Vulnerabilidades Equidad Proceso

Cuando un organismo detecta una vulnerabilidad, notificará a la secretaría del VEP lo antes posible. La notificación incluirá una descripción de la vulnerabilidad y de los productos o sistemas afectados, junto con la recomendación del organismo sobre si divulgar o restringir la información sobre la vulnerabilidad.

La secretaría notificará entonces a todos los participantes sobre la presentación en el plazo de un día hábil, solicitándoles que respondan si tienen algún interés pertinente. ^{[ 4 ]}

Una agencia que manifieste interés deberá indicar en un plazo de cinco días hábiles si está de acuerdo con la recomendación original de difundir o restringir la información. En caso contrario, entablará conversaciones con la agencia solicitante y la secretaría del VEP en un plazo de siete días hábiles para intentar alcanzar un consenso. Si no se llega a un consenso, los participantes propondrán opciones a la Junta de Revisión de Equidad. ^{[ 4 ]}

Las decisiones sobre si divulgar o restringir una vulnerabilidad deben tomarse con rapidez, en plena consulta con todos los organismos implicados y velando por el interés general de las distintas misiones del gobierno estadounidense. En la medida de lo posible, las decisiones deben basarse en metodologías racionales y objetivas, teniendo en cuenta factores como la prevalencia, la dependencia y la gravedad.

Si los miembros de la junta de revisión no logran llegar a un consenso, votarán sobre una determinación preliminar. Si una agencia con intereses en la equidad impugna dicha decisión, podrá, mediante notificación a la secretaría del VEP, optar por impugnar la determinación preliminar. Si ninguna agencia impugna la determinación preliminar, esta se considerará una decisión final. ^{[ 4 ]}

Si se divulga información sobre vulnerabilidades, se hará lo más rápido posible, preferiblemente en un plazo de siete días hábiles.

La divulgación de vulnerabilidades se realizará de acuerdo con las directrices acordadas por todos los miembros. Se presume que la agencia que realiza la notificación es la que mejor conoce la vulnerabilidad y, por lo tanto, será responsable de difundir la información al proveedor. La agencia que realiza la notificación puede optar por delegar la responsabilidad de la difusión a otra agencia en su nombre.

La agencia que divulga la información proporcionará de inmediato una copia de la información revelada a la secretaría del VEP para su archivo. Además, se espera que la agencia realice un seguimiento para que la ERB pueda determinar si la acción del proveedor cumple con los requisitos gubernamentales. Si el proveedor decide no abordar una vulnerabilidad o no actúa con la urgencia acorde con el riesgo de la misma, la agencia notificará a la secretaría y el gobierno podrá tomar otras medidas de mitigación. ^{[ 4 ]}