Echa un vistazo a cómo Secunia trata con él. Te podría ayudar a lo largo de:
enlace
Si no se conoce ningún contacto de seguridad para el proveedor, un correo electrónico que solicita la dirección de correo electrónico del contacto de seguridad puede enviarse inicialmente a ciertas direcciones de correo electrónico públicas asociadas con el proveedor. Es política de Secunia nunca enviar información de vulnerabilidad a través de formularios en línea. Sin embargo, se pueden usar para solicitar información de contacto de seguridad.
Cuando se identifica un contacto de seguridad u otra dirección de correo electrónico relevante, un proveedor recibe inicialmente un correo con detalles de vulnerabilidad junto con una fecha de divulgación preestablecida (generalmente establecida un miércoles dos semanas después).
Si el proveedor no responde al correo inicial dentro de una semana, se reenvía.
Si no se ha recibido ninguna respuesta el día de la fecha de divulgación preestablecida, la información de vulnerabilidad se publica inmediatamente sin más intentos de coordinación.
Si el proveedor responde al correo inicial o al correo enviado, se puede establecer una nueva fecha de divulgación en caso de que el proveedor no pueda cumplir con la fecha preestablecida.
Secunia espera que los proveedores proporcionen actualizaciones de estado continuas sobre el progreso. Si no se proporciona ninguno de forma predeterminada, se contactará al proveedor aproximadamente una vez al mes con una solicitud de actualización de estado.
Si un proveedor no responde a una solicitud de actualización de estado, se reenvía una semana después.
Si el proveedor no responde a dos solicitudes de actualización de estado consecutivas, se envía un correo electrónico al proveedor informando que la información de vulnerabilidad se divulgará una semana después si no se recibe una respuesta. No se ha recibido ninguna respuesta antes de esta fecha, la información de vulnerabilidad se publica inmediatamente sin más intentos de coordinación.
Secunia Research publicará la información sobre la vulnerabilidad cuando:
a) Se alcanza la fecha de divulgación predeterminada / acordada.
b) El proveedor emite una solución o un aviso de seguridad.
c) La información sobre la misma vulnerabilidad es publicada por un tercero.
d) Ha transcurrido medio año o un año completo desde la fecha de contacto inicial (consulte # 10 y # 11 para obtener más información).
Por defecto, las vulnerabilidades se coordinan por no más de 6 meses. Aproximadamente un mes antes de la marca de ½ año, el proveedor recibe información sobre una fecha de divulgación fija establecida por Secunia Research en la marca de ½ año. En ese momento, se publica un aviso de Secunia independientemente de la disponibilidad del parche.
En algunos casos, una vulnerabilidad puede coordinarse hasta por un año completo si el proveedor está comunicando una clara intención de abordar la vulnerabilidad y puede comprometerse a una fecha dentro de ese período y se considera que la vulnerabilidad es compleja. / p>