01 Propósito

IDP se compromete a mejorar continuamente la seguridad de sus productos. Agradecemos los informes sobre posibles vulnerabilidades de seguridad enviados por investigadores de seguridad, clientes y usuarios. Esta política describe cómo informar sobre una vulnerabilidad en un producto de IDP y cómo IDP gestiona y divulga las vulnerabilidades notificadas.

02 Alcance

Esta política se aplica a:

• Impresoras de tarjetas, laminadoras, multitolvas, equipos para quioscos y productos de hardware relacionados desarrollados, fabricados y vendidos por IDP
• Firmware de los productos mencionados anteriormente
• Controladores, utilidades, SDK y aplicaciones móviles distribuidos por IDP
• Sitios web y servicios en línea operados por IDP

Quedan fuera del alcance:

• Productos y software que hayan llegado al final de su período de soporte
• Productos y servicios fabricados u operados por terceros
• Ataques que requieran acceso físico al dispositivo, su robo o su pérdida
• Ingeniería social y phishing dirigidos a empleados de IDP
• Recomendaciones de configuración y hallazgos informativos sin un impacto de seguridad demonstrable

03 Cómo informar

Por favor, informe de las vulnerabilidades a: “security@idp-corp.com” Report a Vulnerability Incluir la siguiente información nos ayudará a validar su informe con rapidez:

• Nombre del producto afectado y número de modelo
• Versión del firmware o del software
• Tipo de vulnerabilidad y descripción detallada
• Pasos para reproducir la vulnerabilidad, incluido código de prueba de concepto o capturas de pantalla cuando corresponda
• Impacto esperado y escenario de ataque
• Sus datos de contacto y si desea recibir reconocimiento público
• Fecha prevista de publicación, si tiene previsto publicar la vulnerabilidad

Se aceptan informes en inglés o coreano.

04 Nuestro proceso y plazos de respuesta

Después de recibir un informe, IDP:

• Confirmará la recepción en un plazo de 3 días hábiles.
• Proporcionará una evaluación inicial, incluida nuestra consideración sobre si el problema notificado constituye una vulnerabilidad y nuestra clasificación preliminar de gravedad, en un plazo de 10 días hábiles.
• Proporcionará una actualización del estado cada 30 días mientras continúe el proceso de corrección.
• Le notificará cuando se haya publicado una corrección o una medida de mitigación.

El tiempo de corrección depende de la gravedad de la vulnerabilidad, del alcance de los productos afectados y de la validación necesaria. IDP tiene como objetivo resolver las vulnerabilidades de gravedad alta en un plazo de 90 días desde el informe inicial y, cuando no sea posible ofrecer una corrección inmediata, proporcionar primero instrucciones de mitigación. Estos plazos son objetivos y no constituyen garantías.

05 Divulgación

• IDP sigue un proceso de divulgación coordinada. Publicamos información sobre una vulnerabilidad después de que se haya puesto a disposición de los usuarios una corrección o medida de mitigación.
• La fecha de divulgación se acuerda con la persona que presentó el informe y, salvo circunstancias excepcionales, tendrá lugar dentro de los 90 días posteriores al informe inicial.
• Cuando consideremos que la publicación podría crear un riesgo adicional para los usuarios antes de que hayan tenido una oportunidad razonable de aplicar una corrección, podremos retrasar la divulgación hasta que los usuarios hayan tenido dicha oportunidad. Explicaremos nuestras razones a la persona que presentó el informe.
• Los avisos de seguridad publicados incluyen los productos y versiones afectados, una descripción de la vulnerabilidad, su gravedad y las medidas que deben adoptar los usuarios.
• Reconocemos en nuestros avisos a las personas que informan sobre vulnerabilidades cuando desean recibir dicho reconocimiento y respetamos las solicitudes de anonimato.

06 Directrices para investigadores

Al investigar e informar sobre vulnerabilidades, por favor:

• Realice pruebas únicamente en dispositivos que sean de su propiedad o para los que tenga autorización explícita para realizar pruebas.
• No acceda, almacene, transfiera ni utilice datos personales de terceros. Si encuentra dichos datos, deténgase inmediatamente e infórmenos en su reporte.
• No interrumpa servicios, destruya datos ni degrade el rendimiento del sistema.
• Limite su actividad a lo necesario para demostrar la vulnerabilidad.
• No divulgue ni comparta información sobre la vulnerabilidad con terceros antes de coordinarlo con IDP.
• No exija pagos ni ningún otro tipo de contraprestación a cambio de información sobre la vulnerabilidad.

07 Puerto Seguro

Si investiga e informa sobre una vulnerabilidad de buena fe y de conformidad con la Sección 6 de esta política, IDP considerará que su actividad está autorizada. No iniciaremos ni apoyaremos acciones civiles o penales contra usted en relación con dicha actividad. Si un tercero inicia acciones legales contra usted en relación con investigaciones realizadas conforme a esta política, comunicaremos que su actividad se llevó a cabo de acuerdo con esta política.
Esta sección se aplica en la medida permitida por la legislación aplicable y no se aplica a ninguna actividad que infrinja la Sección 6.

08 Recompensas

Actualmente, IDP no opera un programa de recompensas monetarias por vulnerabilidades. Reconocemos a quienes informan sobre vulnerabilidades mencionándolos en nuestros avisos de seguridad.

09 Notificación a las autoridades

En virtud de la Ley de Ciberresiliencia de la UE y otras leyes aplicables, IDP puede estar obligada a notificar a las autoridades pertinentes las vulnerabilidades explotadas activamente y los incidentes graves de seguridad. Cuando dicha notificación sea obligatoria, la realizaremos dentro de los plazos legales aplicables. No incluiremos los datos personales de la persona que haya presentado el informe en dichas notificaciones sin su consentimiento, salvo que la legislación aplicable exija lo contrario.

10 Cambios en esta política

TEsta política podrá ser revisada en respuesta a cambios en las leyes aplicables y a nuestra experiencia operativa. Las revisiones se publicarán en esta página junto con la fecha de revisión.