Gestión de seguridad y vulnerabilidades en ManageEngine ADSelfService Plus

1 Evaluación de seguridad por parte del equipo de seguridad de ADSelfService Plus

El equipo de ADSelfService Plus sigue los procedimientos de seguridad en cada etapa del desarrollo de funciones para garantizar que el producto esté protegido contra ciberataques.

• Antes de comenzar a desarrollar una nueva función, el equipo de seguridad evalúa su arquitectura y diseño. El objetivo principal de esta revisión es garantizar que los distintos módulos diseñados para esta nueva función cumplan con las normas de seguridad requeridas.
• Una vez desarrollada la función, nuestro equipo de seguridad revisa el código para detectar cualquier violación de los estándares de codificación y seguridad.
• Antes de publicar la función, realizamos una ronda de pruebas de caja negra y caja blanca. Esto se hace para asegurarse de que la característica funciona como se espera, y se examinan otros posibles defectos en el código.

3 Programas de reporte de vulnerabilidades internos y externos

ManageEngine también lleva a cabo programas de recompensas por errores en los que individuos o grupos de ManageEngine junto con personas externas, comunidades y expertos en seguridad pueden notificarnos si se ha identificado alguna vulnerabilidad en nuestras soluciones. En tales casos, comenzamos a trabajar inmediatamente en el desarrollo y la publicación de una solución para la vulnerabilidad.

Esto es lo que hacemos si se reporta una vulnerabilidad:

El tiempo de respuesta para desarrollar y publicar la corrección se basa en los siguientes criterios:

• Las vulnerabilidades de gravedad crítica se abordarán inmediatamente (dentro de un día posterior al descubrimiento).
• Las vulnerabilidades de gravedad alta se abordarán por completo en un plazo de siete días naturales posterior al descubrimiento.
• Las vulnerabilidades de gravedad media se abordarán en un plazo de 30 días naturales posterior al descubrimiento.

5 Nos aseguramos de que la solución llegue a nuestros clientes

Notificamos a los clientes acerca de las correcciones de vulnerabilidades de varias maneras:

• Anunciamos el lanzamiento de la corrección en esta página.
• Las actualizaciones regulares que contienen nuevas funciones, mejoras y correcciones de errores se publican a intervalos frecuentes y se registran aquí.
• Hacemos anuncios públicos.
• Mantenemos a nuestros clientes actualizados haciendo anuncios dentro de la consola del producto.
• Cubrimos las actualizaciones de seguridad en nuestros boletines de productos.
• Anunciamos el lanzamiento de la corrección en nuestro foro de productos.
• En función de la gravedad de la vulnerabilidad, también enviamos correos electrónicos a los clientes.