C.1. Autoridad y adjudicación

TF1. (Facultad) El triaje determina en última instancia la validez y la criticidad de un reporte.

TO1. (Obligación) La adjudicación se realiza sobre los méritos del reporte, la carta del programa aplicable en cuanto a alcance y aceptación, y la doctrina vigente, con independencia de la identidad de quien reporta y de la redacción del reporte.

TO2. (Obligación) La criticidad se determina por el impacto demostrado y no por la categoría del fallo.

TP1. (Prohibición) El triaje no incrementa ni reduce la criticidad respecto del impacto demostrado.

TP2. (Prohibición) La existencia o la cuantía de una recompensa no altera la valoración técnica.

C.2. Marco del reporte

TO3. (Obligación) La severidad propuesta por quien reporta se trata como propuesta a verificar y no como valor por defecto.

TO4. (Obligación) La criticidad se determina sobre el comportamiento reproducido por el triaje. Cuando exista discrepancia entre lo descrito y lo observado, prevalece lo observado, sin que ello implique por sí mismo mala fe.

TO5. (Obligación) Una criticidad alta propuesta por quien reporta y aceptada sin cambios se somete a comprobación deliberada antes de adquirir carácter final.

C.3. Motivación y registro

TO6. (Obligación) Cuando una métrica se aparte de la propuesta de quien reporta, o medie disputa, la decisión se justifica métrica a métrica y queda registrada.

TO7. (Obligación) Toda decisión de criticidad resuelta en disputa o en deliberación de equipo se incorpora a la guía pública de criticidad a través del cauce previsto en A.6, y no mediante su aplicación directa a reportes posteriores.

TO8. (Obligación) El triaje aplica la versión vigente de la guía pública de criticidad y hace constar la referencia aplicada.

C.4. Revisión

TF2. (Facultad) Una decisión puede revisarse ante evidencia nueva o error identificado.

TO9. (Obligación) Toda revisión se registra con expresión de su motivo.

TP3. (Prohibición) Un reporte no se reabre sin fundamento nuevo.

C.5. Disputas

TF3. (Facultad) El triaje puede dar por concluida una conversación mediante decisión final motivada cuando esta deje de ser productiva. La apreciación se realiza de buena fe y no está sujeta a un número determinado de rondas.

TF11. (Facultad) Se consideran causas suficientes a efectos de TF3, entre otras, la reiteración de argumentos ya resueltos sin aportar elemento nuevo, la actuación de mala fe, el trato ofensivo, el consumo desproporcionado de recursos de análisis, y la remisión reiterada de intervenciones de extensión desproporcionada respecto de la cuestión discutida o que no se refieran a la métrica concreta en disputa conforme a HO9. La apreciación atiende al contenido de la intervención y no a su forma ni a las herramientas empleadas en su redacción.

TP4. (Prohibición) El triaje no penaliza el standing ni adopta medida alguna por el hecho de que se discrepe.

TF8. (Facultad) El triaje puede dejar de responder un ticket cuya conversación resulte improductiva o adversarial, mediante decisión final motivada. El cierre no impide el cauce previsto en A.6.

TO20. (Obligación) El empleo de falacias argumentativas conforme a HP2 es causa suficiente para cerrar una disputa mediante decisión final motivada, y no da lugar por sí mismo a otras medidas.

TO18. (Obligación) La criticidad se adjudica y se disputa exclusivamente conforme a la versión vigente de la guía pública de criticidad.

TP8. (Prohibición) El triaje no modifica la interpretación recogida en la guía en el curso de un reporte concreto. La modificación se tramita en el repositorio público y produce efectos hacia el futuro.

TF7. (Facultad) El triaje puede remitir al cauce de modificación de la guía la alegación que discrepe de la interpretación vigente, resolviendo el reporte conforme a la versión aplicable.

TP9. (Prohibición) El triaje no adjudica por analogía con registros CVE ajenos ni con registros anteriores propios. El determinismo exigido en los Principios opera a través de la guía vigente y no a través del precedente.

TO19. (Obligación) La aceptación de una propuesta de modificación de la guía se publica con expresión de su motivo y no reabre por sí sola los reportes ya adjudicados.

C.6. Relación con la empresa

TF4. (Facultad) El triaje puede reabrir un reporte rechazado o cerrado por la empresa cuando aprecie que su cierre fue erróneo. El rechazo de la empresa no es definitivo sobre la validez.

TO10. (Obligación) El triaje solicita a la empresa, y no al investigador, la información de origen interno necesaria para completar la evaluación.

TO28. (Obligación) Un reporte que describa una única instancia de un fallo se adjudica como un único fallo, aunque el análisis posterior revele otras instancias no identificadas por quien reporta.

TO29. (Obligación) Cuando un reporte posterior amplíe el impacto de un fallo ya aceptado, se comunica a la empresa como duplicado con impacto ampliado.

