Pautas para la divulgación responsable de vulnerabilidades

El equipo de seguridad de Cigna cree firmemente que la colaboración con la comunidad de la seguridad es clave para mantener entornos seguros para todos nuestros clientes, miembros y colaboradores. Si crees que has encontrado una vulnerabilidad de seguridad en un sitio web, una aplicación móvil u otra propiedad de Cigna o de cualquiera de sus subsidiarias o afiliadas, te pedimos que nos informes lo antes posible. Las divulgaciones pueden enviarse a: security@cigna.com

El Programa de divulgación responsable de Cigna se rige por estas Pautas para la divulgación responsable de vulnerabilidades (las “Pautas”). Al reportar una vulnerabilidad a Cigna, aceptas estar sujeto a estas Pautas.

Alcance: Software desarrollado por Cigna

Nuestro Programa de divulgación responsable se refiere únicamente a las aplicaciones desarrolladas por Cigna, sus subsidiarias y afiliadas. Para aplicaciones desarrolladas por terceros, comunícate con las partes implicadas.

Solo deben reportarse vulnerabilidades de seguridad a través de este programa.

Las vulnerabilidades relacionadas con Cigna y sus subsidiarias se incluyen en este marco.

Los siguientes casos quedan fuera del alcance del Programa de divulgación responsable de Cigna, no califican como vulnerabilidades válidas según estas Pautas y no deben reportarse.

• Versiones desactualizadas de bibliotecas u otros componentes
• Self-XSS
• Configuraciones de seguridad de DNS faltantes (por ejemplo, registros SPF, DKIM, etc.)
• Encabezados HTTP faltantes o mal configurados (por ejemplo, HSTS, X-Frame Options, CSP, etc.)

Pautas para investigadores

La privacidad de nuestros clientes, miembros y colaboradores debe mantenerse durante la divulgación de cualquier vulnerabilidad.

Esta página incluye instrucciones para reportar vulnerabilidades de manera segura al equipo de seguridad de Cigna. Cigna no acepta divulgaciones que no cumplan estas Pautas.

Te solicitamos que:

• No elimines ningún dato almacenado por Cigna o sus subsidiarias o afiliadas.
• No accedas a cualquier aplicación o datos innecesarios para demostrar resultados.
• No realices un ataque de denegación de servicio, interrumpas servicios ni degrades los servicios internos o externos.
• No extraigas ningún dato durante tu investigación.
• Cualquier información confidencial obtenida a través de esta investigación sigue siendo información confidencial de Cigna, y de sus subsidiarias o afiliadas según corresponda, y no debe compartirse con terceros. Cualquier información confidencial (por ejemplo, información de salud protegida o información de identificación personal) obtenida a través de esta investigación deberá conservarse solo durante el tiempo que sea necesario para completar la investigación y debe eliminarse de manera segura cuando se resuelva la vulnerabilidad y/o cuando lo indique Cigna.
• No ejecutes ninguna herramienta automatizada en nuestros servidores.
• No intentes hacer un uso abusivo de los recursos de nuestros servidores, incluyendo, entre otros, el envío de correos electrónicos no deseados o no autorizados.
• Los ataques de ingeniería social, incluidos pero no limitados al phishing están fuera del alcance.
• Permite un mínimo de 90 días a partir de la fecha en que confirmamos la recepción de tu divulgación para revisar y corregir los problemas reportados. Después de este período de 90 días, puedes divulgar públicamente tu investigación sobre vulnerabilidad, excepto cualquier información de identificación personal o información de salud protegida que debe permanecer confidencial en todo momento, incluso después de la corrección.
• Reconoces y aceptas que podría haber situaciones en las cuales Cigna tenga un interés razonable y legítimo en comprender la naturaleza de cualquier divulgación pública que puedas hacer. Cuando sea razonable según las circunstancias, aceptas colaborar con Cigna para coordinar esa divulgación pública.
• Solo divulga las vulnerabilidades públicamente después de ser corregidas en conformidad con estas Pautas.

Presentación de divulgación responsable de vulnerabilidades

La divulgación de una vulnerabilidad debe incluir la siguiente información para que se considere una divulgación válida según estas Pautas y el Programa de divulgación responsable de Cigna:

• Cantidad razonable de información sobre la vulnerabilidad técnica que permitirá a Cigna reproducir tus pasos.
• Código de prueba de concepto funcional.
• Cómo se puede explotar la vulnerabilidad en un escenario real.
• Tu dirección de correo electrónico.
  • Aceptamos divulgaciones anónimas, pero no podremos agradecer o brindar ningún tipo de reconocimiento por tu aporte.
• Tu nombre y usuario de Twitter si deseas ser incluido en el Researcher Hall of Fame de Cigna.
  • Los investigadores serán incluidos en el Researcher Hall of Fame a criterio de Cigna.
  • Si no deseas ser incluido en nuestro Researcher Hall of Fame, notifícanos por correo electrónico.

La información sobre vulnerabilidades es extremadamente sensible. Envíanos tu divulgación de vulnerabilidad por correo electrónico utilizando la siguiente clave PGP

Key fingerprint (Huella digital clave): 2A9A28E3A3B75F4F63F9EB56251AF5E27E30FA80

Envía estos mensajes a security@cigna.com

Cigna hará un esfuerzo razonable para confirmar que recibimos tu divulgación en el transcurso de siete (7) días hábiles y te indicará los siguientes pasos. Si lo solicitas y es razonable según las circunstancias, te notificaremos cuando se haya corregido la vulnerabilidad.

La validez de la divulgación se evaluará a exclusivo criterio de Cigna. Por supuesto, haremos un esfuerzo razonable para trabajar contigo y entender mejor tu divulgación. Cigna y sus subsidiarias y afiliadas tienen libertad para utilizar e incorporar cualquier comentario, sugerencia o recomendación que le comuniques a Cigna.

Reconocimiento

Reconocemos la importancia de los investigadores expertos en seguridad informática que ayudan a que el espacio digital sea más seguro para todos. Las vulnerabilidades divulgadas en conformidad con estas Pautas se incluyen en nuestro Researcher Hall of Fame a exclusivo criterio de Cigna. No compensamos de otro modo a los investigadores por identificar posibles o confirmadas vulnerabilidades.

No iniciaremos ninguna acción legal en tu contra si actúas de buena fe al realizar tu investigación, cumples con estas Pautas y no participas en ninguna conducta ilegal, no intentas perjudicar a Cigna ni a nuestras subsidiarias, afiliadas, clientes, miembros, colaboradores u otras personas, ni infringes o haces un uso indebido de la propiedad de Cigna.

Researcher Hall of Fame

Investigadores del Researcher Hall of Fame son investigadores de seguridad que han divulgado responsablemente un asunto de seguridad siguiendo las pautas antes mencionadas. Agradecemos a los siguientes investigadores por su ayuda para mejorar nuestros productos:

Muhammad Zain Khan

Rishav Dhakrey

Mitchell Robson

Noor Mohammad Gagguturi y Kandukuru Sai Jaswanth

Nikhil Rane

Max Chee