Divulgation Responsable de Vulnérabilité
Co-assist permet aux chercheurs en sécurité, clients et tiers de signaler de manière responsable les vulnérabilités qui affectent ses produits et services. Cette politique fournit les instructions pour la soumission des vulnérabilités découvertes ainsi que nos engagements en matière de traitement.
Cyber Resilience Act (UE) 2024/2847
Conformément aux réglementations européennes, notamment le Cyber Resilience Act, Co-assist s’engage à garantir la sécurité proactive de ses solutions tout au long de leur cycle de vie.
En cas de vulnérabilité activement exploitée ou d’incident grave impactant la sécurité de nos produits ou services, Co-assist notifiera les autorités compétentes conformément aux exigences légales de l’Article 14 et en informera ses clients dans les meilleurs délais.
Procédure de Signalement
Si vous avez identifié une vulnérabilité potentielle ou un incident de sécurité :
- Prise de contact initiale : Veuillez soumettre votre demande initiale via notre adresse dédiée : security@co-assist.fr ou via notre formulaire de déclaration.
- Accusé de réception : L’équipe sécurité de Co-assist accusera réception de votre message et vous fournira la procédure pour transmettre un rapport détaillé et échanger en toute confidentialité.
- Analyse & Traitement : Une fois reçues, les vulnérabilités sont analysées par notre équipe technique et transmises aux experts des produits concernés.
Informations Requises dans le Rapport
Afin d’aider nos équipes à valider et résoudre rapidement le problème, merci de fournir autant d’informations que possible dans votre rapport :
- Produits et services concernés : Indiquer les matériels, applications ou services web touchés, en précisant les numéros de version.
- Reproductibilité : Étapes détaillées pour identifier ou reproduire la vulnérabilité (scripts, captures d’écran, requêtes PoC).
- Impact estimé : Spécifier les impacts potentiels sur les données, les utilisateurs ou le fonctionnement des systèmes.
- Niveau de gravité : Proposer une estimation de la sévérité (ex. score CVSS ou niveau Faible / Moyen / Élevé / Critique).
- Cause racine et remédiation (optionnel) : Indiquer la cause probable ou suggérer des pistes d’atténuation si vous en avez.
Nos Engagements
Co-assist s’engage à :
- Accuser réception de votre demande initiale dans un délai maximal de 8 jours ouvrés.
- Tenir le rapporteur informé des étapes clés et de l’évolution du traitement de la vulnérabilité signalée.
- Fournir des correctifs ou mesures d’atténuation en temps opportun.
- Traiter de manière confidentielle toutes les informations échangées ainsi que l’identité du rapporteur (sauf accord explicite pour mention/crédit).
Engagements du Rapporteur
En soumettant un rapport, vous vous engagez à :
- Fournir des informations précises et suffisantes pour permettre l’investigation.
- Garder la confidentialité : Ne pas divulguer publiquement ou à des tiers la vulnérabilité tant qu’un correctif n’a pas été publié par Co-assist.
- Respecter l’intégrité du service : Ne pas exploiter la vulnérabilité au-delà de ce qui est strictement nécessaire pour en démontrer la présence (ne pas altérer, supprimer ni accéder aux données d’autrui).
- Acter de bonne foi sans tentative d’extorsion ou d’interruption de service (pas d’attaques DoS/DDoS ni de social engineering).
Support Client & Assistance
Si vous êtes client Co-assist et avez besoin d’assistance technique ou d’informations sur les mises à jour de sécurité de votre matériel, veuillez contacter le support :
- Portail support : support.co-assist.fr