NCSC.nl

1. Introduction

La société se numérise de plus en plus. De nos jours, presque tous les processus font appel à des ordinateurs à un moment ou à un autre, du téléphone mobile au logiciel spécialisé. Si cette évolution crée de nombreuses opportunités nouvelles, les vulnérabilités des systèmes informatiques peuvent avoir un impact majeur. Il convient donc de traiter efficacement les connaissances sur ces vulnérabilités.

Début 2013, un certain nombre d'organisations ont commencé à publier des politiques sur la manière de signaler les vulnérabilités. Après consultation de ces parties, le Centre national de cybersécurité (National Cyber Security Centre, NCSC) a résumé ces évolutions sous la forme de « Lignes directrices pour parvenir à une pratique de divulgation responsable » (« Leidraad om te komen tot een praktijk van Responsible Disclosure » ; les « Lignes directrices »). Par cette politique, les entreprises indiquent qu'elles sont ouvertes à la réception de signalements externes de vulnérabilités, décrivent leurs conditions préalables et prennent des engagements. Ce processus a créé de la clarté et un environnement relativement sûr pour que les parties déclarantes puissent enquêter sur les vulnérabilités et les signaler sans commettre directement une infraction pénale. Lors de la réunion de haut niveau de l'UE sur la cybersécurité en 2016, 29 organisations ont réaffirmé l'importance d'une politique de traitement des vulnérabilités en signant le Manifeste de divulgation coordonnée des vulnérabilités¹ initié par le CIO Platform Netherlands et Rabobank en coopération avec le NCSC.

La divulgation coordonnée des vulnérabilités (Coordinated Vulnerability Disclosure, CVD) s'est avérée d'une grande importance pour les parties publiques et privées. Elles dépendent fortement du fonctionnement sans perturbation des systèmes d'information dans la pratique quotidienne. Les signalements de vulnérabilités dans leurs systèmes ont contribué ces dernières années à améliorer la sécurité et la continuité des systèmes, d'une part en corrigeant les vulnérabilités et d'autre part en contribuant à la sensibilisation générale des entreprises néerlandaises à la sécurité informatique.

Ces dernières années, il est apparu clairement que les parties déclarantes sont prêtes à travailler dans le cadre des conditions de la politique de CVD établie par les organisations. Les signalements sont faits directement ou indirectement aux organisations par les parties déclarantes. La pratique de la divulgation responsable a montré que des parties déclarantes bien intentionnées et des organisations vulnérables ont réussi à coopérer et ainsi à franchir une nouvelle étape dans l'amélioration de la sécurité des réseaux et des systèmes d'information.

Pour cette révision, nous avons de nouveau échangé avec un groupe large et diversifié de parties déclarantes, de parties privées et publiques, ainsi qu'avec le ministère public et la police nationale. Ces échanges ont confirmé la pratique actuelle et ont conduit à des ajouts et à des améliorations. Le nouveau point d'attention le plus important est la communication entre la personne qui signale une vulnérabilité et l'organisation, ainsi qu'avec d'autres parties une fois la vulnérabilité corrigée.

Les chapitres suivants traitent de la définition de la CVD, des éléments constitutifs d'une politique de CVD et du processus de communication.

Remarque : les Lignes directrices précédentes utilisaient le terme « divulgation responsable » (responsible disclosure), qui était alors le terme courant pour cette pratique. Il est entre-temps apparu que ce terme met trop l'accent sur la responsabilité de la partie déclarante, alors que le principe de base est que la partie déclarante et l'organisation potentiellement vulnérable doivent être des partenaires égaux dans le dialogue. Cet esprit est mieux rendu par le terme courant actuel « divulgation coordonnée des vulnérabilités » (CVD), qui est aussi le nom utilisé dans les normes ISO 29147 et 30111 relatives à ce processus.

2. Vulnérabilité coordonnée

Diverses méthodes ont été utilisées ces 30 dernières années pour sensibiliser aux vulnérabilités des systèmes informatiques. Par exemple :

la « divulgation complète » (Full Disclosure), qui consiste à rendre une vulnérabilité entièrement publique ;
la « non-divulgation » (Non-disclosure), qui consiste à vendre ou utiliser soi-même une vulnérabilité ;
la « divulgation coordonnée des vulnérabilités » (Coordinated Vulnerability Disclosure, CVD), la divulgation coordonnée d'une vulnérabilité.

Cette dernière pratique est expressément privilégiée.

