Ética, divulgación responsable y consideraciones legales

La investigación ética de seguridad mejora la seguridad de todos. El principio fundamental es probar únicamente sistemas para los que tenga autorización. La autorización proviene del alcance escrito en los programas de bug bounty, del permiso explícito y por escrito de los propietarios de los activos o de la propiedad de dichos activos.

La CVD es el proceso de informar de forma privada sobre una vulnerabilidad al proveedor afectado, permitiéndole disponer de tiempo para desarrollar y publicar una corrección antes de la divulgación pública. El estándar de 90 días (Google Project Zero) equilibra el tiempo de corrección del proveedor con los derechos de divulgación del investigador.

La CFAA de Estados Unidos considera delito federal el acceso no autorizado a ordenadores. La «autorización» se interpreta de forma amplia: aunque un sistema sea accesible públicamente, acceder a él sin permiso puede infringir la CFAA. Las cláusulas de puerto seguro de los programas de bug bounty son su principal protección legal.

Acceder a datos personales de terceros o almacenarlos durante una investigación de seguridad puede infringir el RGPD (UE) y otras leyes similares de protección de datos. Limite el acceso a los datos necesarios para demostrar la vulnerabilidad. No descargue, copie ni conserve PII de usuarios.

Si un proveedor ignora los informes durante 90 días, emita una advertencia final con un nuevo plazo, notifique a la plataforma (HackerOne, Bugcrowd) para que medie y considere una divulgación limitada con los detalles técnicos redactados. Documente todos los intentos de contacto con sus marcas de tiempo para contar con protección legal.

Publique el código de la PoC únicamente después de que el proveedor haya publicado un parche y los usuarios hayan tenido tiempo de actualizarse. Las PoC armadas para vulnerabilidades sin corregir facilitan la explotación masiva y perjudican a usuarios reales. Los investigadores responsables planifican cuidadosamente los plazos de divulgación.

Si encuentra credenciales, PII u otros datos confidenciales durante la investigación: documéntelos de forma mínima para el informe, no acceda a ellos más allá de lo necesario para demostrar la vulnerabilidad, no descargue grandes volúmenes de datos e informe con rapidez. Acceder a datos adicionales más allá de la prueba de concepto es poco ético y puede ser ilegal.

Las leyes varían según el país: la UK Computer Misuse Act, la Directiva NIS2 de la UE y la Cybercrime Act de Australia. Las infraestructuras críticas (hospitales y redes eléctricas) pueden tener prohibiciones adicionales sobre las pruebas. Comprenda el marco legal tanto de su jurisdicción como de la del proveedor.

Probar sistemas de IA/ML introduce consideraciones particulares: extracción de modelos, generación de entradas adversarias y ataques contra la privacidad de los datos de entrenamiento. Estas técnicas pueden infringir las reglas del programa o las leyes de propiedad intelectual, aunque el modelo subyacente esté incluido en el alcance.

Marco de ética personal: (1) ¿Tengo autorización? (2) ¿Estoy minimizando los daños? (3) ¿Estoy protegiendo los datos de los usuarios afectados? (4) ¿Estoy siguiendo las normas de divulgación? (5) ¿Resistirían mis acciones el escrutinio público? Responda afirmativamente a todas antes de continuar.

Organizaciones como EFF's Coders Rights Project proporcionan recursos de defensa jurídica para investigadores de seguridad que actúan de buena fe. Las directrices de divulgación de vulnerabilidades de DEF CON y el programa Internet Bug Bounty representan estándares de la comunidad que conviene comprender y seguir.

¿Cuál es el plazo estándar de divulgación coordinada de vulnerabilidades (CVD) antes de la divulgación pública?

La investigación ética de seguridad requiere autorización explícita, un acceso mínimo a los datos, un tratamiento responsable de los hallazgos sensibles y una divulgación coordinada que respete tanto la seguridad de los usuarios como los derechos de los investigadores. Comprender la CFAA, el GDPR y las normas de divulgación protege simultáneamente a los investigadores y al público.