Divulgación responsable

Política de divulgación responsable/divulgación de vulnerabilidades

En Choice Hotels International, apreciamos y alentamos a los investigadores de seguridad a contactarnos para informar posibles vulnerabilidades identificadas en cualquier producto, sistema o activo que nos pertenezca. En apoyo a esto, establecimos una Política de divulgación responsable, también llamada Política de divulgación de vulnerabilidad. Perfeccionaremos y revisaremos esta política a medida que avancemos hacia el futuro; no dejes de consultar esta página para conocer las actualizaciones.

Mensaje especial para el investigador de seguridad/comunidad de denunciantes de vulnerabilidad

Gracias por notificarnos sobre posibles deficiencias en nuestra seguridad. Agradecemos a aquellos de ustedes que se comunican con nosotros para rectificar las vulnerabilidades a fin de garantizar el menor impacto y riesgo para nuestras comunidades de partes interesadas, y en apoyo, hemos establecido una Política de divulgación responsable/divulgación de vulnerabilidades.

Acción legal

No emprenderemos acciones legales ni iniciaremos una queja ante la seguridad pública o contra el buscador o investigador que opere de buena fe. Sin embargo, Choice Hotels International se reserva todos los derechos legales en caso de incumplimiento de las Pautas para operar bajo buena fe incluidas en la política.

Recompensa

Ten en cuenta que Choice Hotels International actualmente no ofrece un programa de “recompensas de errores” (bug bounty); por lo tanto, no extendemos ninguna oferta de compensación o recompensa ni reconocimiento público por la presentación de vulnerabilidades potenciales.

Pautas para operar de buena fe

Para promover el descubrimiento y la notificación de vulnerabilidades, te pedimos lo siguiente:

• Ser respetuoso de nuestras aplicaciones existentes; actuar para evitar infracciones a la privacidad, destrucción de datos e interrupción o degradación de nuestros servicios (incluida la denegación de servicio)
• No acceder ni modificar nuestros datos o los datos de nuestras partes interesadas
• Contactarnos de inmediato si encuentras datos de partes interesadas No consultar, alterar, destruir, guardar, compartir, almacenar, transferir, acceder o de otra manera comprometer los datos, y omite cualquier información local cuando nos informes de la vulnerabilidad
• Si te encuentra información personal (por ejemplo, nombres, direcciones físicas, direcciones de correo electrónico, números de cuentas de lealtad, identificadores únicos, números de tarjetas de crédito), detén toda actividad y comunícate inmediatamente con Choice Hotels International.
• No generar transacciones financieras fraudulentas
• No participar en ninguna actividad que infrinja a) las leyes o regulaciones federales, estatales o internacionales o b) las leyes o regulaciones de cualquier país donde i) residen activos, datos o sistemas, ii) el tráfico de datos se enruta, iii) el investigador realiza una actividad de investigación o iv) donde residen los interesados
• Comparte el problema de seguridad o privacidad con nosotros.

Proceso de divulgación responsable/divulgación de vulnerabilidades: cómo presentar una vulnerabilidad

Para divulgar una posible vulnerabilidad, envía un correo electrónico a los equipos de seguridad de la información y privacidad: responsibledisclosure@choicehotels.com.

Formato de presentación

Cuando informes una vulnerabilidad potencial, incluye una descripción detallada de la vulnerabilidad: herramientas utilizadas, destino, procesos y resultados. Para respaldar tus hallazgos, adjunta cualquier método pertinente que utilizaste para el descubrimiento. Aunque no es necesario para la revisión, validación o verificación de la vulnerabilidad, si tienes información sobre la solución de la vulnerabilidad, comparte tu resolución propuesta.

Confirmación y respuesta

Cuando el equipo de seguridad de la información recibe un informe, enviaremos una confirmación en respuesta al remitente dentro los cinco días hábiles posteriores. Podríamos enviar una solicitud de seguimiento para obtener más información según sea necesario. Después de la validación o verificación de una vulnerabilidad, enviaremos una respuesta de seguimiento al remitente.

Periodo de tiempo

Choice Hotels International no negociará en respuesta a una amenaza (por ejemplo, no negociaremos bajo amenaza de retención o amenaza de liberar la vulnerabilidad al público). Dicho esto, dedicamos nuestros recursos a trabajar contigo y te pedimos que nos permitas un tiempo razonable tanto para la validación y verificación como para la resolución de la vulnerabilidad antes de tomar medidas para hacerla pública.

Informes de vulnerabilidad externa

Choice Hotels International determinará a discreción si comunica información de vulnerabilidad a terceros o a colaboradores.

Fuera de alcance

Lo siguiente está fuera del alcance de la presentación bajo la Política de divulgación responsable. Entre las vulnerabilidades fuera de alcance se incluyen las siguientes:

• Ingeniería social, como intentos de robo de cookies, páginas de inicio de sesión falsas para recopilar credenciales y phishing
• Ataques de agotamiento de los recursos
• Análisis físicos
• Ataques de denegación de servicio

Volver arriba