Política de Divulgación Responsable

Tech del Fuego se dedica profesionalmente a la ciberseguridad y entiende que la colaboración con la comunidad de investigadores en seguridad es un pilar fundamental para mantener sus sistemas, los de sus clientes y los de internet en general en condiciones razonables de protección. La presente Política de Divulgación Responsable establece el marco bajo el cual Tech del Fuego recibe, investiga, remedia y reconoce los reportes de vulnerabilidades que afecten a su infraestructura propia.

Esta política se inspira en las prácticas internacionales de divulgación coordinada y en los compromisos de buena fe que Tech del Fuego solicita a sus propios clientes en el marco de los servicios contratados. Su existencia constituye un acto de coherencia: ofrecer a los investigadores externos el mismo marco de seguridad jurídica que el Emisor exige para sus actividades profesionales.

1. Naturaleza y compromiso

1.1. El Emisor se compromete públicamente a recibir, investigar y remediar de buena fe los reportes de vulnerabilidades que se le presenten conforme al procedimiento descripto en esta política, dentro de los plazos comprometidos y con las garantías de no persecución legal establecidas en la cláusula 8.

1.2. El Emisor reconoce el valor del trabajo de los investigadores en seguridad y considera que la divulgación coordinada beneficia tanto a los titulares de los sistemas como a sus usuarios. La presente política tiene por objeto facilitar dicha colaboración estableciendo reglas claras y previsibles para ambas partes.

2. Alcance

2.1. Esta política se aplica a las vulnerabilidades de seguridad detectadas en activos digitales de titularidad de Tech del Fuego. Se consideran activos en alcance, sin que esta enumeración sea taxativa, los siguientes:

• El sitio web institucional alojado en techdelfuego.com y la totalidad de sus subdominios.
• Los servicios de correo electrónico asociados a los dominios bajo control de Tech del Fuego.
• Las APIs públicas o servicios accesibles por internet operados por Tech del Fuego, cuando existan.
• Los repositorios de código publicados por Tech del Fuego en plataformas como GitHub, GitLab u otras de naturaleza análoga.
• Los archivos de configuración pública del dominio, incluyendo registros DNS, certificados publicados en logs de Certificate Transparency y el archivo security.txt.

2.2. Quedan expresamente fuera de alcance, sin perjuicio de su eventual relevancia para terceros:

• La infraestructura de proveedores de servicios utilizada por Tech del Fuego (servicios de cloud, registradores de dominio, plataformas de correo, plataformas de hosting). Tales reportes deben dirigirse al titular del activo correspondiente.
• Los activos digitales de los clientes de Tech del Fuego, los cuales se rigen por las políticas y canales que cada cliente determine en su propia infraestructura.
• Las cuentas personales de empleados, colaboradores o asociados de Tech del Fuego en redes sociales, plataformas de mensajería o cualquier servicio de uso personal.

3. Cómo reportar una vulnerabilidad

El canal exclusivo de recepción de reportes es la dirección nicolasoroz@techdelfuego.com. Cuando se publique una clave PGP del Emisor, su huella se incluirá en el archivo security.txt y se aceptarán reportes cifrados con dicha clave para los casos en que el contenido del reporte lo amerite.

Para que un reporte sea considerado válido, debe contener al menos la siguiente información:

• Identificación clara del activo afectado, incluyendo URL o componente específico.
• Descripción técnica de la vulnerabilidad, con suficiente detalle para que el Emisor pueda comprenderla y reproducirla.
• Pasos detallados para la reproducción, incluyendo solicitudes, parámetros, encabezados y cargas útiles cuando corresponda.
• Evaluación del impacto potencial: qué se expone, qué se compromete, qué se podría hacer si la vulnerabilidad fuera explotada por un actor malicioso.
• Cualquier prueba de concepto que el investigador haya elaborado, incluyendo capturas, registros o pequeñas piezas de código no destructivas.
• Datos de contacto del reportante para el seguimiento, incluyendo al menos una dirección de correo electrónico funcional.
• Indicación expresa de si el reportante consiente o no ser reconocido públicamente en el marco de la cláusula 9 de la presente política.

