Como empresa de tecnología, PRONETSYS S.A.S. (en adelante, «Pronetsys» o «la Compañía») reconoce el valor del trabajo de los investigadores de seguridad y de cualquier persona que, de buena fe, identifique una vulnerabilidad en sus sistemas. Esta Política explica qué sistemas pueden analizarse, cómo reportar un hallazgo y qué puede esperar de la Compañía.
El objetivo es corregir las vulnerabilidades antes de que puedan ser explotadas, mediante un proceso de divulgación coordinada que proteja a los usuarios, a los clientes y a quienes reportan.
1. Alcance
Esta Política aplica a los siguientes activos, operados directamente por la Compañía:
| Activo | Observaciones |
|---|---|
| Sitio web corporativo https://pronetsys.com.co | Incluye sus páginas públicas y formularios. La página de acceso del portal administrativo está incluida, pero no se permiten ataques de fuerza bruta ni intentos de adivinar credenciales. |
| Portal de soporte https://soporte.pronetsys.com.co | Errores de configuración o de la implementación de la Compañía. Las vulnerabilidades del software de mesa de ayuda en sí deben reportarse también a su proyecto o fabricante. |
| Otros subdominios del sitio web corporativo operados por la Compañía | Si tiene dudas sobre si un subdominio está incluido, consulte antes de realizar pruebas. |
2. Fuera de alcance
Las siguientes actividades y sistemas están excluidos de esta Política y no están autorizados:
- Ataques de denegación de servicio (DoS o DDoS), pruebas de carga o de estrés, y cualquier acción que degrade la disponibilidad de los servicios.
- Ingeniería social, incluidos el phishing, el vishing o la suplantación dirigidos a trabajadores, clientes o proveedores de la Compañía.
- Pruebas de seguridad física sobre equipos de la Compañía, lugares de trabajo de sus colaboradores, centros de datos de sus proveedores o sedes de sus clientes.
- Envío masivo de mensajes o de reportes de prueba a través del formulario de contacto, la Línea Ética o los canales de atención.
- Sistemas, sitios web, aplicaciones o servidores de clientes de la Compañía, aunque estén alojados, administrados o soportados por ella. Las pruebas sobre esos sistemas requieren la autorización de su titular.
- Servicios de terceros, como WhatsApp, Google, Microsoft, proveedores de infraestructura en la nube y la tienda o catálogo externo enlazado desde el sitio, que deben reportarse a sus respectivos responsables.
Tampoco se consideran, por regla general, vulnerabilidades que requieran gestión bajo esta Política los siguientes hallazgos, salvo que se demuestre un impacto real y explotable:
- Resultados de escáneres automatizados sin validación manual.
- Ausencia de encabezados de seguridad o de atributos de cookies sin un escenario de explotación concreto.
- Divulgación de versiones de software o de mensajes de error sin información sensible.
- Clickjacking en páginas sin acciones sensibles, o self-XSS.
- Configuraciones de registros SPF, DKIM o DMARC sin una demostración de suplantación efectiva.
Si encuentra una vulnerabilidad en un sistema de un cliente de la Compañía, puede informarla a soporte@pronetsys.com.co sin realizar pruebas adicionales. La Compañía la trasladará al cliente cuando le preste servicios relacionados con ese sistema.
3. Cómo reportar una vulnerabilidad
Envíe su reporte al correo de seguridad soporte@pronetsys.com.co, en español o en inglés. Para facilitar la evaluación, incluya:
- Descripción. Tipo de vulnerabilidad y activo afectado (URL, parámetro, componente o subdominio).
- Pasos para reproducirla. Instrucciones claras y, si es posible, una prueba de concepto que no cause daño ni acceda a datos de terceros.
- Impacto. Su evaluación del impacto potencial y del escenario de explotación.
- Evidencias. Capturas de pantalla, solicitudes y respuestas HTTP o registros relevantes, sin incluir datos personales de terceros.
- Contacto. Un medio para comunicarse con usted y, si lo desea, el nombre con el que quiere ser reconocido.
Puede reportar de forma anónima; sin embargo, sin un medio de contacto la Compañía no podrá informarle sobre el avance ni solicitarle aclaraciones. Si en el archivo security.txt se publica una clave de cifrado, se recomienda usarla para enviar información sensible.
