Política de divulgación coordinada de vulnerabilidades
1. Objetivo y principio
La seguridad de nuestros componentes para ascensores, en particular de nuestros elementos de mando y visualización y paneles de mando, constituye para nosotros la máxima prioridad.
Esta política describe nuestro proceso estructurado para la notificación y gestión de vulnerabilidades. Su objetivo es permitir que las vulnerabilidades nos sean notificadas de forma que podamos examinarlas, evaluarlas y subsanarlas antes de que se divulgue información detallada sobre ellas a terceros o al público.
2. Ámbito de aplicación
Esta política se aplica a todos los productos con elementos digitales que introducimos o ponemos a disposición en el mercado, incluidos sus componentes de hardware y software.
También comprende las notificaciones de posibles vulnerabilidades en componentes de terceros cuando dichos componentes formen parte de nuestros productos con elementos digitales.
3. Canales de notificación y punto de contacto único
Hemos designado un punto de contacto único, fácilmente identificable por los usuarios y los investigadores de seguridad, para permitir una comunicación directa y rápida y facilitar la notificación de vulnerabilidades de nuestros productos con elementos digitales.
Contacto para la notificación de vulnerabilidades:
Las vulnerabilidades pueden notificarse por correo electrónico a la siguiente dirección:
Notificación anónima e indirecta:
Las vulnerabilidades pueden notificarse directamente a nosotros o de forma indirecta y, cuando así se solicite, anónimamente, a través de los CSIRT nacionales (Computer Security Incident Response Teams) designados como coordinadores a efectos de la divulgación coordinada de vulnerabilidades de conformidad con el artículo 12, apartado 1, de la Directiva (UE) 2022/2555.
4. Proceso de gestión de vulnerabilidades y confidencialidad
Análisis, evaluación y subsanación:
Tras recibir una notificación, analizamos y evaluamos la vulnerabilidad notificada. En función de los riesgos para el producto con elementos digitales afectado, abordamos y subsanamos las vulnerabilidades sin demora.
Confidencialidad y divulgación coordinada:
Con el fin de proteger a nuestros usuarios, en particular a los operadores de ascensores y los pasajeros, solicitamos a los investigadores de seguridad y a las demás personas u organizaciones que realicen una notificación que no divulguen públicamente información detallada sobre una vulnerabilidad notificada antes de que hayamos tenido la oportunidad de examinarla, evaluarla y subsanarla y, cuando proceda, de poner a disposición medidas correctoras adecuadas.
Nuestro objetivo es una divulgación coordinada que permita tanto una subsanación eficaz como una información adecuada a los usuarios afectados.
Actualizaciones de seguridad:
Cuando sea necesario para subsanar o mitigar una vulnerabilidad, desarrollamos y distribuimos los parches o las actualizaciones de seguridad adecuados durante el período de soporte aplicable al producto correspondiente.
Las actualizaciones de seguridad se distribuyen sin demora y de forma gratuita, salvo que se acuerde lo contrario entre nosotros y un usuario empresarial en relación con un producto con elementos digitales hecho a medida. Se acompañan de avisos y de la información pertinente, incluidas, cuando proceda, las posibles medidas que deba adoptar el usuario.
Cuando sea técnicamente viable, las nuevas actualizaciones de seguridad se proporcionan por separado de las actualizaciones de funcionalidad. Utilizamos mecanismos adecuados para permitir la distribución segura de las actualizaciones.
Información y divulgación pública:
Una vez que esté disponible una actualización de seguridad, compartimos y divulgamos públicamente información adecuada sobre la vulnerabilidad solucionada. Dicha información puede incluir, en particular:
- una descripción de la vulnerabilidad,
- información que permita a los usuarios identificar el producto con elementos digitales afectado,
- las repercusiones de la vulnerabilidad,
- su gravedad, y
- información clara y accesible que ayude a los usuarios a subsanar o mitigar la vulnerabilidad.
En casos debidamente justificados, cuando los riesgos para la seguridad derivados de la publicación superen los beneficios en materia de seguridad, podremos retrasar la divulgación pública de información sobre una vulnerabilidad solucionada hasta que se haya dado a los usuarios una oportunidad adecuada de aplicar el parche o la actualización de seguridad correspondiente.
5. Disponibilidad de esta política
Esta política de divulgación coordinada de vulnerabilidades está disponible de forma permanente a través de nuestro punto de contacto único o mediante nuestra información sobre ciberseguridad accesible al público.
Asimismo, se incluye una referencia al punto de contacto único y a esta política en la información y las instrucciones que acompañan a nuestros productos con elementos digitales.