¿Qué es Coordinated Disclosure?
Coordinated Vulnerability Disclosure
Es el proceso mediante el cual una vulnerabilidad de seguridad se mantiene confidencial hasta que el propietario del sistema toma medidas y luego se anuncia al público de manera planificada.
Definición
La divulgación coordinada de vulnerabilidades (coordinated disclosure) es un modelo de colaboración entre investigadores de ciberseguridad y fabricantes de software. En lugar de anunciar la vulnerabilidad crítica encontrada directamente a todo el mundo, el investigador primero se la comunica al desarrollador y le concede un plazo razonable para preparar un parche. Una vez publicado el parche, la vulnerabilidad se comparte con el público para animar a los usuarios a actualizar sus sistemas.
Cómo funciona
El investigador detecta la vulnerabilidad y envía un informe privado que contiene los detalles técnicos al equipo de seguridad del fabricante. Las partes acuerdan un calendario determinado para la solución. Tan pronto como el fabricante prepara y publica el parche o al final del período acordado, el hallazgo se divulga oficialmente.
Dónde se usa
Se aplica en investigaciones de ciberseguridad responsable, programas de recompensas por errores (bug bounty) y en los procesos de seguridad de las grandes empresas tecnológicas.
Suele confundirse con
Se confunde con la divulgación completa (full disclosure). En la divulgación completa, la vulnerabilidad se anuncia directamente al público sin tomar ninguna medida; en la divulgación coordinada, primero se espera el parche.
Preguntas y respuestas
¿Qué pasa si la empresa no corrige la vulnerabilidad?
Los investigadores suelen reservarse el derecho de divulgar la vulnerabilidad al público después de un período razonable de 60 o 90 días con el fin de proteger a los usuarios.
¿En qué se diferencia este proceso de los ataques de piratas informáticos?
El investigador no abusa de la vulnerabilidad ni obtiene beneficios, sino que coopera con el fabricante para proteger el sistema y hacerlo seguro.
Términos relacionados
Esta explicación se redactó en lenguaje sencillo para TreScout con IA y se tradujo automáticamente del original en turco · prevalece la versión turca. Si algo le parece erróneo o incompleto, escriba a hello@trescout.com. Leer en turco →