Código de conducta

Esta es una traducción no oficial, pensada para hacer el texto accesible. El texto en inglés es el que rige.

Todas las personas voluntarias de CSIRT.global cumplen nuestro Código de conducta:

1. CSIRT.global es un equipo global de respuesta a incidentes de seguridad informática. Nos dirigen personas voluntarias y trabajamos con personas voluntarias que quieren hacer más seguro el mundo digital.
2. CSIRT.global busca divulgar vulnerabilidades y comunicar sus hallazgos a quienes pueden corregirlas.
3. CSIRT.global lleva a cabo los últimos pasos de un proceso amplio que recorren organizaciones asociadas, investigadores independientes y terceros. Somos conscientes de la importancia de esos últimos pasos y nos tomamos el proceso CSIRT muy en serio.
4. CSIRT.global utiliza información facilitada por terceros. Sabemos que esa información procede de actividades como:
   • Escanear internet en busca de vulnerabilidades, sobre todo Common Vulnerabilities and Exposures (CVE), y comunicar nuestros hallazgos y las posibles soluciones a los responsables de esos sistemas.
   • Analizar sistemas en línea en busca de vulnerabilidades nuevas (días cero), comunicar nuestros hallazgos a los fabricantes y ayudarles a corregirlas.
   • Analizar bases de datos con credenciales filtradas y avisar a las organizaciones o personas afectadas para que tomen las medidas oportunas.
5. Como trabajamos con datos sensibles obtenidos sin consentimiento informado, hemos establecido este Código de conducta como base ética de nuestro trabajo.
6. En la respuesta a incidentes buscamos tanto colaborar con socios de confianza para ampliar nuestro alcance como avisar al mayor número posible de organizaciones y personas.
7. Sabemos que trabajamos con información obtenida en los límites de lo legalmente permitido, así que aplicamos los tres criterios habituales en los procesos judiciales sobre divulgación de vulnerabilidades:
   • Necesidad social: divulgamos vulnerabilidades para evitar daños en línea al mayor número posible de usuarios de internet, y no servimos a ningún interés económico, político o individual concreto.
   • Principio de proporcionalidad: atendemos esa necesidad con medios adecuados. Nuestra investigación debe aumentar, y no reducir, la integridad y la disponibilidad de los sistemas en línea.
   • Principio de subsidiariedad: si existen varios medios para atender la necesidad, elegimos el de menor impacto.
8. Confiamos en los hallazgos de terceros cuando podemos, pero los verificamos cuando hace falta. Queremos evitar comunicar falsos positivos y pasar por alto falsos negativos, lo que a veces obliga a comprobar si una vulnerabilidad existe realmente. Para ello usamos guiones propios basados en pruebas de concepto públicas o en código de explotación no armado, y cuidamos de no dañar sistemas, no descargar demasiados datos personales y no dejar puertas traseras.
9. Nuestros hallazgos suelen consistir en listas de entre unas pocas y millones de direcciones IP, el tipo de vulnerabilidad encontrada, datos de contacto y metadatos (marcas de tiempo, guiones, personas que trabajan en los datos). Son datos sensibles, así que tomamos todas las precauciones necesarias para proteger su confidencialidad.
10. Las vulnerabilidades de día cero las comunicamos primero al fabricante, después solicitamos números CVE y acordamos un plazo razonable para divulgarlas a nuestros Trusted Information Sharing Partners y al público. Lo ideal es que la divulgación vaya precedida de un parche. Si un fabricante tarda claramente en publicarlo y es probable que otros descubran y aprovechen la vulnerabilidad, podemos plantearnos divulgarla para advertir a posibles afectados y aconsejarles medidas de mitigación.
11. Los CVE que encontramos los comunicamos a los responsables de los sistemas, casi siempre generando direcciones de correo a partir de su nombre de dominio, como info@, security@ o abuse@, y a través de las direcciones de abuso registradas de los titulares de las IP. Si no logramos localizar a los responsables de forma automatizada, podemos buscarlos en fuentes (abiertas).
12. También podemos hacerles llegar nuestros hallazgos a través de nuestros Trusted Information Sharing Partners, como equipos de respuesta a emergencias informáticas, equipos de respuesta a incidentes de seguridad, proveedores de internet, organismos públicos u otros institutos de investigación.
13. En nuestro trabajo nos guiamos por nuestra misión: hacer más seguros internet y el mundo conectado. No servimos a los intereses de gobiernos, cuerpos policiales, empresas, particulares ni de nadie más.
14. La diligencia en nuestro proceso CSIRT exige dar seguimiento a lo que comunicamos. Por eso necesitamos conservar datos y registrar nuestras actividades. También podemos necesitarlos en caso de conflicto. Reducimos al mínimo los datos personales que recogemos y conservamos, y somos conscientes de que una dirección IP también puede considerarse información relativa a una persona física identificada o identificable. Consideramos que este tratamiento es proporcionado a nuestro objetivo de hacer más seguros internet y el mundo conectado.
15. Según el incidente, podemos informar de nuestros hallazgos a la comunidad de seguridad en sentido amplio o a los medios. En ese caso solo utilizamos estadísticas agregadas o información de tendencias. No utilizamos datos personales identificables (PII).
16. Todo lo que publicamos está disponible en nuestro sitio https://csirt.global.
17. Nuestros informes están disponibles bajo licencia Creative Commons.
18. Comunicamos sistemas vulnerables. Aunque podemos trasladar información de terceros sobre la corrección en la medida de lo posible, la corrección es responsabilidad exclusiva de quien gestiona el sistema.
19. CSIRT.global es responsable de dar a conocer estas normas a sus miembros. Cada miembro es responsable de cumplirlas. Si no lo hace, la junta tomará las medidas oportunas, por ejemplo revocando su acceso.
20. Somos conscientes de las diferencias geográficas en cultura, derecho y costumbres. Ofrecemos vías de escalado por si surgen conflictos derivados de las diferencias entre las regiones en las que operamos. Animamos a los miembros a utilizarlas.
21. En el trato personal somos una organización abierta, acogedora, que aprende y que enseña. Creemos en la diversidad.
22. Animamos a los miembros a interpelar a otros sobre conductas que consideren inadecuadas, y ofrecemos además vías de escalado para quienes prefieran no hacerlo directamente. Entendemos que puede haber muy buenas razones para no abordar las cosas de forma directa.
23. Las sugerencias y los comentarios son bienvenidos. Escribe a nuestro secretario Vincent Thiele.