Politique de divulgation coordonnée des vulnérabilités
Erlab s’engage à traiter les signalements de vulnérabilités de sécurité de manière responsable, rapide et transparente. Cette politique décrit la manière dont les vulnérabilités peuvent nous être signalées, les comportements attendus lors de recherches en sécurité et la façon dont Erlab traite les informations reçues.
1. Objet
Cette politique s’applique au signalement de vulnérabilités de sécurité concernant les appareils Erlab et leurs éléments numériques associés.
2. Périmètre
La présente politique s’applique aux vulnérabilités de sécurité affectant les appareils Erlab et leurs éléments numériques associés.
Sont notamment concernés :
- les appareils Erlab et leurs éléments numériques associés ;
Les systèmes, produits ou services de tiers ne relèvent pas de cette politique, sauf s’ils sont explicitement intégrés à un appareil Erlab.
En cas de doute sur le périmètre ou avant tout test susceptible d’affecter un appareil Erlab ou l’un de ses éléments numériques associés, contactez-nous à securitycra@erlab.net afin d’obtenir une autorisation préalable.
3. Comment signaler une vulnérabilité
Si vous pensez avoir identifié une vulnérabilité de sécurité concernant un appareil Erlab ou l’un de ses éléments numériques associés, vous pouvez nous contacter à l’adresse suivante : securitycra@erlab.net
Vous pouvez également utiliser le formulaire de signalement disponible sur notre page Cybersécurité des appareils Erlab.
Vous pouvez signaler une vulnérabilité de manière anonyme, y compris par l’intermédiaire d’un CSIRT compétent.
4. Informations à inclure
Afin de nous permettre d’analyser votre signalement dans les meilleures conditions, merci de fournir autant d’informations que possible :
- l’appareil Erlab ou l’élément numérique concerné ;
- une description claire de la vulnérabilité ;
- les étapes permettant de reproduire le problème ;
- l’impact potentiel identifié ;
- les captures d’écran, journaux, fichiers ou preuves de concept disponibles ;
- vos coordonnées si vous souhaitez être recontacté.
Ne transmettez pas de données personnelles, confidentielles ou de secrets réels si cela n’est pas strictement nécessaire. Masquez les données dans les preuves fournies. Si la transmission d’un élément sensible est indispensable, contactez-nous d’abord afin de convenir d’un canal sécurisé.
5. Règles de recherche responsable
Nous demandons aux personnes effectuant des recherches en sécurité de :
- agir de bonne foi ;
- limiter les tests au strict nécessaire pour démontrer l’existence de la vulnérabilité ;
- ne pas accéder, modifier, supprimer ou exfiltrer de données au-delà de ce qui est strictement nécessaire à la démonstration ;
- ne pas perturber le fonctionnement des appareils Erlab ou de leurs éléments numériques associés ;
- ne pas divulguer publiquement une vulnérabilité avant coordination avec Erlab.
6. Activités non autorisées
Les activités suivantes ne sont pas autorisées :
- les attaques par déni de service ;
- l’exploitation ou l’exfiltration de données réelles ;
- la modification ou la suppression de données ;
- la mise en place de mécanismes de persistance ;
- l’utilisation d’outils ou techniques destructives ;
- toute activité visant à compromettre des utilisateurs, clients, partenaires ou tiers.
7. Nos engagements
Pour chaque signalement reçu, Erlab s’engage à :
- accuser réception du signalement dans un délai cible de 5 jours ouvrés ;
- effectuer une première qualification et fournir un premier retour dans un délai cible de 10 jours ouvrés ;
- maintenir une communication régulière avec le déclarant pendant l’analyse et la remédiation, au minimum tous les 30 jours, lorsque ses coordonnées sont disponibles ;
- analyser la vulnérabilité, évaluer son impact et définir une action de correction ou de mitigation adaptée ;
- coordonner avec le déclarant la divulgation des informations techniques ;
- publier, lorsqu’un correctif ou une mesure de mitigation est disponible, les informations de sécurité appropriées destinées aux utilisateurs ;
- traiter les informations et données reçues de manière confidentielle et conformément à la réglementation applicable.
Les délais ci-dessus sont des objectifs de traitement. Ils peuvent varier selon la gravité, la complexité technique, la disponibilité d’un correctif et le risque pour les utilisateurs.
Lorsqu’une divulgation publique est envisagée, Erlab et le déclarant conviennent, dans la mesure du possible, d’un calendrier de divulgation coordonnée. Un délai indicatif de 90 jours peut servir de référence, sous réserve de la gravité de la vulnérabilité et de l’existence d’une exploitation active.
8. Recherche de bonne foi
Toute recherche de sécurité menée de bonne foi et dans le respect de cette politique sera considérée comme une démarche responsable visant à améliorer la sécurité des appareils Erlab et de leurs éléments numériques associés.
9. Divulgation coordonnée
Nous demandons qu’aucune information concernant une vulnérabilité ne soit rendue publique avant coordination avec Erlab.
Cette démarche permet de disposer du temps nécessaire pour analyser la vulnérabilité, mettre en place les mesures correctives appropriées et limiter les risques pour nos clients, utilisateurs et partenaires.
10. Contact
Pour signaler une vulnérabilité ou pour toute question concernant cette politique : securitycra@erlab.net
Vous pouvez également utiliser le formulaire disponible sur notre page Cybersécurité des appareils Erlab.
