Politique VAHLE de divulgation responsable des vulnérabilités

VAHLE développe et fournit des produits et des solutions répondant aux exigences les plus élevées en matière de qualité, de fiabilité et de cybersécurité. L’équipe d’intervention en cas d’urgence informatique (CERT) de VAHLE soutient cet objectif en contribuant à l’identification, à l’évaluation et à la correction des failles de sécurité détectées dans les produits et solutions VAHLE par des chercheurs en sécurité, des partenaires, des clients ou d’autres parties externes.

En cas d’incidents de sécurité potentiels ou confirmés, le CERT de VAHLE coordonne les mesures nécessaires avec les experts compétents en matière de développement, de produits et de domaine. Cela comprend l’évaluation de la vulnérabilité signalée, l’élaboration d’un plan d’action adapté ainsi qu’une communication régulière avec la personne ayant signalé la faille. VAHLE adhère au principe de divulgation coordonnée des failles de sécurité (Coordinated Vulnerability Disclosure) et demande donc que les failles signalées soient traitées de manière confidentielle jusqu’à ce qu’une solution appropriée ou une mesure d’atténuation des risques ait été mise en place.

Indépendamment des contrats de service ou du cycle de vie d’un produit, toutes les personnes et organisations sont invitées à signaler les failles de sécurité identifiées. Nous accueillons favorablement les signalements émanant de chercheurs en sécurité, de CERT (Computer Emergency Response Teams), d’associations professionnelles, de partenaires, de clients et de toute autre source responsable.

Ce faisant, VAHLE respecte les intérêts et les souhaits du signalant. Les signalements anonymes sont également acceptés.

VAHLE examine attentivement chaque signalement et prendra les mesures appropriées dès lors qu’il est prouvé que la vulnérabilité signalée est liée à un produit, un logiciel ou un service VAHLE.

Une divulgation publique précipitée peut exposer les clients et les systèmes à des risques inutiles. C’est pourquoi nous recommandons expressément une approche coordonnée en matière de divulgation.

Nous demandons aux personnes signalant des failles de sécurité non résolues de ne pas les divulguer à des tiers ni de les rendre publiques tant qu'aucune publication concertée n'a eu lieu.

Si cette directive est respectée, le VAHLE CERT, en collaboration avec les services compétents, mettra tout en œuvre pour :

• confirmer dans les meilleurs délais la réception d’un signalement de vulnérabilité,
• d'évaluer le signalement et d'entamer son traitement,
• informer le signalant des avancées significatives,
• fournir, dans la mesure du possible, un calendrier prévisionnel pour l'évaluation et la correction,
• informer le signalant dès qu’une solution, un correctif ou toute autre mesure appropriée est disponible.

Des mises à jour sur l'état d'avancement seront fournies dès que des informations pertinentes seront disponibles.

VAHLE n'engagera aucune poursuite judiciaire à l'encontre de personnes ou d'organisations agissant de bonne foi et signalant de manière responsable des failles de sécurité, pour autant que les conditions suivantes soient respectées :

• Aucune action susceptible de porter préjudice à VAHLE, à ses clients ou à des tiers n’est entreprise.
• La vie privée, la confidentialité et la sécurité des données des clients, de l’entreprise ou des personnes sont respectées à tout moment.
• La disponibilité, l’intégrité ou la sécurité des systèmes et des services ne sont pas compromises.
• Aucune loi ou réglementation en vigueur n’est enfreinte.
• Les informations relatives à la faille de sécurité ne sont pas rendues publiques avant qu’une divulgation concertée avec VAHLE n’ait eu lieu ou que VAHLE n’ait confirmé la correction de la faille.

VAHLE apprécie le travail et l'engagement des chercheurs en sécurité, de ses clients, de ses partenaires et de toutes les autres parties prenantes qui contribuent à identifier les vulnérabilités et à les signaler de manière responsable. Grâce à cette collaboration, nous apportons ensemble une contribution importante à la sécurité de nos produits, de nos clients et de l'ensemble de l'industrie connectée.

Nous vous remercions de votre soutien dans l'amélioration continue de la cybersécurité chez VAHLE.