La communauté informatique a montré une grande volonté de partager connaissances et expérience. Rechercher la coopération avec cette communauté peut donc contribuer à améliorer la sécurité globale des systèmes.

L'objectif de la divulgation coordonnée des vulnérabilités

L'objectif de la CVD est de contribuer à la sécurité des systèmes informatiques en partageant les connaissances sur les vulnérabilités. Dans la CVD, les connaissances sont partagées avec une ou plusieurs organisations potentiellement vulnérables afin d'arriver à une solution commune à la vulnérabilité trouvée, en collaboration avec la partie déclarante. Il est important que les organisations concernées disposent de suffisamment de temps pour corriger les vulnérabilités ou protéger les systèmes afin de limiter ou d'éviter autant que possible les pertes ou dommages. La pierre angulaire du processus est la divulgation des connaissances sur les vulnérabilités après correction.

Dans la CVD, il est essentiel que toutes les parties respectent les accords sur la manière de signaler une vulnérabilité et d'y faire face. Il est utile qu'une organisation publie à l'avance des conditions préalables, par exemple quels systèmes entrent dans le périmètre et quel type de recherche peut être mené. Un principe important pour ces conditions préalables est que l'organisation, en principe, ne dénoncera pas la partie déclarante ni ne prendra d'autres mesures juridiques si la recherche et le signalement sont effectués dans les conditions fixées. Ces Lignes directrices offrent aux organisations des repères pour élaborer leur propre politique incarnant les principes de la CVD.

Comme son nom l'indique, il est essentiel dans la CVD que l'organisation et la partie déclarante se coordonnent. À cet égard, il devrait y avoir le moins d'intermédiaires possible entre la personne qui signale la vulnérabilité et la personne au sein de l'organisation chargée de résoudre le problème.

Il peut être important d'informer plusieurs parties en même temps si une vulnérabilité touche de nombreux systèmes. Dans ce cas, le NCSC ou d'autres parties de la communauté de la sécurité peuvent soutenir le processus de CVD depuis un rôle de coordination.

3. Domaines de responsabilité

L'objectif d'une politique de CVD est que les parties déclarantes et l'organisation travaillent ensemble pour réduire les vulnérabilités des systèmes informatiques. La mise en œuvre de cette politique doit être considérée comme un complément aux mesures existantes de sécurité de l'information. Les différents acteurs ont chacun leur propre rôle et leurs responsabilités. Ils sont expliqués plus en détail ci-dessous.

L'organisation qui possède/gère un système

L'organisation qui possède/gère ou fournit un système est la première responsable de la sécurité de ce système. En d'autres termes, l'organisation est aussi responsable du suivi d'un signalement de vulnérabilité.

L'organisation peut choisir d'élaborer sa propre politique de CVD à l'aide de ces Lignes directrices et de communiquer cette politique aux parties déclarantes potentielles. En publiant une politique de CVD, les organisations montrent leur volonté de recevoir des informations sur les vulnérabilités.

Une partie qui établit une politique de CVD peut s'engager sur le principe qu'elle ne déposera pas plainte auprès de la police si les règles applicables à la politique sont respectées.

Une fois qu'une partie déclarante a signalé une vulnérabilité, la responsabilité incombe à l'organisation. Il est important de réaliser que la partie déclarante est souvent quelqu'un d'extérieur à l'organisation. Cette partie n'a pas de vue directe sur les processus internes qui peuvent être déclenchés après le signalement d'une vulnérabilité. Par conséquent, les parties déclarantes apprécieront d'être informées de l'avancement de la résolution de la vulnérabilité. Cette communication continue est aussi importante pour créer les bonnes attentes quant au suivi et au respect des délais de la solution.

La partie qui signale une vulnérabilité

D'une manière ou d'une autre, la partie déclarante a pu identifier une vulnérabilité et souhaite contribuer à la sécurité des systèmes informatiques en la faisant corriger et éventuellement rendre publique à un stade ultérieur. La partie déclarante peut avoir découvert quelque chose par observation passive ou en testant activement le système informatique. Bien entendu, cette partie est responsable de ses propres actions et de la manière dont elle a découvert la vulnérabilité. Il incombe à la partie déclarante elle-même de connaître les conditions fixées par une organisation dans sa politique de CVD. La plupart des gouvernements et des entreprises ont publié leurs politiques de CVD sur leurs sites web.

