Avisos de seguridad de Hitachi Vantara

Política de divulgación de vulnerabilidades de Hitachi Vantara

1. Introducción y objetivo de la política

El propósito de esta política es establecer un método que todos los clientes de Hitachi Vantara y las partes interesadas externas deben seguir para informar sobre cualquier vulnerabilidad y amenaza potencial.

El objetivo de esta política es garantizar la confianza de los clientes de Hitachi Vantara abordando continuamente las posibles vulnerabilidades y amenazas para reducir los riesgos potenciales que puedan tener un impacto en las operaciones, la infraestructura y los servicios de Hitachi Vantara.

2. Ámbito

Esta política se aplica a todas las divisiones y zonas geográficas, a menos que se indique lo contrario en este documento, y está destinada a todos los empleados que tengan una relación directa o indirecta con clientes y terceros con los que Hitachi Vantara mantenga relaciones comerciales.

Quedan excluidas de esta política las siguientes situaciones

• Cuando un cliente de Hitachi Vantara o un tercero solicita acciones que van más allá de una prórroga válida del contrato.

3. Proceso de notificación de vulnerabilidades y amenazas potenciales

3.1. Cualquier cliente o tercero de Hitachi Vantara puede enviar un informe para notificar sobre posibles vulnerabilidades o amenazas. El envío de un informe debe incluir la siguiente información, sin limitarse a ella:

• Detalles del producto o solución Hitachi Vantara afectados
• Versiones de software y/o microcódigo de los componentes Hitachi Vantara
• Una descripción detallada de la vulnerabilidad o amenaza identificada, y
• Cualquier otra información pertinente, como pruebas o pruebas de concepto, cuando la vulnerabilidad identificada ya esté publicada y la persona que informa se comprometa a divulgarla de forma coordinada.

3.2. Información de contacto para notificar cualquier vulnerabilidad o amenaza potencial:

• Cuando se descubre una posible vulnerabilidad de seguridad en los productos de Hitachi Vantara, se anima a los clientes o a terceros a informar de la vulnerabilidad poniéndose en contacto con el Centro de soporte global (GSC) de Hitachi Vantara.
• El equipo de GSC trabajará conjuntamente con el equipo de ciberseguridad de Hitachi Vantara para investigar el problema de acuerdo con los requisitos contractuales del cliente y los procedimientos operativos estándar de GSC.
• Hitachi Vantara recomienda utilizar un programa de cifrado para transmitir de forma segura cualquier dato confidencial y personal.
• Aunque Hitachi Vantara revisará los informes enviados a través del GSC, los puntos débiles en las instalaciones existentes de los clientes debido a sus diseños individuales, componentes de terceros o credenciales de acceso comprometidas no se consideran una vulnerabilidad dentro de los productos de Hitachi Vantara.
• Para todas las entidades sin relación de cliente con Hitachi Vantara, puede informar de las vulnerabilidades de seguridad al equipo de Ciberseguridad aquí. (security.vulnerabilities@hitachivantara.com)

3.3. Con el acuerdo de los clientes o terceros informantes, Hitachi Vantara debe reconocer al cliente o tercero con crédito por el descubrimiento de la vulnerabilidad como parte del proceso oficial de Hitachi Vantara. Hitachi Vantara no cuenta con un programa "Bug Bounty". Por lo tanto, Hitachi Vantara reconoce a los investigadores de vulnerabilidades mediante la publicación de la vulnerabilidad (CVE - Common Enumeration of Vulnerabilities) cuando corresponda, o mediante una carta de reconocimiento por sus contribuciones.

3.4. La gestión de la vulnerabilidad de los productos de Hitachi Vantara consiste generalmente en lo siguiente:

• Primera respuesta,
• Triaje inicial,
• Investigación y planificación,
• Remediación, y
• Divulgación y notificación.

Si bien Hitachi Vantara hace todo lo posible por remediar oportunamente las vulnerabilidades que representan un alto riesgo para Hitachi Vantara, sus clientes y terceros, los tiempos de remediación pueden variar según la complejidad de la vulnerabilidad o las condiciones de la amenaza. Asumiendo que la información reportada no es conocida públicamente, es la intención del cliente o tercero que reporta una vulnerabilidad y de Hitachi Vantara no divulgar ninguna información relacionada hasta que haya una remediación.

4. Descargo de responsabilidad

La información aquí contenida está sujeta a cambios en cualquier momento sin previo aviso. Las declaraciones contenidas en esta política no modifican, sustituyen ni enmiendan de ningún otro modo los derechos, obligaciones o condiciones de los clientes entre Hitachi Vantara LLC y cualquier otra parte. El uso de la información o enlaces incluidos en esta política se realiza bajo su propia responsabilidad.