El Pilz Product Security Incident Response Team (PSIRT)

Los expertos en protección del PSIRT de Pilz analizan, evalúan y procesan posibles deficiencias de seguridad y casos de protección (Security) relacionados con productos y soluciones de Pilz. En caso de confirmarse una deficiencia, el PSIRT de Pilz publica Security Advisories con indicaciones relativas a la solución de la deficiencia.

Queremos animar a expertos en seguridad, investigadores independientes, clientes y otros actores a notificarnos cualquier problema con la seguridad de nuestros productos y soluciones. Solo así podremos discutir y acordar conjuntamente las actividades futuras y mejorar la protección (Security) de nuestros productos y soluciones. A fin de no comprometer a nuestros clientes y terceros, rogamos coordinar la publicación de las deficiencias haciendo partícipe a nuestro PSIRT.

Los especialistas en protección del PSIRT de Pilz procesan y evalúan todos los avisos sobre posibles brechas de protección en los productos Pilz. Para preguntas sobre protección (Security) relativas a nuestros productos o nuestra infraestructura o si desea notificar brechas de seguridad, rogamos contactar con nuestros expertos en protección del PSIRT. Las notificaciones al PSIRT deberán realizarse en alemán o inglés. En un plazo de cuatro días hábiles (CET) se obtendrá normalmente una confirmación de entrada.

Rogamos notificar cualquier problema de Protección (Security) de nuestros productos, soluciones y servicios online a:

Contacto PSIRT

PGP-Public-Key

Incluir en el mensaje la información siguiente:

1. Nombre de la persona notificante
2. Datos de contacto (correo electrónico, teléfono)
3. Nombre de la empresa
4. Denominación y referencia (si procede) del producto en cuestión
5. Versión de firmware y software
6. Descripción de los efectos de la vulnerabilidad
7. Descripción de cómo puede explotarse la vulnerabilidad (no nos envíe códigos Exploit si no lo solicitamos)
8. Indicación de si la vulnerabilidad ha sido publicada anteriormente (por usted o un tercero)

Publicamos nuestros avisos de seguridad en el formato estándar CSAF (Common Security Advisory Framework). Este formato legible por máquina permite a las empresas procesar automáticamente la información sobre seguridad y reaccionar más rápidamente ante posibles vulnerabilidades.

Common Security Advisory Framework (CSAF)

En colaboración con otros socios, proporcionamos nuestros Security Advisories también a través de la plataforma de VDE CERT. Con ello garantizamos máxima transparencia y una comunicación estandarizada segura.                                                                                                                                                                             

CERT@VDE

1. Analizar:

Nuestro PSIRT examina la deficiencia notificada y solicita información
adicional al autor si es preciso. Tenga en cuenta que el análisis puede durar desde unos días hasta semanas, según la complejidad de la deficiencia. En cualquier caso, el informador recibirá la primera respuesta en un plazo máximo de 15 días hábiles.

2. Definir medidas:

dependiendo de la gravedad de la deficiencia y de otras condiciones marco, se elaborarán las actualizaciones pertinentes. Si la deficiencia es grave, Pilz elaborará un Security Advisory. El remitente será informado periódicamente sobre el estado del proceso.

3. Publicar:

El Security Advisory completado y las eventuales actualizaciones de seguridad del firmware o software asociado se publicarán en este sitio y pueden ser descargados por nuestros clientes. Para la descarga deberá iniciar sesión con su nombre de usuario. Si no dispone todavía de perfil, puede registrarse aquí gratuitamente. Dependiendo de la gravedad de una vulnerabilidad, es posible que las actualizaciones de seguridad correspondientes se publiquen solo junto con los release periódicos específicos del producto.

Un Security Advisory es una indicación de una vulnerabilidad de seguridad identificada en uno de nuestros productos. Generalmente esto incluye:

• una descripción detallada de la vulnerabilidad,
• una evaluación de su criticidad basada en la puntuación CVSS,
• un resumen de los productos afectados y sus números de versión,
• medidas recomendadas para eliminar la vulnerabilidad y,
• en su caso, el reconocimiento de las personas u organismos que nos hayan avisado del problema.