B.1. Autoridad sobre el reporte

EF1. (Facultad) La empresa puede aceptar, rechazar o no corregir un fallo, y asumir el riesgo asociado conforme a su modelo de seguridad.

EP1. (Prohibición) La empresa no determina la criticidad de un reporte ni gestiona su puntuación. La validez se determina por el triaje conforme a los términos de la carta del programa, y no caso por caso por la empresa.

EF2. (Facultad) La empresa define en la carta de su programa el alcance, los criterios de aceptación y el etiquetado, incluida la indicación de si resulta adjudicable a efectos de CVE. Dichos términos prevalecen conforme a 0.10.

B.2. Diligencia

EO1. (Obligación) La empresa revisa el reporte y comunica su decisión sin demora injustificada. La ausencia indefinida de respuesta no es admisible.

EO2. (Obligación) La empresa comunica la aplicación de la corrección y, cuando exista, su referencia pública.

EO3. (Obligación) La empresa atiende las solicitudes de información interna que el triaje precise para completar la evaluación.

EP2. (Prohibición) La falta de respuesta de la empresa no impide que el equipo de triaje resuelva la solicitud de autorización de divulgación conforme a HD30.

B.3. Trato al investigador

EP3. (Prohibición) La empresa no ejerce represalia contra quien reporta de buena fe y dentro del alcance.

EO4. (Obligación) La empresa comunica sus decisiones sobre un reporte de forma motivada.

EO5. (Obligación) La empresa cursa su comunicación relativa a un reporte por los cauces habilitados de la plataforma. Rige lo dispuesto en 0.9.

EP5. (Prohibición) La empresa no contacta al investigador fuera de dichos cauces sin su consentimiento.

B.4. Confidencialidad

EF4. (Facultad) La empresa puede establecer en su programa restricciones sobre los métodos y las herramientas de prueba admitidos, incluido el uso de herramientas automatizadas o de inteligencia artificial. Estas restricciones no alcanzan a la determinación de la validez ni de la criticidad, que se rige por EP1 y TF1.

EP6. (Prohibición) La empresa no rechaza un reporte por la ausencia de información que quien reporta no puede obtener desde su posición externa. Dicha información se solicita a la empresa conforme a TO10.

EF3. (Facultad) La empresa puede exigir confidencialidad y no divulgación en los términos pactados en el programa.

EP4. (Prohibición) La empresa no impone secreto más allá de lo pactado en el programa ni con posterioridad a la corrección, salvo pacto expreso.

Las Normas se publican en cuatro partes: preliminar y definiciones, normas del investigador, normas de la empresa, y normas del triaje y de la función CNA. La convención de los identificadores (HD, HO, HP, EO, EF, EP, TO, TF, TP) se explica en 0.7, en la parte preliminar.