Política de Divulgación de Vulnerabilidades

Divulgación Coordinada de Vulnerabilidades

Spoken Ink Limited (constituida en Inglaterra y Gales con número de registro 06968714, certificada en ISO 27001) prioriza la seguridad de su software ferroviario, plataformas multimedia de circuito cerrado y servicios digitales del sector público. Siguiendo las directrices del UK National Cyber Security Centre (NCSC) y RFC 9116, agradecemos los reportes de buena fe enviados por investigadores de seguridad, organismos públicos y operadores ferroviarios.

1. Alcance

• www.whooshmedia.co.uk y www.spokenink.co.uk
• Aplicaciones web públicas, mapas accesibles de estaciones y servicios digitales al pasajero operados directamente por Whoosh y Spoken Ink.

2. Cómo Informar de una Vulnerabilidad

Envíe su informe a Security Team en security@spokenink.co.uk. Nuestro archivo legible por máquina conforme a RFC 9116 está publicado en /.well-known/security.txt.

Incluya la URL o componente afectado, pasos claros de reproducción, impacto potencial y sus datos de contacto si desea seguimiento.

3. Reglas de Actuación (Investigación de Buena Fe)

• No acceda, copie, modifique ni elimine datos pertenecientes a pasajeros, operadores ferroviarios, aerolíneas asociadas u organismos públicos.
• No realice pruebas de denegación de servicio (DoS/DDoS), escaneos masivos que degraden el servicio, pruebas físicas ni ingeniería social o phishing.
• Mantenga la confidencialidad mientras resolvemos la incidencia de forma coordinada.

4. Nuestro Compromiso y Salvaguarda Legal

• Acuse de recibo: en un plazo de 3 días hábiles.
• Evaluación y remediación: valoración inicial en 10 días hábiles bajo nuestro sistema de gestión ISO 27001.
• Salvaguarda de buena fe: Spoken Ink Limited no emprenderá acciones legales contra investigadores que actúen de buena fe y respeten estrictamente esta política.