La recherche de vulnérabilités peut néanmoins impliquer d'enfreindre la loi. Dans le cadre de la CVD, l'organisation et la partie déclarante peuvent convenir de ne déposer plainte pour aucun acte délictueux. À cet égard, la politique de CVD publiée par l'organisation est le principe directeur. Les parties peuvent aussi convenir qu'aucune action civile ne sera engagée.

S'il existe un soupçon que la partie déclarante a enfreint la loi, une politique de CVD peut d'abord aider à éviter que le déclarant soit dénoncé aux autorités. Cette procédure dépend entièrement des conditions préalables de la politique que l'organisation exige de la partie déclarante et du respect effectif de ces conditions, éventuellement avec une promesse correspondante de ne pas déposer de plainte pénale tant que la partie agit dans les conditions de la politique. Si un signalement est fait à la police, l'existence d'une politique de CVD et son respect sont, aux Pays-Bas, une circonstance pertinente dont le procureur tiendra compte pour décider d'ouvrir une enquête pénale et/ou d'engager des poursuites. En principe, la police et le ministère public (OM) n'ouvriront pas d'enquête pénale si la partie déclarante a clairement respecté les règles de la politique de CVD de l'organisation concernée. Toutefois, le ministère public et la police peuvent poursuivre l'enquête s'il existe des indications que la partie déclarante est allée trop loin, consciemment ou non, dans ses actions et/ou n'a pas respecté la politique de CVD. Sur la base de cette enquête, le ministère public peut décider d'engager ou non des poursuites.

Le ministère public a publié une lettre de politique dans laquelle il traite plus précisément des aspects importants pour décider d'enquêter et/ou de poursuivre. Par exemple, si les actions de la partie déclarante servaient un intérêt public important, si la partie a agi de manière disproportionnée et si elle aurait pu agir d'une autre manière, moins drastique. La lettre de politique pertinente développe ces aspects.² La jurisprudence pertinente depuis 2013³ montre que ces aspects sont également pris en compte devant les tribunaux si une organisation n'a pas de politique de CVD.

4. Éléments constitutifs du processus de divulgation coordonnée des vulnérabilités

Les éléments constitutifs pour façonner le processus de CVD pour l'organisation, le déclarant et le NCSC sont présentés ci-dessous.

L'organisation

La promotion de la CVD commence par une organisation qui possède des systèmes informatiques ou qui fournit un produit/système informatique. Après tout, cette organisation est la première responsable de la sécurité de l'information de ces systèmes informatiques. Afin de travailler efficacement avec diverses parties pour résoudre les vulnérabilités, une organisation peut décider d'élaborer et de publier une politique de CVD. Élaborer sa propre politique de CVD permet à l'organisation de démontrer comment elle traite les signalements de vulnérabilités. De cette façon, une organisation peut aussi façonner la manière dont elle souhaite recevoir les notifications. Un tel processus peut être organisé comme suit :

