Política de divulgación de vulnerabilidades de Tanium

El compromiso de Tanium con la seguridad y la transparencia

Tanium se enorgullece de actuar como autoridad de numeración de CVE (CNA) en el marco del Programa de Divulgación de Vulnerabilidades de MITRE, reconocido a nivel mundial. Esta designación refleja nuestro profundo compromiso con la transparencia, la seguridad y la colaboración con la comunidad de ciberseguridad en general.

En su calidad de CNA, Tanium está autorizada a asignar identificadores CVE a las vulnerabilidades validadas en nuestros productos y servicios. Esta función mejora nuestra capacidad para prestar apoyo a clientes y socios, al proporcionar información sobre vulnerabilidades de forma oportuna, estructurada y accesible al público. Nuestra participación en el programa CVE garantiza que los investigadores de seguridad, los clientes y las partes interesadas del sector puedan confiar en un proceso coherente y fiable para la divulgación de vulnerabilidades.

El CNA de Tanium emitirá CVE que ayuden a los clientes a resolver vulnerabilidades de seguridad válidas dentro de las siguientes categorías:

• Vulnerabilidades de seguridad en la plataforma Tanium, así como en los productos y soluciones que se han lanzado al mercado y para los que actualmente se ofrece soporte técnico.
• Vulnerabilidades en los sistemas y servicios propiedad de Tanium que intervienen en el alojamiento de Tanium Cloud, las cuales no están relacionadas explícitamente con ningún cliente concreto.
• Vulnerabilidades en la implementación por parte de Tanium de tecnologías o bibliotecas de terceros.

Creemos que colaborar con la comunidad de seguridad beneficia tanto a nuestros clientes como a nuestro software y, por ello, contamos con un programa de recompensas por la detección de fallos que ofrece recompensas a los investigadores que comunican vulnerabilidades de seguridad de forma responsable. Consulte los Términos y condiciones del programa de vulnerabilidad, cuyo enlace figura a continuación, para obtener más detalles sobre los requisitos de participación y el ámbito de aplicación.

Si ha identificado una vulnerabilidad que entra dentro del ámbito de aplicación de los programas CNA o Bug Bounty de Tanium, según lo establecido en los Términos y condiciones de notificación de vulnerabilidades de Tanium, disponibles en y, le rogamos que comunique el problema al equipo de seguridad de productos de Tanium mediante el formulario de envío de HackerOne que figura a continuación.

Nuestro equipo de ingeniería de seguridad acusa recibo, investiga y soluciona con celeridad todos los informes legítimos sobre vulnerabilidades que recibimos.

Objetivos de respuesta

Si identifica y notifica una vulnerabilidad de seguridad de conformidad con estas Condiciones, haremos todo lo posible por cumplir los siguientes plazos de respuesta:

• Plazo hasta la primera respuesta: 2 días hábiles desde la primera presentación
• Tiempo transcurrido hasta la clasificación inicial: 72 horas desde el primer envío
• El tiempo necesario para resolver el problema —incluidas las posibles medidas de mitigación y soluciones, así como los avisos de seguridad— variará en función de la gravedad y la complejidad de la vulnerabilidad.

Tanium mantendrá informados a los investigadores sobre el avance de nuestra revisión durante el proceso de respuesta. Previa solicitud, Tanium reconocerá a la persona que haya informado de una vulnerabilidad en nuestros boletines de seguridad públicos. Si desea incluir información sobre una vulnerabilidad de Tanium en una página web pública u otro medio, le rogamos que colabore con nosotros para coordinar la divulgación de dicha información.

Nuestra máxima prioridad es ofrecer a nuestros clientes una plataforma segura y fiable, por lo que animamos a cualquier persona que detecte una vulnerabilidad o un problema de seguridad a que lo comunique de inmediato. Le rogamos que incluya toda la información posible, como datos sobre la versión, código de prueba de concepto o configuraciones especiales que nos ayuden a validar y reproducir el problema.