Notificación de vulnerabilidadesNotifíquelo. Le responderemos.

Si ha encontrado una vulnerabilidad en una superficie de NOUSEC, esta página le indica adónde enviarla, qué consideramos dentro del alcance y qué nos comprometemos a hacer a cambio. Vendemos gestión del riesgo humano; lo mínimo es ser claros sobre el nuestro.

Notificar una vulnerabilidadVer el alcance
[email protected] · Primera respuesta en 2 días hábiles · En inglés y en turco
El alcance es una decisión: cuatro cosas que guardamos, cuatro que nunca tocamosLO QUE GUARDAMOSLO QUE NUNCA TOCAMOSCorreo corporativoNombre y departamentoResultado de simulacionesFinalización de la formaciónAgente en el equipoInstalación en el dispositivoHistorial de navegaciónPulsaciones de tecladoNo se instala nada en el dispositivo del empleado.La columna de la derecha es una decisión, no una carencia.
El alcance es una decisión: cuatro cosas que guardamos, cuatro que nunca tocamosLO QUE GUARDAMOSCorreo corporativoNombre y departamentoResultado de simulacionesFinalización de la formaciónLO QUE NUNCA TOCAMOSAgente en el equipoInstalación en el dispositivoHistorial de navegaciónPulsaciones de tecladoUna decisión, no una carencia.

Cómo notificar

Una sola dirección, que lee una persona. Sin formularios que rellenar ni cuentas que crear.

Paso 1
Incluya la URL o el endpoint afectado, los pasos para reproducirlo y lo que observó. Una captura o una breve grabación ayudan. Leemos notificaciones en inglés y en turco.
Paso 2
Acusamos recibo en 2 días hábiles
Una respuesta escrita por una persona que le dice si lo hemos reproducido, no un acuse automático. Si necesita más investigación, se lo decimos en lugar de quedarnos callados.
Paso 3
Lo corregimos y se lo contamos
Sabrá qué cambió y cuándo se publicó. Si quiere el reconocimiento, le citamos en el aviso. Si prefiere el anonimato, también es posible.

El mismo contacto figura en nuestro archivo security.txt, conforme a la RFC 9116.

Alcance

Lo decimos con claridad, porque una política de alcance difuso obliga al investigador a adivinar, y una suposición equivocada es lo que convierte una investigación de buena fe en un incidente.

Dentro del alcance
nousec.com
El sitio web y todo lo que se sirve desde él, incluido el endpoint de solicitud de demos.
Dentro del alcance, con límites
login.nousec.com
La superficie de acceso y de aplicación de la plataforma, probada con una cuenta que usted controle. Sin escaneo automatizado, sin pruebas de carga o de estrés y sin intentos de llegar a datos de otra organización o de otra persona. Dentro de esos límites, los hallazgos son bienvenidos y están cubiertos por el compromiso que figura más abajo.
Fuera del alcance
Servicios de terceros que no controlamos
Los hallazgos en servicios que NOUSEC usa pero no opera deben dirigirse a ese proveedor. Si no sabe de quién es una superficie, pregúntenos y se lo diremos.
Fuera del alcance
Infraestructura de simulación
Los dominios que usamos para enviar simulaciones de phishing a los empleados de nuestros clientes se diseñan a propósito para parecer infraestructura de un atacante. Notificarlos como maliciosos es lo esperado y no es una vulnerabilidad.

Compromiso con la investigación de buena fe

Lo que obtiene de nosotros si actúa de buena fe.

Si respeta el alcance anterior, actúa de buena fe, evita vulnerar la privacidad e interrumpir el servicio y nos da una oportunidad razonable de corregir el problema antes de divulgarlo públicamente, NOUSEC no emprenderá ni apoyará acciones legales contra usted por su investigación.

Si un tercero emprende acciones contra usted por una investigación que se mantuvo dentro de esta política, dejaremos claro que su trabajo estaba autorizado por ella. Si quiere ese compromiso por escrito antes de empezar, pídalo y se lo enviaremos.

Lo que le pedimos

Cuatro reglas, todas para que una prueba no se convierta en un incidente.