C.7. Función CNA

TF5. (Facultad) Solo se emiten identificadores CVE sobre reportes validados y corregidos, en programas adjudicables.

TO27. (Obligación) El triaje se pronuncia de forma motivada sobre toda solicitud de autorización de divulgación y sobre toda fecha propuesta conforme a HD22, sin demora injustificada.

TO11. (Obligación) Solo se registran vulnerabilidades en sistemas versionados bajo control del usuario. No se registran sobre servicios en la nube ni sobre software no versionado bajo control exclusivo del proveedor.

TO12. (Obligación) La criticidad, el CWE y el CAPEC en fase CVE son competencia exclusiva del triaje y de la función CNA, y pueden diferir de lo aceptado en el reporte.

TO13. (Obligación) La divergencia de criticidad entre el reporte y el registro CVE se comunica al investigador de forma motivada.

TO14. (Obligación) El identificador CVE se publica únicamente tras la validación del reporte, la existencia efectiva de la corrección y la conformidad de la función CNA.

TO21. (Obligación) El acceso al formulario de complementación lo facilita un miembro del equipo de triaje, y su entrega no prejuzga la emisión del identificador.

TF9. (Facultad) Existiendo corrección efectiva, la función CNA puede publicar antes de que la empresa marque el reporte como corregido en la plataforma, cuando las circunstancias del caso exijan un calendario más ajustado. La decisión se motiva y se registra.

TO24. (Obligación) En el supuesto de TF9 se informa previamente a la empresa y al investigador, que son oídos. La decisión final corresponde a la función CNA y no queda sujeta al veto de ninguna de las partes.

TO22. (Obligación) La criticidad determinada en fase CVE prevalece sobre cualquier determinación anterior, incluida la adoptada por el propio triaje en la fase de reporte, por sustentarse en la mejor evidencia disponible en ese punto de control.

TF10. (Facultad) La función CNA puede apartarse de la criticidad aceptada en el reporte cuando la evidencia disponible en el momento de la emisión, y en particular la corrección publicada, altere el impacto demostrado. La divergencia identifica qué elemento de dicha evidencia modifica cada métrica. No constituye reapertura a efectos de TP3.

TO23. (Obligación) La divergencia se comunica al investigador de forma motivada, métrica a métrica.

TF6. (Facultad) Una cadena de vulnerabilidades puede dividirse en varios registros o no asignarse.

TO15. (Obligación) La función CNA se ejerce como rol y no queda vinculada a persona determinada.

TO16. (Obligación) Quien figure como descubridor y quien actúe como analista de un mismo registro son personas distintas.

C.8. Límites

TP5. (Prohibición) La inteligencia artificial no determina la validez ni la criticidad. Su salida es insumo y no decisión.

TP6. (Prohibición) Los mecanismos de flujo no se emplean para alterar la validez ni la criticidad de un reporte.

TP7. (Prohibición) El triaje no exige al investigador información que su posición externa no le permita conocer razonablemente.

TO17. (Obligación) El triaje aplica idénticos criterios entre programas.

TO25. (Obligación) Todo reporte recibido es revisado. Ningún reporte se cierra sin revisión previa.

TO26. (Obligación) La revisión de un reporte y la resolución de una disputa se realizan sin demora injustificada.

TP10. (Prohibición) El triaje no dispensa trato distinto por razón de género, raza, orientación sexual, religión, origen o cualquier otra condición personal.

C.9. Expectativas de servicio

C.9.1. Secur0 no establece un acuerdo de nivel de servicio con plazos exigibles para la revisión de reportes. La plataforma es reciente y un compromiso de esa naturaleza no podría sostenerse hoy con honestidad. En su lugar se publican los tiempos efectivamente observados, que orientan sin obligar.

C.9.2. Todo reporte es revisado, conforme a TO25.

C.9.3. La revisión de un reporte se completa habitualmente en menos de una semana y rara vez excede de dos.

C.9.4. El tiempo transcurrido entre la corrección de un fallo y la publicación de su identificador CVE se sitúa en una mediana aproximada de treinta y tres días.

C.9.5. Las cifras de C.9.3 y C.9.4 son orientativas, se calculan sobre datos públicos y se actualizan de forma periódica. No constituyen derecho exigible ni acuerdo de nivel de servicio, y su superación en un caso concreto no constituye infracción.

C.9.6. Secur0 no puede garantizar hoy los plazos de respuesta de las empresas participantes. Se compromete a impulsar la tramitación de los reportes ante ellas y a informar al investigador del estado de sus gestiones.

C.9.7. Lo dispuesto en esta sección no exime del deber de revisión establecido en TO25 ni del de resolver sin demora injustificada establecido en TO26.

Las Normas se publican en cuatro partes: preliminar y definiciones, normas del investigador, normas de la empresa, y normas del triaje y de la función CNA. La convención de los identificadores (HD, HO, HP, EO, EF, EP, TO, TF, TP) se explica en 0.7, en la parte preliminar.