Política de divulgación coordinada de vulnerabilidades (CVD)
Alcance
Productos de Moontech con elementos digitales. No cubre sistemas de terceros ni la infraestructura del cliente.
Cómo informar
Escriba a security@moontech-industrial.com (español o inglés). Incluya:
- Producto y versión afectados.
- Descripción y pasos para reproducirlo.
- Impacto que cree que tiene.
- Cómo desea que le citemos, o si prefiere anonimato.
No envíe datos personales ni credenciales reales de clientes. Si necesita cifrar el mensaje, pídanos una clave por ese mismo correo.
Qué nos comprometemos a hacer
| Paso | Plazo objetivo |
|---|---|
| Acuse de recibo | 3 días laborables |
| Primera valoración (válido, gravedad, producto afectado) | 10 días laborables |
| Información periódica del estado | al menos cada 30 días |
| Corrección o mitigación | según gravedad; las críticas y las explotadas, con prioridad máxima |
| Divulgación pública coordinada | de acuerdo con quien informa; 90 días como referencia desde el acuse |
Si la vulnerabilidad se está explotando de forma activa, la notificamos a las autoridades en los plazos del CRA (24 h / 72 h), según el procedimiento interno.
Qué pedimos a quien informa
- Que no acceda a datos que no sean suyos ni los modifique o destruya.
- Que no realice pruebas de denegación de servicio ni de ingeniería social contra personal o clientes.
- Que nos dé un plazo razonable para corregir antes de hacerlo público.
Puerto seguro
Si actúa de buena fe y dentro de esta política, no emprenderemos acciones legales contra usted por la investigación.
Publicación
Cuando haya corrección publicamos un aviso con el identificador (CVE o GHSA si procede), los productos y versiones afectados, la versión corregida y las medidas que puede aplicar el cliente. Se reconoce a quien informó salvo que prefiera anonimato.