Política de CASIO sobre divulgación coordinada de vulnerabilidades

1. Compromiso

Casio Computer Co., Ltd. ("CASIO") se compromete a garantizar la ciberseguridad durante todo el ciclo de vida del producto.

CASIO reconoce la ciberseguridad de los productos como un elemento esencial de la calidad del producto. Mediante el suministro de productos y servicios seguros, protegidos y fiables, CASIO procura ganarse y mantener la confianza de sus clientes.

De conformidad con los principios de divulgación coordinada de vulnerabilidades (Coordinated Vulnerability Disclosure, CVD), CASIO acepta los informes de vulnerabilidades de investigadores de seguridad, clientes, socios y otras partes interesadas. CASIO evalúa, corrige y divulga las vulnerabilidades de seguridad de manera responsable.

2. Investigación de buena fe

CASIO acepta la investigación de seguridad realizada de buena fe.

CASIO no emprenderá acciones legales contra las personas que:

Realicen investigaciones de buena fe
Cumplan todas las leyes y normativas aplicables
Eviten acciones que afecten negativamente a clientes, usuarios o servicios
Limiten las pruebas a las actividades razonablemente necesarias para validar y documentar la vulnerabilidad
Eviten acceder innecesariamente a información personal
Interrumpan de inmediato las pruebas y notifiquen a CASIO si acceden involuntariamente a datos personales o información confidencial
Eviten actividades que puedan interrumpir los servicios, incluidos los ataques de denegación de servicio (DoS)
Comuniquen las vulnerabilidades directamente a CASIO y se abstengan de divulgar públicamente información sobre la vulnerabilidad hasta que CASIO haya completado su investigación y puesto a disposición de los clientes y partes interesadas afectados las medidas correctivas o de mitigación adecuadas (salvo que CASIO haya acordado una divulgación anterior)
Cooperen con las iniciativas de divulgación coordinada de vulnerabilidades.

3. Comunicación de una vulnerabilidad

Para comunicar una vulnerabilidad de seguridad que afecte a un producto, servicio o componente relacionado de CASIO, póngase en contacto con CASIO mediante los métodos descritos en la sección Información de contacto.

Normalmente, CASIO acusará recibo de los informes de vulnerabilidades en el plazo de un día laborable.

Al enviar un informe, incluya siempre que sea posible la siguiente información:

Nombre del producto
Número de modelo
Versión del software, firmware o aplicación
Descripción de la vulnerabilidad
Pasos necesarios para reproducir el problema
Impacto potencial
Prueba de concepto (PoC), si está disponible
Si la vulnerabilidad ya se ha divulgado públicamente
Información de contacto (se aceptan informes anónimos)
Fecha de descubrimiento
Archivos adjuntos de apoyo, si procede

4. Información de contacto y comunicación segura

Puede ponerse en contacto con CASIO por correo electrónico: cra@casio.de

CASIO puede proporcionar métodos de comunicación seguros para proteger la información confidencial sobre vulnerabilidades.

La información de contacto de seguridad se mantendrá y actualizará según sea necesario.

5. Proceso de gestión de vulnerabilidades

CASIO gestiona las vulnerabilidades comunicadas mediante el siguiente proceso:

Informe: recepción y registro de la información sobre la vulnerabilidad.
Análisis: verificación, evaluación técnica, evaluación de la gravedad y priorización basada en el riesgo.
Tratamiento: desarrollo y preparación de medidas de mitigación, soluciones alternativas o medidas correctivas, si fuera necesario y en la medida en que lo sea.
Divulgación: CASIO puede divulgar información pertinente a clientes y partes interesadas una vez que se haya puesto a disposición una medida correctiva adecuada, o si la divulgación fuera necesaria para proteger a los usuarios o cumplir obligaciones legales.
Notificación a las autoridades competentes: cuando lo exija la ley, CASIO podrá notificar vulnerabilidades o incidentes de seguridad a las autoridades competentes y organismos de ciberseguridad y cooperar con ellos.

6. Divulgación coordinada

CASIO apoya las prácticas de divulgación coordinada de vulnerabilidades.

Para proteger a clientes y usuarios, CASIO puede retrasar la divulgación pública hasta que esté disponible una actualización de seguridad o medidas de mitigación, o hasta que los clientes hayan tenido tiempo suficiente para aplicar medidas de protección.

CASIO tratará de coordinar el momento de la divulgación con la parte que haya realizado el informe.

7. Reconocimiento

CASIO agradece a las personas y organizaciones que contribuyen a mejorar la seguridad de los productos y servicios de CASIO.

Con el consentimiento la persona o entidad que comunica la vulnerabilidad, CASIO podrá reconocer dichas contribuciones.

8. Avisos de seguridad

CASIO puede publicar avisos de seguridad cuando resulte apropiado para informar a los clientes de las vulnerabilidades identificadas y de las medidas correctivas disponibles.

9. Responsabilidad

La responsabilidad de la evaluación y corrección de vulnerabilidades, la divulgación coordinada de vulnerabilidades y la notificación reglamentaria recae en Casio Computer Co., Ltd. como fabricante.

Cualquier otra empresa del grupo CASIO que actúe únicamente como importador, distribuidor o entidad comercial apoyará estas actividades según corresponda, pero no será responsable de las obligaciones del fabricante conforme a las leyes y normativas de ciberseguridad aplicables.