Políticas de pruebas de seguridad de Oracle Cloud

Pruebas de vulnerabilidad e introducción permitidas

A continuación se explica dónde están permitidas las pruebas de vulnerabilidad e introducción de los componentes del cliente:

• IaaS: con sus propias herramientas de supervisión y pruebas, puede realizar pruebas de vulnerabilidad e introducción de las ofertas adquiridas de Oracle Infrastructure as a Service (IaaS) de inquilino único. De acuerdo con el proceso establecido a continuación, Vd. debe notificar a Oracle antes de efectuar dichas pruebas de vulnerabilidad e introducción. Con las pruebas de vulnerabilidad e introducción, puede evaluar la seguridad de los componentes del cliente, sin embargo, no podrá evaluar ningún otro aspecto o componente de los servicios de Oracle Cloud, incluidas las instalaciones, el hardware y las redes que son propiedad o están gestionados por Oracle o sus agentes y otorgantes de licencia.
• PaaS: con sus propias herramientas de supervisión y prueba, puede realizar pruebas de vulnerabilidad e introducción de las ofertas adquiridas de Oracle Platform as a Service (PaaS) de inquilino único. De acuerdo con el proceso establecido a continuación, Vd. debe notificar a Oracle antes de efectuar dichas pruebas de vulnerabilidad e introducción. Con las pruebas de vulnerabilidad e introducción, puede evaluar la seguridad de los componentes del cliente, sin embargo, no podrá evaluar ningún otro aspecto o componente de los servicios de Oracle Cloud, incluidas las instalaciones, el hardware, las redes, las aplicaciones y el software que son propiedad o están gestionados por Oracle o sus agentes y otorgantes de licencia. Para mayor claridad, no podrá evaluar ninguna aplicación de Oracle instalada en el servicio de PaaS.
• SaaS: las pruebas de vulnerabilidad e introducción no están permitidas para las ofertas de Oracle Software as a Service (SaaS).

Reglas de interacción de pruebas de seguridad de Oracle Cloud

Las siguientes reglas de interacción se aplican a las pruebas de vulnerabilidad e introducción en la nube:

• Las pruebas no deben tener como objetivo ninguna otra suscripción ni ningún otro recurso de cliente de Oracle Cloud, ni ningún componente de infraestructura compartida.

• No debe realizar ninguna prueba que exceda la cuota de ancho de banda o cualquier otro recurso suscrito.

• Está estrictamente prohibido utilizar cualquier herramienta o servicio de manera que realice ataques de denegación de servicio (DoS) o simulación de este tipo, o cualquier "prueba de carga" contra cualquier activo de Oracle Cloud, incluido el suyo.

• Es necesario realizar la exploración de puertos en un modo no agresivo.

• Es responsable de validar de manera independiente que las herramientas o los servicios empleados durante las pruebas de vulnerabilidad e introducción no realizan ataques de DoS ni simulaciones de este tipo, antes de la evaluación de las instancias. Esta responsabilidad incluye garantizar que cualquier tercero contratado realice evaluaciones de manera que no se infrinja esta política.

• Las prácticas de ingeniería social con los empleados de Oracle y las pruebas físicas de vulnerabilidad e introducción de las instalaciones de Oracle están prohibidas.

• No debe intentar acceder al entorno o los datos de otro cliente ni a ningún contenedor (por ejemplo, máquina virtual).

• Las pruebas seguirán estando sujetas a los términos y las condiciones de los acuerdos bajo los que adquirió los servicios de Oracle Cloud, y ningún aspecto de esta política se considerará como una cesión de derechos o privilegios adicionales con respecto a dichos servicios.

• Si cree que ha detectado un posible problema de seguridad relacionado con Oracle Cloud, debe notificarlo a Oracle en el plazo de 24 horas indicando la información pertinente a My Oracle Support. Debe crear una solicitud de servicio en el plazo de 24 horas y no debe revelar esta información públicamente ni a ningún tercero. Tenga en cuenta que puede resolver algunos de los problemas y las vulnerabilidades que detecte aplicando los parches más recientes en las instancias.

• En caso de que acceda involuntariamente a los datos de otro cliente, debe terminar de forma inmediata todas las pruebas e informar a Oracle en el plazo de una hora indicando la información pertinente a My Oracle Support.

• Será responsable de los daños a Oracle Cloud u otros clientes de Oracle Cloud que haya podido causar con las pruebas en caso de incumplimiento de estas reglas de interacción.

Proceso de notificación

El proceso para notificar a Oracle su elección de realizar una prueba de vulnerabilidad e introducción según lo requiere esta política se puede encontrar en Envío de una notificación de prueba de seguridad en la nube.