Política de divulgación responsable de Mimecast

En Mimecast consideramos que la protección de los datos de los clientes es una responsabilidad fundamental y le damos la máxima prioridad, ya que queremos ofrecer a nuestros clientes una experiencia excepcional en cada etapa de su recorrido. Por ello, nos tomamos muy en serio la seguridad de nuestros sistemas y valoramos sinceramente la colaboración de los investigadores de seguridad y de otros miembros de la comunidad de seguridad para ayudarnos a mantener la seguridad de nuestros sistemas. Juntos podemos mejorar las cosas y encontrar formas de resolver los retos. Mimecast acoge con agrado las perspectivas de los demás con el fin de desarrollar la ciberresiliencia. La divulgación responsable de vulnerabilidades de seguridad nos ayuda a garantizar la seguridad y la privacidad de todos nuestros usuarios. Si descubre una vulnerabilidad, le agradeceríamos que se pusiera en contacto con nosotros de acuerdo con esta política, para que podamos resolver el problema lo antes posible. Juntos podemos alcanzar nuestros objetivos mediante la colaboración, la comunicación y la responsabilidad.

Para obtener más información sobre nuestras certificaciones, visita nuestro centro de confianza.

Directrices para la divulgación responsable

• Realice la investigación únicamente dentro del «ámbito de aplicación» establecido en esta Política;
• Los clientes de Mimecast deben abrir un caso para cualquier informe que no esté relacionado con la seguridad.
• Para ayudarnos a comprender la naturaleza y el alcance de la posible vulnerabilidad, visite https://bugcrowd.com/3905fe58-e58e-491d-87dc-a8a9264eb662/external/report y rellene el formulario con toda la información posible. Cuando haya terminado, haga clic en «Informar de una vulnerabilidad» para enviar su informe a Mimecast;
• Mantenga la confidencialidad de la información sobre cualquier vulnerabilidad que haya descubierto entre usted y Mimecast hasta que hayamos tenido al menos 90 días para revisar y resolver el problema. Es importante tener en cuenta que el plazo que necesitamos para revisar y resolver un problema puede variar en función de diversos factores, entre los que se incluyen la complejidad de la vulnerabilidad y el riesgo que esta pueda suponer, entre otros;
• Mantenga abiertos los canales de comunicación para permitir una colaboración eficaz;
• Haga todo lo posible por evitar violaciones de la privacidad, el deterioro de la experiencia del usuario, la interrupción de los sistemas de producción y la destrucción de datos durante las pruebas de seguridad.

Qué puede esperar de nosotros:

• Colaboraremos con usted para comprender y resolver el problema, con el fin de reforzar la protección de nuestros clientes y sistemas;
• Si sigue las directrices expuestas anteriormente, no emprenderemos ni apoyaremos ninguna acción legal relacionada con su investigación;
• Nos esforzaremos por responder a su informe en un plazo de 3 días laborables desde su envío
  
  

Ámbito de aplicación

Fuera del ámbito de aplicación

Quedan excluidos del ámbito de aplicación todos los servicios alojados por proveedores externos. Entre estos servicios se incluyen:

• Base de conocimientos de Mimecast (kb.mimecast.com);
• Mimecast Academy (academy.mimecast.com);
• https://community.mimecast.com;
• y cualquier otro servicio que no se mencione explícitamente en la sección «Dentro del ámbito de aplicación» anterior.

En aras de la seguridad de nuestros clientes, de nuestro personal, de Internet en general y de usted como investigador de seguridad, quedan excluidos del ámbito de aplicación los siguientes tipos de pruebas:

• Cualquier intento de modificar o destruir datos;
• Hallazgos derivados principalmente de la ingeniería social (por ejemplo, phishing);
• Hallazgos procedentes de aplicaciones o sistemas que no figuren en la sección «Ámbito de aplicación»;
• Vulnerabilidades de denegación de servicio (DoS/DDoS) a nivel de red o cualquier otro intento de interrumpir o degradar los servicios que ofrece Mimecast, incluido el que afecte a la capacidad de los usuarios finales para utilizar el servicio;
• Cualquier intento de acceder a la cuenta o a los datos de un usuario;
• Y cualquier otra acción no permitida por la legislación aplicable...
   

Vulnerabilidades que cumplen los requisitos

¿Qué es una «vulnerabilidad que cumple los requisitos»?

Vulnerabilidades de aplicaciones web, como XSS, XXE, CSRF, SQLi, inclusión de archivos locales o remotos, problemas de autenticación, ejecución remota de código y problemas de autorización, escalada de privilegios y clickjacking. La vulnerabilidad debe encontrarse en uno de los servicios mencionados en la sección «Ámbito de aplicación» anterior. Debes ser el primer investigador en divulgar la vulnerabilidad de forma responsable y debes seguir las directrices de divulgación responsable establecidas en esta Política, lo que incluye concedernos un plazo razonable para solucionar la vulnerabilidad. Confirmaremos contigo cuál es ese plazo razonable tras la divulgación de la vulnerabilidad.

¿Qué no se considera una «vulnerabilidad admisible»?

Aunque cada notificación se evaluará caso por caso, a continuación se incluye una lista de algunos de los problemas que no se consideran vulnerabilidades de seguridad:

• Problemas relacionados con TLS/SSL;
• Configuraciones de SPF, DMARC y DKIM;
  Ausencia de encabezados de seguridad o de políticas de seguridad de contenido (CSP);
• Ausencia de CAPTCHAs como mecanismo de protección de seguridad;
• Ausencia de indicadores en las cookies;
• Enumeración de nombres de usuario
• Vulnerabilidades en productos al final de su ciclo de vida;
• Posibilidad de incrustar una página en un iFrame o de realizar «clickjacking»;
• Inyección de HTML sin ningún impacto en la seguridad;
• Funciones de bloqueo de cuentas o de limitación de frecuencia;
• Ataques CSRF sin ningún impacto o que no traspasen los límites de privilegios;
• Fugas de información o credenciales de terceros que no están bajo el control de Mimecast (por ejemplo, Google, Github, Pastebin, etc.);
• Enlaces sensibles de los productos de Mimecast indexados en servicios de terceros cuando son revelados por los clientes, ya sea de forma directa o indirecta;
• Uso de una biblioteca con vulnerabilidades conocidas sin pruebas de que sean explotables;
• Vulnerabilidades de terceros sin aviso publicado o publicadas recientemente (hace menos de 30 días);
• Vulnerabilidades que ya han sido notificadas o cuya corrección está en curso;
• Ataques de apropiación de subdominios sin pruebas; un falso positivo habitual es smartlinggdn.mimecast.com;
• Inyecciones en el encabezado del host cuando el vector de ataque requiere un ataque MITM o cuando el encabezado no se refleja;
• Exposición de información (p. ej., archivos JavaScript, claves de API —Google Maps—), a menos que se pueda demostrar que los datos son privados;