Establecer un programa coordinado de divulgación de vulnerabilidades para trabajar con investigadores de seguridad

Desarrollado por CISA, la Agencia de Seguridad Nacional (NSA) y socios internacionales, esta guía conjunta contiene las mejores prácticas para que los fabricantes de software y los proveedores de servicios en línea diseñen e implementen un programa de divulgación coordinada de vulnerabilidades (CVD) para trabajar con investigadores de seguridad externos, que incluye una política de divulgación de vulnerabilidades (VDP) clara y un proceso para clasificar, solucionar y asignar identificadores de Common Vulnerabilities and Exposures (CVE) a las vulnerabilidades reportadas. La guía también proporciona consideraciones sobre el uso de intermediarios de terceros, como CISA u otras unidades nacionales de respuesta a incidentes de seguridad informática, para sustituir o complementar un programa de CVD. Al implementar un programa de CVD robusto, alineado con esta guía, las organizaciones pueden colaborar de manera transparente y efectiva con los investigadores de seguridad para solucionar vulnerabilidades, construir relaciones constructivas, mejorar la seguridad de los productos y mejorar los procesos de gestión de vulnerabilidades, y demostrar su compromiso de proteger a los clientes.