L'organisation établit et publie une politique de CVD.
Dans cette politique, l'organisation fournit des règles claires pour la recherche que les parties déclarantes peuvent mener, par exemple quelles techniques sont autorisées et quels systèmes sont dans le périmètre ou hors périmètre.
L'organisation facilite le signalement pour la partie déclarante. Une option est l'utilisation d'une méthode de signalement normalisée ; par exemple, une adresse de courriel dédiée ou un formulaire en ligne. De plus, l'organisation peut décider d'accepter ou non les signalements anonymes.
L'organisation réserve une capacité interne et met en place un processus afin de répondre de manière adéquate aux signalements. Il est conseillé de mettre en place un processus permettant de corriger de manière adéquate les vulnérabilités trouvées. À cet égard, l'origine du signalement n'a pas d'importance. La vulnérabilité peut aussi avoir été identifiée par un employé interne ou lors d'un test, par exemple.
L'expérience pratique montre qu'il y aura un plus grand intérêt à signaler des vulnérabilités à l'organisation après la première publication d'une politique de CVD. L'organisation devrait en tenir compte lors de la planification de la capacité (supplémentaire).
Lorsque l'organisation reçoit le signalement de vulnérabilité, elle veille à ce que le signalement parvienne au plus vite au service le mieux placé pour l'évaluer et le traiter.
L'organisation envoie un accusé de réception du signalement à la partie déclarante, de préférence signé numériquement pour souligner la priorité.
Ensuite, l'organisation se concertera avec la partie déclarante afin de déterminer le délai dans lequel toute publication aura lieu. Ce délai dépendra fortement de la nature de la vulnérabilité et du type de système.
À titre indicatif, un délai d'environ 60 jours est souvent utilisé pour les vulnérabilités logicielles. Corriger les vulnérabilités matérielles est plus difficile ; une référence de 6 mois peut être utilisée.
Il peut être souhaitable de prolonger ou de raccourcir ce délai d'un commun accord selon le nombre de systèmes informatiques qui dépendent du système pour lequel la vulnérabilité a été signalée ou selon que la vulnérabilité est plus facile ou plus difficile à résoudre.
Une vulnérabilité peut s'avérer difficile ou impossible à résoudre, ou sa résolution peut entraîner des coûts élevés. Dans de tels cas, l'organisation peut convenir de considérer la vulnérabilité comme un risque accepté et de ne pas la corriger, éventuellement en concertation avec la partie déclarante.
L'organisation tiendra la partie déclarante informée de l'évolution du processus.
De plus, l'organisation peut proposer que la partie déclarante soit publiquement remerciée pour la publication de la vulnérabilité. Il est aussi possible d'opter pour une divulgation conjointe vers l'extérieur.
Il est préférable de récompenser la partie déclarante pour avoir signalé des vulnérabilités dans des systèmes si la partie a respecté les règles de la politique de CVD. Le montant de la récompense peut dépendre de la qualité du signalement. Récompenser la partie déclarante peut créer une meilleure relation entre cette partie et l'organisation, et accroître la volonté des gens de faire de nouveaux signalements conformément à la politique de CVD.
En concertation avec la partie déclarante, l'organisation peut convenir d'informer la communauté informatique au sens large de la vulnérabilité s'il est plausible que la vulnérabilité soit aussi présente ailleurs.
Dans sa politique de CVD, l'organisation peut s'engager sur le principe qu'elle ne déposera pas plainte auprès de la police si la partie déclarante a respecté les règles exposées dans la politique.

La partie déclarante

La partie déclarante est la clé d'un processus de CVD réussi. D'une manière ou d'une autre, cette partie a pu identifier une vulnérabilité et souhaite contribuer à la sécurité des systèmes informatiques en la faisant corriger par une organisation et rendre publique. Ce faisant, les parties déclarantes reconnaissent qu'elles peuvent apporter une contribution importante à la société en révélant les vulnérabilités de manière coordonnée. Pour parvenir à un processus de CVD réussi, les éléments constitutifs suivants sont importants pour la partie déclarante :

La partie déclarante est responsable de ses propres actions et doit respecter les principes de proportionnalité et de subsidiarité lorsqu'elle enquête sur les vulnérabilités et les signale. En d'autres termes, la partie déclarante ne devrait pas faire plus que ce qui est nécessaire pour démontrer la vulnérabilité et devrait toujours signaler la vulnérabilité d'abord au propriétaire du système/de l'information.
La partie déclarante doit signaler le problème dès que possible afin d'empêcher des parties malveillantes de découvrir la vulnérabilité et d'en profiter.
La partie déclarante doit faire le signalement à l'organisation de manière confidentielle afin d'empêcher d'autres personnes d'accéder à ces informations.
La partie déclarante ne peut pas subordonner le dépôt d'un signalement ou la fourniture d'informations complémentaires à la récompense. L'initiative d'accorder une récompense en cas de signalement revient à l'organisation destinataire, qui peut énoncer des conditions préalables dans sa politique publiée.
La partie déclarante et l'organisation concluent des accords clairs sur la divulgation de la vulnérabilité. Si plusieurs organisations sont concernées, le principe de base est que les vulnérabilités ne peuvent être publiées que si toutes les organisations y consentent. Il est conseillé de conclure ces accords à un stade précoce.
La partie déclarante et l'organisation concernée peuvent convenir d'informer la communauté informatique au sens large. Par exemple, cette situation peut s'appliquer à une vulnérabilité (déjà connue ou non) dont on sait qu'elle est présente à plus d'un endroit. Le Centre national de cybersécurité (NCSC) peut être associé à ce processus pour soutenir les groupes cibles de l'administration centrale et des infrastructures critiques, ou pour informer plusieurs parties en cas de vulnérabilité touchant de nombreux systèmes.

Le NCSC

Le processus de CVD est avant tout l'affaire des organisations et des parties déclarantes. Néanmoins, le NCSC encouragera le recours à un processus de CVD. En concertation avec la partie déclarante et l'organisation, le NCSC peut également participer au partage d'informations sur la vulnérabilité avec sa communauté afin de limiter d'autres risques de sécurité découlant de la vulnérabilité.

