Flock ya puede publicar CVE para sus propios productos. ¿Deberíamos confiar en ello?

La com­pa­ñía de se­gu­ri­dad pú­bli­ca Flock ha ob­te­ni­do la fa­cul­tad de asig­nar iden­ti­fi­ca­do­res CVE y ca­li­fi­car fa­llas en sus pro­pios pro­duc­tos, tras con­ver­tir­se en una au­to­ri­dad de nu­me­ra­ción de CVE. El fa­bri­can­te de sis­te­mas de vi­gi­lan­cia, que in­clu­ye cá­ma­ras con in­te­li­gen­cia ar­ti­fi­cial y lec­to­res au­to­má­ti­cos de ma­trí­cu­las, in­di­có que esta ca­pa­ci­dad le per­mi­te eva­luar y prio­ri­zar de ma­ne­ra in­ter­na la res­pues­ta ante vul­ne­ra­bi­li­da­des, agi­li­zar la ges­tión de los re­por­tes de in­ves­ti­ga­do­res y ofre­cer a sus clien­tes una fuen­te cen­tra­li­za­da de in­for­ma­ción de se­gu­ri­dad.

A pesar de que los ex­per­tos re­co­no­cen que la asig­na­ción de esta au­to­ri­dad a los fa­bri­can­tes es común para op­ti­mi­zar la ges­tión de fa­llas, el his­to­rial em­pre­sa­rial de Flock ha en­fren­ta­do es­cru­ti­nio legal y pú­bli­co de­bi­do a preo­cu­pa­cio­nes sobre pri­va­ci­dad y re­por­tes de uso in­de­bi­do de su tec­no­lo­gía por parte de la po­li­cía. Estas con­tro­ver­sias ge­ne­ran dudas sobre la cre­di­bi­li­dad de la em­pre­sa en su nuevo rol, es­pe­cial­men­te por­que al eva­luar sus pro­pias vul­ne­ra­bi­li­da­des exis­te un po­si­ble con­flic­to de in­tere­ses que po­dría lle­var a in­exac­ti­tu­des en la gra­ve­dad o des­crip­ción de los pro­ble­mas.

La pos­tu­ra de Flock como CNA ge­ne­ra des­con­fian­za entre al­gu­nos in­ves­ti­ga­do­res y es­pe­cia­lis­tas, quie­nes se­ña­lan que la em­pre­sa cuen­ta con po­lí­ti­cas res­tric­ti­vas de prue­bas y se re­ser­va el de­re­cho de re­tra­sar pu­bli­ca­cio­nes si con­si­de­ra que exis­te un ries­go para la se­gu­ri­dad pú­bli­ca o po­li­cial. Aun­que la com­pa­ñía ha pu­bli­ca­do una po­lí­ti­ca de di­vul­ga­ción de vul­ne­ra­bi­li­da­des y una pá­gi­na de avi­sos de se­gu­ri­dad, el de­sem­pe­ño de su pro­gra­ma de­pen­de­rá de su trans­pa­ren­cia y de cómo ma­ne­je los fu­tu­ros re­por­tes de fa­llas. El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la com­pa­ñía ni sobre re­gu­la­cio­nes adi­cio­na­les del pro­gra­ma CVE.