4. Compromisos de respuesta
Al recibir un reporte que cumpla esta Política, la Compañía se compromete a:
| Etapa | Plazo | Descripción |
|---|---|---|
| Acuse de recibo | Hasta 3 días hábiles | Confirmación de que el reporte fue recibido, con un número de referencia. |
| Evaluación inicial | Hasta 10 días hábiles | Validación del hallazgo, clasificación de su severidad y comunicación de la decisión sobre su gestión. |
| Seguimiento | Al menos cada 15 días hábiles | Actualizaciones periódicas sobre el avance de la corrección hasta su cierre. |
| Cierre | Según severidad y complejidad | Aviso de la corrección o de las medidas de mitigación adoptadas y coordinación de la divulgación. |
La Compañía priorizará la corrección según la severidad y el riesgo del hallazgo, y tratará el reporte y la identidad de quien lo envía con confidencialidad. Si la vulnerabilidad afecta a clientes, la Compañía les informará lo necesario para que adopten medidas de protección.
5. Divulgación coordinada
Se solicita a quien reporta no divulgar públicamente la vulnerabilidad ni compartirla con terceros hasta que la Compañía confirme su corrección o hasta que transcurran noventa (90) días calendario desde el reporte, lo que ocurra primero, salvo que las partes acuerden otro plazo. Si la corrección requiere más tiempo, la Compañía explicará los motivos y propondrá una nueva fecha.
Antes de cualquier publicación, se pide compartir el borrador con la Compañía para verificar que no incluya información que ponga en riesgo a usuarios o clientes.
6. Reglas para la investigación
Para que la investigación se considere de buena fe y quede cubierta por esta Política, quien la realiza debe:
- Limitar las pruebas a los activos incluidos en el alcance y utilizar únicamente cuentas propias o de prueba.
- No acceder, modificar, eliminar ni cifrar datos de terceros, y no alterar la configuración de los sistemas.
- No extraer ni conservar información; demostrar la vulnerabilidad con la mínima cantidad de datos necesaria.
- Detenerse de inmediato si encuentra datos personales, información confidencial o credenciales, no seguir explorándolos, reportar el hallazgo y eliminar cualquier copia que hubiera obtenido.
- No usar la vulnerabilidad para obtener acceso adicional, moverse lateralmente ni mantener persistencia.
- Evitar acciones que afecten la disponibilidad, la integridad o el rendimiento de los servicios, y limitar la frecuencia de las solicitudes automatizadas.
- Reportar el hallazgo sin demora injustificada y respetar el periodo de divulgación coordinada.
- No exigir pagos ni condicionar la entrega de información a una recompensa.
- Cumplir la legislación aplicable.
7. Puerto seguro
La Compañía considera autorizada la investigación de seguridad realizada de buena fe y conforme a esta Política. Respecto de dicha investigación, la Compañía:
- No iniciará acciones legales ni presentará denuncias contra quien la haya realizado.
- No la considerará un incumplimiento de los Términos y Condiciones del sitio web.
- Si un tercero inicia acciones relacionadas con la investigación, dará a conocer que esta se realizó de conformidad con esta Política.
Este compromiso solo cubre actividades realizadas sobre los activos incluidos en el alcance y conforme a las reglas de esta Política. No vincula a terceros ni a las autoridades, y no autoriza pruebas sobre sistemas de clientes ni de otros proveedores. Si tiene dudas sobre si una actividad está permitida, consulte antes a soporte@pronetsys.com.co.
8. Reconocimiento
La Compañía no ofrece un programa de recompensas económicas (bug bounty). Cualquier retribución económica solo procederá si existe un acuerdo previo y escrito con la Compañía.
Como muestra de agradecimiento, y con el consentimiento de quien reporta, la Compañía podrá reconocer públicamente su contribución una vez corregida la vulnerabilidad, con el nombre o seudónimo que esa persona indique.
9. Archivo security.txt
La información de contacto para reportes de seguridad también se publica en el archivo /.well-known/security.txt, conforme al estándar RFC 9116 de la IETF. Ese archivo indica el canal de contacto, el enlace a esta Política y su fecha de expiración, y se actualiza periódicamente.
10. Marco legal
Esta Política se enmarca en la legislación colombiana, en particular la Ley 1273 de 2009, que protege la información y los datos y tipifica los delitos informáticos, y la Ley Estatutaria 1581 de 2012, sobre protección de datos personales. Las actividades que excedan el alcance o las reglas de esta Política no se consideran autorizadas por la Compañía.
11. Tratamiento de los datos de quien reporta
Los datos personales que suministre quien reporta se usarán únicamente para gestionar el reporte, comunicarse con esa persona y, si lo autoriza, reconocer su contribución, conforme a la Política de Tratamiento de Datos Personales.
12. Vigencia y actualizaciones
Esta Política rige desde su publicación y podrá actualizarse para reflejar cambios en los activos, los procesos o la normativa. Los reportes se gestionarán conforme a la versión vigente en la fecha de su recepción. Para otros asuntos de seguridad de la información, consulte la Política de Seguridad de la Información.