Política de divulgación de vulnerabilidades
Última actualización: noviembre de 2026
La versión inglesa de esta página es la de referencia.
Esta política explica cómo informar de una vulnerabilidad en un producto ConnectMyAssets, qué hacemos con su informe y qué puede esperar de nosotros. Es la política a la que remite nuestro security.txt.
1. Nuestro compromiso
ConnectMyAssets se toma en serio la seguridad de sus productos. Agradecemos los informes de vulnerabilidades de investigadores de seguridad, clientes y socios, y tratamos cada informe de forma prioritaria.
Informarnos de una vulnerabilidad no es un acto hostil: es la vía más rápida para proteger las redes que operan nuestros clientes.
2. Cómo informar
Envíe su informe a security@connectmyassets.com. Si necesita cifrarlo, indíquelo en un primer mensaje y acordaremos un canal con usted.
Qué debe incluir
- –El producto y la versión afectados
- –Una descripción de la vulnerabilidad
- –Los pasos para reproducirla
- –El impacto que usted le atribuye
- –Cómo podemos localizarle
3. Alcance
Dentro del alcance
- –El appliance ConnectMyAssets, sistema y aplicación
- –ConnectMyAssets Central
- –Este sitio web, connectmyassets.com
Fuera del alcance
- –Denegación de servicio volumétrica
- –Ingeniería social contra nuestro personal o nuestros clientes
- –Ataques físicos contra nuestras instalaciones o las de nuestros clientes
- –Vulnerabilidades en los equipos de red de nuestros clientes, que corresponden a sus fabricantes
- –Fallos ya públicos de software de terceros, salvo que nuestra integración los agrave
4. Nuestros compromisos
Desde la recepción de su informe
- –Acusamos recibo en un plazo de 3 días hábiles
- –Le enviamos una primera evaluación en un plazo de 10 días hábiles
- –Le mantenemos informado durante el tratamiento
- –Corregimos el problema en un plazo acorde con su gravedad
- –Le avisamos antes de publicar nada al respecto
5. Divulgación coordinada
Le pedimos que espere 90 días antes de hacer públicas sus conclusiones, para que nuestros clientes puedan desplegar la corrección. Ese plazo es ajustable de común acuerdo: más corto una vez entregada la corrección, más largo en casos complejos o que impliquen a un tercero.
Acreditamos a quien descubre el fallo en el aviso de seguridad, con el nombre que elija. Quien prefiera permanecer anónimo no será nombrado.
6. Protección del investigador
No emprenderemos acciones legales contra una investigación de buena fe que respete esta política. Respetarla significa: no acceder a datos ajenos más allá de lo estrictamente necesario para demostrar el fallo, no interrumpir el servicio, informar con rapidez y no divulgar nada antes de la fecha acordada.
Si un informe le lleva fuera de ese marco, díganoslo: preferimos hablarlo antes que enterarnos después.
7. Avisos de seguridad
Cada vulnerabilidad corregida que afecte a una versión desplegada es objeto de un aviso de seguridad: qué está afectado, la gravedad, la versión corregida y las soluciones temporales. Los avisos llegan a los clientes afectados por su canal de soporte habitual.
Para incorporarse a esa distribución, o para solicitar un aviso anterior, escriba a security@connectmyassets.com.
8. Notificación reglamentaria
Como fabricante de un producto con elementos digitales, notificamos las vulnerabilidades explotadas activamente y los incidentes de seguridad graves al CSIRT coordinador (la ANSSI en Francia) y a ENISA, en los plazos fijados por el Reglamento (UE) 2024/2847, el Cyber Resilience Act: alerta temprana en 24 horas, notificación en 72 horas y después un informe final.
Esta notificación es una obligación frente a las autoridades. No sustituye ni retrasa lo que le debemos a usted: los plazos de esta política siguen vigentes.
9. Sin programa de recompensas
No tenemos un programa de recompensas ni pagamos por los informes. Lo que ofrecemos: un análisis serio, una corrección y el crédito en el aviso de seguridad si así lo desea.
Informes: security@connectmyassets.com