Principios de Triaje

1. Objeto y naturaleza

1.1. Este documento establece los principios que rigen el proceso de triaje de vulnerabilidades de Secur0 y la emisión de identificadores CVE en su condición de CNA.

1.2. Los principios declaran la postura de Secur0. No constituyen contrato, no fijan plazos ni umbrales, no crean por sí mismos derechos exigibles y no son invocables como acuerdo de nivel de servicio.

1.3. Las obligaciones exigibles se establecen en las Normas. Este documento fija el marco al que toda norma debe ajustarse.

1.4. Este documento es público y su versión vigente es la publicada por Secur0.

2. Definiciones

2.1. Investigador. Persona que remite un reporte a través de la plataforma.

2.2. Empresa. Entidad que expone un programa de divulgación de vulnerabilidades o de Bug Bounty en la plataforma.

2.3. Carta del programa. Documento en el que la empresa fija el alcance, las bases legales y los criterios de aceptación de su programa.

2.4. Triaje. Función ejercida por el equipo de Secur0 consistente en validar reportes, determinar su criticidad y comunicar las decisiones.

2.5. Función CNA. Función ejercida por el mismo equipo de triaje, en un punto de control posterior, para la emisión y publicación de identificadores CVE bajo el Root de INCIBE.

2.6. Validez. Determinación de si un reporte describe una vulnerabilidad a efectos del programa.

2.7. Criticidad. Determinación de la severidad de un reporte válido conforme a la métrica vigente.

2.8. Guía pública de criticidad. Documento público y razonado, mantenido por Secur0 y organizado por comportamiento alcanzable, que recoge la interpretación aplicable a la determinación de la criticidad. Su versión vigente es en todo momento la más reciente publicada.

2.9. Doctrina. Interpretación consolidada en la guía pública de criticidad. Las decisiones anteriores forman doctrina únicamente en la medida en que se hayan incorporado a la guía.

2.10. Flujo. Conjunto de mecanismos que regulan la participación en la plataforma, entre otros la reputación, los límites de envío, los carriles de atención y el acceso a programas privados.

2.11. Usuario final. Persona que utiliza el sistema afectado por una vulnerabilidad y que no interviene en el proceso de triaje.

2.12. Divulgación. Publicación del detalle técnico de un reporte validado y corregido. Es independiente de la emisión de un identificador CVE y no requiere que esta sea posible.

2.13. Adjudicabilidad. Aptitud de un reporte para recibir un identificador CVE conforme a los requisitos de la sección 8 de este documento. Su ausencia no afecta a la validez, a la criticidad ni a la divulgación.

3. Suelo normativo

3.1. El triaje opera dentro de la legislación local e internacional aplicable, la ética hacker y los principios de divulgación coordinada.

3.2. Ninguna consideración operativa, comercial o reputacional prevalece sobre lo dispuesto en 3.1.

4. Trato a las partes

4.1. Buena fe. La investigación de seguridad realizada de buena fe y dentro del alcance constituye actividad legítima. Los reportes se reciben bajo presunción de buena fe. Dicha presunción es un deber del triaje y no se otorga ni se retira de forma discrecional.

4.2. Indiferencia a la identidad. La valoración de un reporte no depende de la identidad, la reputación, las credenciales ni el historial del investigador, ni de las herramientas empleadas en su elaboración.

4.3. Ausencia de represalia. El ejercicio de una disputa o la discrepancia con una decisión no genera consecuencia adversa alguna para el investigador.

4.4. Respeto entre las partes. Las partes se tratan con respeto, profesionalidad y buena fe, y se dirigen entre sí en la forma que cada una haya manifestado preferir. No se admite trato desconsiderado ni distinción alguna por razón de género, raza, orientación sexual, religión, origen o cualquier otra condición personal.

4.5. Asimetría de información. El investigador accede al sistema desde su superficie externa. No se le exige información que su posición no le permita conocer razonablemente. La información de origen interno se solicita a la empresa.

5. Adjudicación

5.1. Impacto demostrado. La criticidad se determina por el impacto demostrado y no por la categoría taxonómica del fallo.

5.2. Carga de la prueba. La demostración del impacto corresponde al investigador. Una afirmación de impacto no demostrada no constituye impacto, y su ausencia no obliga al triaje a demostrarla ni a refutarla.

5.3. Anclaje sobre marco. El punto de partida de la adjudicación es la guía pública de criticidad en su versión vigente. La severidad propuesta en el reporte tiene carácter de propuesta y no de valor por defecto. La calidad formal de un reporte no traslada su marco a la decisión.

5.4. Determinismo. Ante los mismos hechos demostrados, conforme a la misma versión de la guía y en el mismo punto de control, la decisión es la misma con independencia del programa, del momento y de la persona que la adopte.

