Divulgation de vulnérabilités

Chez Scaderis, la sécurité de nos logiciels est importante pour nous et pour nos clients, qui l'utilisent dans des environnements industriels. Cette page explique comment nous signaler une vulnérabilité de sécurité, ce que vous pouvez attendre de notre part, et comment nous gérons la divulgation coordonnée.

1. Comment signaler une vulnérabilité

Envoyez votre signalement à avec pour objet « Security ».

Les clients peuvent aussi ouvrir un ticket sur le portail de support (https://support.scaderis-software.com) et l'indiquer comme signalement de sécurité.

Si vous avez besoin d'échanger des informations sensibles sous forme chiffrée, indiquez-le dans votre premier message et nous conviendrons avec vous d'un canal sécurisé.

Veuillez inclure, dans la mesure du possible :

• Le nom du produit et la ou les versions concernées
• Une description de la vulnérabilité et de son impact potentiel
• Les étapes détaillées pour la reproduire, ou une preuve de concept
• Toute configuration, tout journal ou toute capture d'écran utile (sans données personnelles, voir section 5)
• Si vous prévoyez de publier vos résultats, et à quelle date
• Comment nous pouvons vous contacter, et si vous souhaitez être cité(e)

2. Ce que vous pouvez attendre de nous

Étape	Notre objectif
Accusé de réception de votre signalement	sous 3 jours ouvrés (sous 1 jour ouvré si le signalement fait état d'une vulnérabilité critique ou d'une exploitation active)
Évaluation initiale (confirmation ou non, gravité)	sous 10 jours ouvrés
Points d'avancement	au moins tous les 30 jours, et à chaque étape importante
Correctif	dans les meilleurs délais ; nous visons la diffusion d'un correctif sous 90 jours au plus tard, et beaucoup plus rapidement pour les vulnérabilités critiques ou activement exploitées

Il s'agit d'objectifs, pas de garanties. Les problèmes complexes peuvent demander plus de temps, et nous vous en expliquerons la raison.

Lorsqu'une vulnérabilité est confirmée, nous :

1. Développons et testons un correctif
2. Le diffusons sous la forme d'une mise à jour de sécurité, gratuite pour tous les titulaires d'une licence, via notre portail de support, que leur période de support soit en cours ou non
3. Publions un avis de sécurité décrivant la vulnérabilité, les versions concernées, sa gravité, la version corrigée et les actions recommandées
4. Vous citons dans l'avis si vous le souhaitez, ou préservons votre anonymat si vous le préférez

Nos produits étant souvent déployé sur des réseaux isolés, les clients récupèrent les mises à jour sur le portail de support depuis un poste connecté et les transfèrent sur leur réseau. Nous informons les clients par le portail de support et par e-mail auprès de leur contact enregistré.

Lorsque la loi l'exige, nous notifions aux autorités compétentes (par exemple l'Agence de l'Union européenne pour la cybersécurité et le CSIRT national) les vulnérabilités activement exploitées, et nous pouvons partager avec elles des informations sur la vulnérabilité. Si la vulnérabilité se trouve dans un composant tiers, nous pouvons communiquer les éléments utiles à son mainteneur.

3. Divulgation coordonnée

Nous vous demandons de nous laisser un délai raisonnable pour corriger la vulnérabilité avant de la rendre publique.

• Veuillez ne pas divulguer publiquement les détails avant qu'un correctif soit disponible, ou avant que 90 jours se soient écoulés depuis votre signalement, selon l'événement qui survient en premier
• Si nous travaillons activement à un correctif et avons besoin de plus de temps, nous vous demanderons un délai supplémentaire en vous en expliquant la raison. Nous conviendrons d'une date de bonne foi
• Si une vulnérabilité est déjà activement exploitée, nous pouvons publier plus tôt des recommandations et des mesures d'atténuation pour protéger nos clients, et nous vous en informerons au préalable dans la mesure du possible

4. Périmètre

Dans le périmètre : les logiciels Scaderis Software, dans les versions pour lesquelles nous assurons un support de sécurité. La date de fin de la période de support de sécurité de chaque version majeure est publiée sur le portail de support (https://support.scaderis-software.com), et se situe au moins cinq ans après la mise à disposition générale de cette version.

Hors périmètre :

• Les vulnérabilités de produits tiers qui ne font pas partie de Scaderis Scheduler (par exemple les systèmes d'exploitation, les moteurs de base de données, les équipements ou logiciels tiers).
  Veuillez les signaler à leurs éditeurs respectifs. Si un composant tiers que nous livrons est concerné, nous souhaitons en être informés
• Les signalements issus uniquement d'outils d'analyse automatisés, sans impact démontré sur le produit
• Les problèmes qui nécessitent un accès physique à la machine, ou qui dépendent d'une configuration contraire aux recommandations de sécurité de notre documentation (par exemple l'exposition directe du logiciel à Internet)
• Les attaques par déni de service fondées sur le volume de trafic, l'ingénierie sociale et l'hameçonnage de notre personnel ou de nos clients

5. Règles pour une recherche de bonne foi

Pour rester dans le cadre de cette politique, nous vous demandons de :

• Tester uniquement sur votre propre installation du logiciel, ou sur un système que vous êtes autorisé(e) à tester. Ne testez pas les systèmes de nos clients sans leur autorisation, et ne testez jamais des installations qui pilotent des équipements en service
• Éviter toute action pouvant nuire à la disponibilité ou à l'intégrité d'un système, d'un procédé ou d'un équipement
• Ne pas accéder à plus de données que ce qui est strictement nécessaire pour démontrer la vulnérabilité, ne pas les modifier, les copier ni les conserver, et ne pas nous envoyer de données personnelles ou de données de clients. Si vous tombez sur de telles données, arrêtez-vous et prévenez-nous
• Ne pas exploiter une vulnérabilité au-delà de ce qui est nécessaire pour la démontrer, et ne pas la communiquer à d'autres avant qu'elle soit résolue

6. Protection juridique (« safe harbor »)

Si vous agissez de bonne foi et respectez cette politique, nous considérerons votre recherche comme autorisée, nous n'engagerons aucune action en justice contre vous à ce titre, et nous travaillerons avec vous pour comprendre et résoudre le problème. Cet engagement ne lie que Scaderis SAS ; il ne peut lier ni des tiers ni des autorités publiques. Il ne couvre pas les activités manifestement malveillantes, celles qui portent gravement atteinte à autrui, ni celles qui enfreignent la présente politique.

7. Récompenses

Nous ne proposons pas actuellement de récompense financière pour les signalements de vulnérabilités. Nous vous citerons volontiers pour votre contribution si vous le souhaitez.

8. Contact

Scaderis SAS
105 rue des Mourettes, 26000 Valence, France
E-mail : (objet : « Security »)