Use su propia cuenta
No acceda a datos de otra persona u organización, ni los modifique ni los extraiga. Si se topa con datos ajenos, deténgase y avísenos.
No degrade el servicio
Ni pruebas de carga, ni denegación de servicio, ni escaneo automatizado contra el acceso a la plataforma.
No aplique ingeniería social a nuestro equipo
Empleados, contratistas y clientes quedan fuera del alcance. Hacer phishing a nuestros empleados no es investigación aquí: es el producto que vendemos, y lo trataremos como un ataque.
Denos tiempo antes de divulgar
Díganoslo primero y deje que publiquemos la corrección. No usaremos ese tiempo para dar largas, sino para corregir.

Lo que no afirmamos

NOUSEC no ha completado una auditoría SOC 2 ni ISO/IEC 27001. No tenemos certificación en ninguna de las dos normas y nada en este sitio debe leerse como una afirmación de certificación. Tampoco hemos encargado una prueba de penetración independiente. Cuando eso cambie, esta página lo dirá, con fecha.

En otras partes de este sitio leerá que NOUSEC asigna las evidencias de cada organización a siete marcos normativos, entre ellos ISO/IEC 27001, NIS2, SOC 2, el RGPD e ISO/IEC 27701. Esa frase describe lo que el producto hace con sus datos: recopila y organiza las evidencias de formación y simulación que pide su auditor. No es una declaración sobre nuestra certificación. Un proveedor que genera evidencias de ISO 27001 para usted no está por ello certificado en ISO 27001, y no vamos a dejar que la misma frase haga ambas cosas a la vez.

Actualmente no tenemos un programa de recompensas remunerado. Las notificaciones siguen siendo bienvenidas, se valoran en dos días hábiles y, si lo desea, se reconocen públicamente.

Preguntas

Lo que preguntan los investigadores antes de enviar el primer correo.

¿Cómo notifico una vulnerabilidad de seguridad?

Escriba a [email protected] con detalle suficiente para reproducir el problema: la URL o el endpoint afectado, los pasos que siguió y lo que observó. Leemos notificaciones en inglés y en turco. Por favor, no publique el hallazgo antes de que le hayamos respondido. Nuestro archivo security.txt recoge el mismo contacto.

¿En cuánto tiempo recibiré respuesta?

Acusamos recibo y hacemos una primera valoración de cada notificación en un máximo de dos días hábiles. Esa primera respuesta la escribe una persona y le dice si hemos podido reproducir el problema; no es un acuse automático. Si la investigación requiere más tiempo, se lo diremos y le mantendremos informado.

¿Está login.nousec.com dentro del alcance?

Sí, con límites. Puede hacer pruebas con una cuenta que usted controle. Quedan fuera del alcance el escaneo automatizado, las pruebas de carga o de estrés y cualquier intento de acceder a la cuenta de otra persona o de hacerse con ella. La superficie de acceso es la parte más sensible de una empresa de seguridad, así que preferimos definir cómo se prueba antes que fingir que nadie lo hará.

¿Pagan por las notificaciones de vulnerabilidades?

Actualmente no tenemos un programa de recompensas remunerado. Si lo desea, le citaremos por su nombre en nuestro aviso y le diremos con franqueza qué hemos corregido y cuándo.

¿Tiene NOUSEC la certificación SOC 2 o ISO/IEC 27001?

No. NOUSEC no ha completado una auditoría SOC 2 ni ISO/IEC 27001 y no tiene certificación en ninguna de las dos normas. La plataforma genera evidencias asignadas a marcos normativos para su auditoría; es una funcionalidad del producto, no una declaración sobre nuestra propia certificación.

¿Emprenderán acciones legales contra investigadores de buena fe?

No. Si respeta el alcance y las reglas de esta página, actúa de buena fe y nos da un plazo razonable para corregir el problema antes de divulgarlo, no emprenderemos ni apoyaremos acciones legales contra usted, y si lo pide se lo confirmaremos por escrito.

¿Ha encontrado algo? Díganoslo.

[email protected]: lo lee una persona y recibirá respuesta en dos días hábiles.

Solicitar una demoVer la plataforma

Publicado conforme a la RFC 9116 · security.txt