5.5. Motivación y registro. Los criterios de puntuación son públicos. Toda decisión se motiva métrica a métrica y queda registrada.

5.6. Revisión. Una decisión puede revisarse ante evidencia nueva o error identificado, con expresión de motivo y con registro. No se garantiza la invariabilidad de una puntuación; sí su trazabilidad.

5.7. Herramientas automatizadas. Se admite el uso de herramientas de inteligencia artificial en la elaboración y en el análisis de reportes. El investigador responde de la exactitud de lo que remite con independencia de su origen. La determinación de validez y criticidad corresponde en todo caso a una persona.

6. Autoridad y sus límites

6.1. El triaje determina la validez y la criticidad de un reporte. La validez se determina aplicando los términos del programa correspondiente, que prevalecen en materia de alcance y de aceptación.

6.2. La empresa determina la corrección del fallo y la asunción del riesgo. No determina la validez ni la criticidad.

6.3. Separación de flujo y adjudicación. Los mecanismos de flujo no alteran la validez ni la criticidad de un reporte, y no se aplican como respuesta a una discrepancia técnica.

6.4. Carácter funcional del CNA. La función CNA se ejerce como rol dentro del equipo de triaje y no queda vinculada a persona determinada.

7. Divulgación

7.1. Ámbito. Esta sección se aplica a todo reporte, con independencia de que resulte adjudicable a efectos de CVE.

7.2. Orden. La divulgación es coordinada y sigue el orden de reporte, corrección y publicación.

7.3. Finalidad. El orden establecido en 7.2 se dispone en protección del usuario final.

7.4. Universalidad. Todo reporte validado y corregido es susceptible de divulgación. La imposibilidad de emitir un identificador CVE no priva al investigador de la divulgación ni del reconocimiento de su hallazgo.

7.5. Autorización. La divulgación requiere autorización expresa conforme a lo dispuesto en las Normas y en el programa aplicable.

7.6. Plazo. El deber de diligencia de la empresa y el derecho a divulgar están sujetos a plazo.

7.7. Determinación de la fecha. La fecha de divulgación se determina de común acuerdo entre las partes. Secur0 se pronuncia de forma motivada sobre toda solicitud de autorización. Ninguna parte puede aplazar de forma indefinida la decisión sobre la divulgación.

8. Emisión de identificadores CVE

8.1. Ámbito. Esta sección se aplica únicamente a los reportes adjudicables. No limita lo dispuesto en la sección 7.

8.2. Puerta de versionado. Solo se emiten identificadores CVE sobre vulnerabilidades en sistemas versionados bajo control del usuario. No se emiten sobre servicios en la nube ni sobre software no versionado bajo control exclusivo del proveedor.

8.3. Efecto de la no adjudicabilidad. La no adjudicabilidad de un reporte es una consecuencia de la naturaleza del sistema afectado y no una valoración sobre el reporte.

8.4. Independencia de estados. La reserva de un identificador CVE y su publicación son estados independientes. Un identificador reservado no autoriza la divulgación.

8.5. Requisitos de publicación. El identificador CVE se publica una vez validado el reporte, aplicada la corrección y conforme a la valoración de la función CNA.

8.6. Estándar CVE. El registro CVE es público y permanente, se emite bajo el Root de INCIBE y se sustenta en la mejor evidencia disponible, habitualmente la corrección publicada. La criticidad determinada en fase CVE prevalece sobre cualquier determinación anterior, incluida la adoptada por el triaje en la fase de reporte. Su divergencia respecto de la criticidad aceptada en el reporte constituye una nueva valoración sobre mejor evidencia en un punto de control previamente definido, y no una modificación de la decisión anterior.

9. Supremacía, interpretación y reforma

9.1. Supremacía. Toda norma aplicable al triaje, a las empresas o a los investigadores se interpreta y se aplica conforme a estos principios. La norma que los contradiga resulta inaplicable en la parte contradictoria y se corrige.

9.2. Regla de aplicación. Cuando un principio y una norma resuelvan el mismo supuesto, se aplica la norma, salvo en lo que resulte contraria al principio.

9.3. Interpretación. Ante dos lecturas igualmente defendibles de una norma, prevalece la que mejor sirva a la protección del usuario final.

9.4. Irretroactividad. Las modificaciones de este documento rigen hacia el futuro. Una decisión adoptada se valora conforme al marco vigente en la fecha en que se adoptó.

9.5. Reforma. Toda modificación de este documento se publica con indicación de su fecha, de su contenido y de su motivo.

9.6. Carácter no exhaustivo. Este documento regula la postura y no el procedimiento. Lo no resuelto en él se resuelve en las Normas, dentro del marco que establece.