4. Compromisos del Emisor

4.1. Recibido un reporte que cumpla los requisitos mínimos establecidos en la cláusula 3, el Emisor asume los siguientes compromisos:

• Acuse de recibo dentro de los cinco (5) días hábiles siguientes a la recepción del reporte.
• Triaje inicial dentro de los quince (15) días hábiles siguientes al acuse de recibo, con comunicación al reportante de la calificación de severidad asignada y de la calificación del reporte como válido, duplicado o no aplicable.
• Comunicación periódica del estado del proceso de remediación al reportante, con una cadencia mínima de una actualización cada treinta (30) días corridos hasta el cierre del caso.
• Notificación al reportante del cierre del caso, ya sea por remediación efectiva, por reclasificación, o por imposibilidad de remediación, con la justificación correspondiente.

4.2. Plazos de mitigación según severidad. Los plazos de mitigación se definen en función de la severidad asignada al hallazgo, conforme a la siguiente tabla:

4.3. Cuando un reporte involucre vulnerabilidades en componentes provistos por terceros (librerías, servicios, dependencias), el Emisor escalará el reporte al titular del componente y mantendrá al reportante informado del avance, sin que los plazos de la cláusula 4.2 se apliquen estrictamente al tercero.

5. Compromisos del investigador

Para acogerse al marco de buena fe establecido en la cláusula 8, el investigador asume los siguientes compromisos durante la investigación y el reporte:

• Reportar la vulnerabilidad al Emisor antes de divulgarla a terceros, salvo lo previsto en la cláusula 7 sobre divulgación coordinada.
• No acceder, modificar, transferir, almacenar ni eliminar datos de Tech del Fuego o de sus clientes en exceso de lo estrictamente necesario para evidenciar la vulnerabilidad.
• Detener la actividad de prueba en cuanto se haya confirmado la existencia de la vulnerabilidad, sin profundizar en la explotación más allá de lo necesario para el reporte.
• Eliminar de forma segura, una vez aceptado el reporte, cualquier dato, credencial o artefacto obtenido durante la investigación.
• No utilizar técnicas que puedan degradar la disponibilidad o la integridad de los servicios, incluyendo pruebas de denegación de servicio, fuerza bruta sostenida o tráfico que exceda significativamente el comportamiento ordinario.
• No interactuar con personas físicas (empleados, colaboradores, clientes del Emisor) mediante técnicas de ingeniería social, phishing simulado u otras formas de manipulación.
• No instalar puertas traseras, software persistente, ni cualquier mecanismo que permita un acceso ulterior fuera del marco de la investigación.
• Respetar las leyes aplicables y, en particular, las normas de la República Argentina relativas a delitos informáticos y protección de datos personales.

6. Clasificación de severidad

6.1. El Emisor asignará a cada reporte válido una calificación de severidad conforme a los criterios orientativos de la tabla incluida en la cláusula 4.2. La asignación final corresponde al Emisor en función del impacto efectivo y las condiciones particulares del caso, y podrá apartarse de la calificación sugerida por el reportante si existieran motivos justificados.

6.2. Cuando el reportante considere que la calificación asignada subestima la severidad real del hallazgo, podrá solicitar su revisión aportando los elementos adicionales que estime pertinentes. El Emisor se compromete a evaluar dichos elementos y a comunicar la decisión final dentro de los diez (10) días hábiles siguientes a la solicitud de revisión.

7. Divulgación coordinada

7.1. El Emisor adhiere al modelo de divulgación coordinada. Como regla general, el reportante se compromete a no divulgar públicamente la vulnerabilidad por un plazo de noventa (90) días corridos contados desde la fecha del reporte, durante el cual el Emisor trabajará en la remediación.

7.2. El plazo previsto en la cláusula 7.1 podrá ser extendido por mutuo acuerdo cuando la complejidad del hallazgo lo justifique, o reducido cuando la remediación efectiva permita la divulgación anticipada.

7.3. Vencido el plazo de divulgación coordinada sin que el Emisor haya remediado la vulnerabilidad o solicitado una extensión justificada, el reportante quedará facultado para divulgar el hallazgo conforme a su criterio profesional, manteniéndose vigentes las garantías de buena fe establecidas en la cláusula 8.

7.4. En caso de vulnerabilidades activamente explotadas en la naturaleza al momento del reporte, el Emisor podrá acordar con el reportante una divulgación inmediata en formato de aviso de seguridad, una vez aplicadas las mitigaciones disponibles, con prescindencia del plazo de la cláusula 7.1.

