³È×ÓÊÓƵapp

Pol¨ªtica de informes de vulnerabilidad

±õ²Ô³Ù°ù´Ç»å³Ü³¦³¦¾±¨®²Ô

UnitedHealth Group se toma en serio la protecci¨®n de los datos de nuestros clientes y miembros. Agradecemos el trabajo de investigaci¨®n sobre vulnerabilidades de seguridad que llevan a cabo los investigadores de seguridad con ¨¦tica y buenas intenciones. Tenemos el compromiso colaborar con la comunidad de seguridad de la informaci¨®n para investigar y resolver problemas de seguridad dentro de nuestros sitios web, servicios en l¨ªnea y aplicaciones m¨®viles que se nos informan de acuerdo con esta Pol¨ªtica de informes de vulnerabilidad. Si usted tiene informaci¨®n relacionada con posibles vulnerabilidades de seguridad de los productos o servicios de UnitedHealth Group, UnitedHealthcare u ³È×ÓÊÓƵapp, queremos escucharlo.

Recompensas por encontrar errores

UnitedHealth Group no ofrece un programa de recompensas por encontrar errores ni otras recompensas por divulgaciones de seguridad. Sin embargo, agradecemos los esfuerzos de los investigadores de seguridad que se toman el tiempo de investigar e informarnos sobre las vulnerabilidades de seguridad de acuerdo con esta pol¨ªtica.

Alcance

Este programa no es un medio para presentar quejas sobre los servicios o productos de UnitedHealth Group, UnitedHealthcare, ³È×ÓÊÓƵapp o sus subsidiarias (en adelante, ¡°UnitedHealth Group¡±), ni para consultas sobre la disponibilidad de los sitios web o servicios en l¨ªnea de la compa?¨ªa.

Los siguientes tipos de vulnerabilidades se consideran fuera del alcance para los fines de este programa:

• vulnerabilidades volum¨¦tricas (por ejemplo, denegaci¨®n de servicio o DoS distribuido);
• informes de vulnerabilidades no explotables y violaciones de las ¡°mejores pr¨¢cticas¡± (p.?ej., encabezados de seguridad faltantes);
• debilidades de configuraci¨®n de Transport Layer Security (TLS) (p.?ej., compatibilidad con conjuntos de cifrado ¡°d¨¦biles¡±);
• toma de huellas dactilares/divulgaci¨®n de anuncios en servicios comunes/p¨²blicos;
• secuencias de comandos entre sitios (XSS);
• divulgaci¨®n de IP interna;
• falsificaci¨®n de solicitudes entre sitios (CSRF);
• m¨¦todos HTTP no explotables (p.?ej., OPTIONS o HEAD);
• mensajes de error con datos no confidenciales; y
• falta de indicadores seguros/solo HTTP en cookies que no son de sesi¨®n.

UnitedHealth Group puede actualizar esta pol¨ªtica en cualquier momento, incluso realizando cambios en la lista de vulnerabilidades fuera del alcance.

Informar una vulnerabilidad

Si ha descubierto un problema que cree que es una vulnerabilidad que se encuentra dentro de este alcance, env¨ªe un correo electr¨®nico a securityreporting@optum.com. Incluya los datos a continuaci¨®n, si corresponde:

• una descripci¨®n detallada de la vulnerabilidad;
• las URL completas asociadas con la vulnerabilidad;
• una POC (prueba de concepto) o instrucciones (p.?ej., capturas de pantalla, videos, etc.) sobre c¨®mo reproducir la vulnerabilidad o los pasos tomados para explotar la vulnerabilidad;
• campos de entrada, filtros u otros objetos de entrada involucrados;
• su evaluaci¨®n de riesgo o evaluaci¨®n de exportabilidad;
• instrucciones sobre c¨®mo comunicarnos con usted si tenemos preguntas de seguimiento.

Se recomienda ofrecer una soluci¨®n, pero no es obligatorio para informar una vulnerabilidad. La falta de una explicaci¨®n detallada de la vulnerabilidad puede provocar demoras en nuestra respuesta y posibles acciones posteriores sobre el hallazgo.

