Politique de divulgation responsable

Notre engagement

Le groupe EVERIENCE et ses filiales, accorde une importance particulière à la sécurité des systèmes d’information et à la protection des données. Nous veillons à préserver la disponibilité, l’intégrité, la confidentialité et la traçabilité des informations.

Ainsi, si vous découvrez une vulnérabilité potentielle ou avérée susceptible d’affecter EVERIENCE, nous vous invitons à nous la signaler de manière responsable afin que nous puissions l’analyser et prendre les mesures appropriées.

Périmètre de la politique

Cette politique concerne les systèmes, applications et services détenus ou exploités sous la responsabilité d’EVERIENCE.

Elle permet de signaler une vulnérabilité constatée mais n’autorise pas à entreprendre des tests de sécurité sans accord écrit préalable d’EVERIENCE. En particulier, elle n’autorise aucun test sur les systèmes, applications ou données de clients ou de tiers, y compris lorsqu’ils sont utilisés dans le cadre d’une prestation EVERIENCE.

Règles de conduite

Nous accueillons les signalements de chercheurs en sécurité, clients, partenaires, fournisseurs et de toute autre personne, sous réserve du respect des principes suivants :

• Si vous constatez une vulnérabilité, n’effectuez aucune vérification complémentaire. N’exploitez pas la faille, ne consultez pas d’informations auxquelles vous n’êtes pas autorisé et ne téléchargez, ne modifiez ni ne supprimez de données. Si des données sensibles sont exposées, interrompez toute action et signalez-le-nous.
• N’utilisez pas d’outils automatisés ni de méthodes susceptibles de perturber les services. Sont notamment exclus les tests de sécurité physique, l’ingénierie sociale (dont l’hameçonnage), les attaques par déni de service (DoS/DDoS), les campagnes de pourriel et les tentatives d’escroquerie ;
• Gardez confidentielles les informations relatives à la vulnérabilité. Toute communication publique, y compris après correction, doit être convenue avec EVERIENCE et faire l’objet de son accord écrit préalable.
• Limitez au strict nécessaire les données à caractère personnel figurant dans le signalement et masquez-les ou anonymisez-les lorsque cela est possible.
• Les signalements doivent être réalisés de bonne foi et dans le seul objectif de contribuer à l’amélioration de la sécurité des systèmes concernés.

Comment nous transmettre un signalement ?

Adressez votre signalement à : soc@everience.com (Cette adresse est réservée aux signalements de vulnérabilités de sécurité ; les autres demandes seront ignorées).

Pour nous permettre d’analyser le problème, indiquez si possible :

• l’adresse IP ou l’URL du système concerné, ainsi que la date de votre constat ;
• une description de la vulnérabilité et les circonstances de sa découverte, sur la base des seuls éléments déjà disponibles, sans effectuer de test complémentaire ;
• l’identifiant CVE, s’il existe, et toute autre référence utile (par exemple OWASP ou MITRE ATT&CK) ; si nécessaire, des captures d’écran, journaux ou vidéos déjà disponibles, dont les données sensibles ont été masquées ;
• un moyen de vous contacter si vous souhaitez être informé des suites données à votre signalement.

N’envoyez pas de données sensibles par courriel non chiffré. Si leur transmission est indispensable, contactez-nous d’abord à cette adresse pour déterminer si un moyen de transmission adapté peut être mis en place. En l’absence de moyen convenu, ne transmettez pas ces données.

Traitement des signalements

Nous accusons réception dans les meilleurs délais, analysons les informations transmises et traitons le signalement de manière confidentielle. Lorsque cela est possible et approprié, nous informons le déclarant de l’avancement de l’analyse et des suites données.

Enfin, à date, EVERIENCE ne participe pas à de programme de bug bounty et n’accorde pas de récompense financière pour les signalements de vulnérabilités. De plus le dépôt d’un rapport ne confère aucun droit sur les systèmes, services, produits ou actifs d’EVERIENCE ou de tiers.