8. Garantía de buena fe (safe harbor)

8.1. El Emisor se compromete a no iniciar, promover ni patrocinar acciones legales de naturaleza civil, penal o administrativa contra los investigadores que actúen de conformidad con la presente política. Esta garantía constituye una declaración expresa de consentimiento y autorización para los efectos del artículo 153 bis del Código Penal de la Nación, en cuanto requiere ausencia de autorización del titular del sistema para configurar el tipo penal.

8.2. La garantía precedente se extiende exclusivamente a la actividad ejecutada por el investigador dentro del alcance descripto en la cláusula 2 y conforme a los compromisos asumidos en la cláusula 5. No se extiende a actividades fuera de alcance, a actividades sobre infraestructura de terceros, ni a conductas que excedan lo estrictamente necesario para identificar y reportar una vulnerabilidad.

8.3. Si en el curso de una investigación de buena fe el investigador accediera de forma incidental a información que excediera lo necesario para el reporte, ello no le será reprochado siempre que dicha información sea reportada al Emisor, eliminada del entorno del investigador y no sea utilizada para fines distintos a los previstos en esta política.

8.4. La garantía establecida en esta cláusula vincula exclusivamente al Emisor. Las eventuales consecuencias legales derivadas de afectaciones a infraestructura de terceros, a datos personales de personas no relacionadas con Tech del Fuego, o a sistemas distintos de los listados en la cláusula 2, son ajenas al alcance del presente compromiso.

9. Reconocimiento

9.1. El Emisor mantiene una página pública de reconocimiento a investigadores que hayan reportado vulnerabilidades válidas conforme a la presente política. La inclusión en dicha página requiere consentimiento expreso del reportante, expresado en el reporte original o en cualquier momento posterior.

9.2. El Emisor se reserva la posibilidad de mencionar al reportante en publicaciones técnicas, presentaciones profesionales o avisos de seguridad relacionados con el hallazgo, siempre con consentimiento previo y sin revelar detalles que el reportante haya solicitado mantener reservados.

9.3. El Emisor declara que, al momento de la presente versión, no opera un programa de recompensas económicas (bug bounty). Cualquier futura modificación en este sentido se incorporará a una versión actualizada de la política, sin efecto retroactivo sobre reportes anteriores.

10. Hallazgos fuera del alcance de la política

Los siguientes tipos de hallazgos, sin perjuicio de su eventual interés técnico, no se consideran prioritarios bajo la presente política y pueden no recibir el tratamiento previsto en las cláusulas 4 y 7:

• Faltantes de configuración informativa que no impliquen impacto material sobre la confidencialidad, integridad o disponibilidad (por ejemplo, ausencia de encabezados HTTP de seguridad recomendados, divulgación de versiones de software públicamente conocidas).
• Hallazgos derivados de configuraciones por defecto de servicios provistos por terceros, cuya remediación corresponde al proveedor de dicho servicio.
• Reportes basados exclusivamente en herramientas automatizadas, sin verificación manual ni evaluación del impacto.
• Vulnerabilidades teóricas o conceptuales sin demostración técnica de explotabilidad.
• Hallazgos previamente reportados por otro investigador, sin perjuicio del derecho de éste a ser reconocido conforme a la cláusula 9.

11. Marco normativo aplicable

11.1. La presente política se rige por las leyes de la República Argentina, en especial por la Ley N.° 26.388 de Delitos Informáticos y la Ley N.° 25.326 de Protección de los Datos Personales, sus normas reglamentarias y complementarias.

11.2. Toda controversia derivada de la presente política o de su aplicación que no pueda ser resuelta amigablemente entre las Partes será de competencia de los Tribunales Ordinarios de la ciudad de Río Grande, Provincia de Tierra del Fuego, Antártida e Islas del Atlántico Sur, República Argentina.

12. Modificaciones y vigencia

12.1. El Emisor se reserva el derecho de modificar la presente política en cualquier momento. Las modificaciones se publicarán en la URL canónica indicada en la cabecera del presente documento, con incremento de la versión y registro de la fecha de publicación. Las versiones anteriores se mantendrán accesibles a efectos históricos por al menos veinticuatro (24) meses desde su reemplazo.

12.2. Los reportes recibidos durante la vigencia de una versión particular se regirán por dicha versión, salvo que las modificaciones posteriores resulten más favorables al reportante, en cuyo caso podrán aplicarse a su solicitud.

12.3. El archivo security.txt publicado en techdelfuego.com/.well-known/security.txt se mantendrá actualizado con las referencias vigentes a la presente política y a los canales de contacto.