Pautas

Esta pol¨ªtica proh¨ªbe la realizaci¨®n de las siguientes actividades:

• hackear, usar pruebas de penetraci¨®n u otros intentos de obtener acceso no autorizado al software o sistemas de UnitedHealth Group;
• escaneo o prueba activa de vulnerabilidades;
• divulgaci¨®n o uso de cualquier informaci¨®n o datos privados o confidenciales de UnitedHealth Group, incluidos los datos de los clientes; o
• afectar negativamente el funcionamiento del software o los sistemas de UnitedHealth Group.

Los investigadores de seguridad no deben violar ninguna ley ni acceder, usar, alterar o comprometer de ninguna manera los datos de UnitedHealth Group.

Si tiene alguna pregunta sobre esta pol¨ªtica o las pautas anteriores, comun¨ªquese con nuestro equipo de seguridad para obtener orientaci¨®n: securityreporting@optum.com.

Qu¨¦ esperar

Al recibir el informe de vulnerabilidad, UnitedHealth Group o uno de sus representantes puede enviar una respuesta autom¨¢tica como acuse de recibo. UnitedHealth Group puede comunicarse con los informantes si se necesita informaci¨®n adicional para colaborar con una investigaci¨®n de seguimiento. Para la seguridad de nuestros clientes, UnitedHealth Group no divulgar¨¢, analizar¨¢ ni confirmar¨¢ problemas de seguridad.

Notificaci¨®n p¨²blica

Para proteger a nuestros clientes, UnitedHealth Group solicita que los investigadores de seguridad no publiquen ni compartan ninguna informaci¨®n sobre una vulnerabilidad potencial en ning¨²n entorno p¨²blico hasta que hayamos investigado, respondido y abordado la vulnerabilidad informada, e informado a los clientes y partes interesadas seg¨²n sea necesario. El tiempo para abordar una vulnerabilidad v¨¢lida informada variar¨¢ seg¨²n el impacto de la vulnerabilidad potencial y los sistemas afectados.

Definiciones de la pol¨ªtica

Vulnerabilidad: Una debilidad en el dise?o, implementaci¨®n, operaci¨®n o control interno de un proceso que podr¨ªa exponer el sistema a amenazas adversas provenientes de eventos de amenaza.

Denegaci¨®n de servicio (DoS): Un ataque a un servicio desde una ¨²nica fuente que lo desborda con tantas solicitudes que lo abruman y se detiene por completo, o funciona a una velocidad significativamente reducida.

Denegaci¨®n de servicio distribuido (DDoS): Un ataque a un servicio desde m¨²ltiples sistemas inform¨¢ticos comprometidos que lo desbordan con tantas solicitudes que lo abruman y se detiene por completo, o funciona a una velocidad significativamente reducida, denegando as¨ª el servicio a usuarios o sistemas leg¨ªtimos.

Seguridad de la capa de transporte (TLS): Un protocolo que proporciona privacidad en las comunicaciones a trav¨¦s de Internet. El protocolo permite que las aplicaciones cliente/servidor se comuniquen de una manera dise?ada para evitar escuchas, alteraciones o falsificaci¨®n de mensajes.

Secuencias de comandos entre sitios (XSS): Un ataque de ingenier¨ªa social para obtener el control de las cuentas web de una v¨ªctima cuando la v¨ªctima, sin saberlo, ejecuta c¨®digo malicioso en su propio navegador web.

Falsificaci¨®n de solicitudes entre sitios (CSRF): Un tipo de explotaci¨®n maliciosa de un sitio web donde se transmiten comandos no autorizados desde un usuario en el que el sitio web conf¨ªa. Esto tambi¨¦n se conoce como ¡°one-clicl attack¡± (ataque de un clic) o ¡°session riding¡± (uso de sesi¨®n autorizada por el usuario).

Fecha de entrada en vigencia

La fecha de entrada en vigencia de esta pol¨ªtica es el 20 de enero de 2023.