la planificación de las medidas correctoras. Son independientes de los umbrales establecidos en el artículo 14 para una vulnerabilidad explotada activamente o un incidente grave, tal y como se describe en la sección «Informes reglamentarios», y no determinan si un evento cumple dichos umbrales.
Acciones prohibidas
Las siguientes acciones están prohibidas en virtud de esta norma. Digi International se reserva todos los derechos legales si realiza alguna de estas actividades prohibidas.
- Queda terminantemente prohibido realizar pruebas en los siguientes subdominios: https://my.digi.com, https://shop.digi.com y https://partner.digi.com. Revisa la descripción del programa y ponte en contacto con el servicio de asistencia de Bugcrowd si tienes alguna duda.
- Está estrictamente prohibido abrir casos de soporte en nuestro sitio web. Consulta el resumen del programa y ponte en contacto con el servicio de asistencia de Bugcrowd si tienes alguna pregunta.
- Denegación de servicio (DoS) y denegación de servicio distribuida (DDoS)
- Si se descubre una vulnerabilidad que permita realizar un ataque de tipo DoS o DDoS, envíe la información descubierta pero no realice el ataque.
- Las pruebas DoS contra productos de Digi International propiedad exclusiva del investigador o cliente son aceptables si se realizan en una red propiedad y operada por un investigador o cliente.
- Informes de spam o solicitudes
- Informes sobre phishing, vishing y spear phishing
- Informes de ingeniería social
- Puertos abiertos sin una demostración o prueba de concepto de vulnerabilidad
- Hallazgos generados por herramientas automatizadas sin una explicación detallada sobre qué partes son vulnerables y cómo podría explotarse la vulnerabilidad