Si le signalement de la vulnérabilité ne se déroule pas comme la partie déclarante s'y attend, ou si elle préfère ne pas signaler la vulnérabilité directement à l'organisation, elle peut contacter le NCSC.⁴ Dans ce cas, le NCSC peut agir comme intermédiaire si nécessaire.

Le propriétaire du système informatique est à tout moment responsable de la sécurité du système. Le NCSC ne peut ni forcer le propriétaire du système à corriger une vulnérabilité, ni garantir que le propriétaire n'engagera pas d'action en justice contre la partie déclarante. Par conséquent, la partie déclarante doit tenir compte des éléments constitutifs susmentionnés pour les organisations et les parties déclarantes lorsqu'elle recherche et signale une vulnérabilité. Une partie déclarante peut s'attendre à ce que le NCSC fasse tout son possible pour faire corriger la vulnérabilité et traite le signalement de manière confidentielle. Le NCSC ne partage aucune donnée personnelle sauf obligation légale.

Si possible, le NCSC utilisera les informations obtenues sur les vulnérabilités, en concertation avec les organisations et les parties déclarantes, pour partager plus largement les connaissances avec la communauté informatique. Par exemple, il peut le faire en publiant une partie des informations, en rédigeant ou en mettant à jour une fiche d'information ou un livre blanc, ou en informant des organisations spécifiques.

Selon l'organisation concernée et la nature de la vulnérabilité établie, le NCSC s'efforcera de porter la vulnérabilité à l'attention de l'organisation concernée. Cependant, le propriétaire du système informatique en question reste responsable du système.
Lorsque cela est possible et nécessaire, le NCSC fournira à l'organisation concernée des conseils sur la façon de corriger la vulnérabilité.
Le NCSC traitera les signalements de manière confidentielle et ne partagera pas les données personnelles des parties déclarantes ou de l'organisation destinataire sans consentement, sauf si cela découle d'une obligation légale.
Dans la mesure du possible, le NCSC tiendra la partie déclarante informée de l'évolution des contacts avec l'organisation et de la correction de la vulnérabilité.
Dans les cas où un signalement est fait au NCSC, celui-ci s'efforcera de mettre en relation la partie déclarante ou la partie déclarante potentielle et l'organisation.

Si une partie déclarante a trouvé une vulnérabilité dans un produit logiciel ou une vulnérabilité qui touche de nombreux systèmes différents, par exemple, elle peut demander au NCSC de coordonner la correction et la divulgation de la vulnérabilité.

Avec la partie déclarante, des partenaires, des développeurs et/ou développeurs de logiciels et d'autres équipes de sécurité, le NCSC aidera à analyser, corriger ou faire corriger, coordonner et divulguer la vulnérabilité de manière contrôlée. Tout ce processus se déroule en étroite concertation avec la partie déclarante qui a trouvé la vulnérabilité.

Une politique de CVD tente de trouver un équilibre entre l'importance de divulguer les vulnérabilités le plus rapidement possible afin que des mesures puissent être prises, et l'importance pour les développeurs comme pour les fournisseurs de disposer de suffisamment de temps pour corriger la vulnérabilité. Pour ce processus, le NCSC utilise un délai standard de 60 jours entre le signalement et la divulgation publique. Toutefois, il peut y avoir des circonstances dans lesquelles il peut être décidé de prolonger ou de raccourcir ce délai.

Le NCSC ne partagera jamais d'informations sur la vulnérabilité avec des tiers qu'après concertation avec la partie déclarante. Dans ce contexte, il est essentiel que le NCSC coopère et partage donc les informations sur la vulnérabilité avec les parties prenantes afin de divulguer une vulnérabilité de manière coordonnée. Le NCSC veillera ce faisant à ce que les bonnes parties puissent travailler à la correction de la vulnérabilité, aidera à limiter toute perte ou tout dommage et aidera à attirer l'attention sur la vulnérabilité trouvée.

5. Communication et processus de divulgation

Cinq années de pratique ont montré qu'une communication claire est la pierre angulaire d'un processus de CVD réussi. Il y a des points d'attention avant, pendant et après le processus de CVD.

Communication sur le processus de divulgation

Publier une politique de CVD est une première étape de la communication sur le processus. En publiant une politique publiquement, les parties déclarantes sont invitées à informer l'organisation de toute vulnérabilité trouvée.

D'une part, l'organisation peut établir des conditions pour la recherche menée afin de découvrir des vulnérabilités et pour la manière dont le contact est recherché. D'autre part, l'organisation peut s'engager sur le principe qu'elle ne déposera pas plainte auprès de la police si les règles de la politique sont respectées. Cette approche protège la position de la partie déclarante.

Une politique de CVD peut être modifiée ou mise à jour ultérieurement. Il est important d'être clair sur les changements à cet égard. Les parties déclarantes ont intérêt à savoir ce qui a été modifié et quand. Par exemple, on peut clarifier les changements en incluant une date de publication au début de la politique de CVD, en décrivant un résumé des changements sous la politique de CVD ou en tenant une archive des anciennes versions de la politique de CVD.

La politique de CVD peut fournir des lignes directrices sur la manière de communiquer pendant le processus, par exemple en indiquant des mises à jour régulières par courriel ou via un portail web. De plus, la politique de CVD peut décrire comment un déclarant peut être remercié, en le mentionnant lors d'une mise à jour, en l'admettant dans un tableau d'honneur ou par toute autre forme de récompense.

Communication pendant le processus de divulgation

Une partie déclarante lance un processus de CVD en envoyant un message à l'organisation. Dans ce message, la partie déclarante donne une description claire de la vulnérabilité découverte. Les éléments importants sont l'adresse IP ou l'URL du système concerné et les étapes nécessaires pour reproduire la vulnérabilité.

Il est important que l'organisation communique clairement avec la partie déclarante afin que les attentes concernant le processus soient claires.

Elle peut déjà le faire en envoyant un accusé de réception (automatisé ou non) qui contient une indication du délai dans lequel une première réponse sur le fond ou une réponse ultérieure sera envoyée.

Il est aussi possible de laisser ce délai ouvert et de donner une première indication du délai après avoir évalué le contenu du signalement. Il est conseillé d'être clair le plus tôt possible sur le délai dans lequel une solution peut être obtenue. De cette manière, le déclarant sait quand un résultat peut être attendu.

Dans certains cas, il se peut qu'une date de publication soit déjà claire pour la partie déclarante ; par exemple, en raison d'une présentation lors d'une conférence ou parce que la partie déclarante a fixé son propre délai. Dans ce cas, il reste important que la partie déclarante communique clairement ce calendrier, l'indique le plus tôt possible et soit claire quant à la possibilité/impossibilité de reporter cette date.

Une partie déclarante est souvent quelqu'un d'extérieur à l'organisation, qui n'a aucune visibilité sur les processus internes qu'un signalement peut déclencher. Les organisations peuvent tenir la partie déclarante informée de l'évolution du processus par des mises à jour régulières. Cette approche montre clairement à la partie déclarante que l'on travaille à une solution. Si nécessaire, une organisation peut demander des précisions ou demander à tester une solution pendant le processus.

Si une organisation ne peut pas respecter le délai de résolution initial, il peut être discuté avec le déclarant de le reporter. Une communication régulière peut clarifier cette situation pour le déclarant à un stade plus précoce.

L'intention principale de la CVD est d'atténuer la vulnérabilité, mais la « divulgation complète » de la vulnérabilité reste toujours une option pour une partie déclarante si elle estime que le processus sera trop long. Cette mesure est le proverbial « gros bâton » dont dispose la partie déclarante. Naturellement, cette situation doit être évitée autant que possible.

Communication après le processus de divulgation

De nombreuses raisons possibles existent pour lesquelles une partie déclarante peut rechercher des vulnérabilités puis les signaler aux organisations via le processus de CVD. Pour un grand nombre de parties déclarantes, une incitation importante est la reconnaissance (publique).

Les parties déclarantes reçoivent une reconnaissance publique via un remerciement dans une mise à jour ou une inscription au tableau d'honneur. Toutefois, le besoin de reconnaissance publique ne s'applique pas à toutes les parties déclarantes ; certaines ne souhaitent en fait pas être connues du public. En cas de communication par l'organisation, il est donc conseillé d'obtenir le consentement de la partie déclarante pour la nommer.

De plus, les parties déclarantes peuvent aussi décider de communiquer sur un signalement après l'achèvement du processus de CVD. Par exemple, la partie déclarante peut décrire le processus de découverte ou mettre en garde d'autres personnes contre la vulnérabilité. Un déclarant peut décider de soumettre la publication à une organisation à titre d'information. Comme le processus de CVD est en principe achevé après la suppression de la vulnérabilité, la partie déclarante est ensuite libre d'en communiquer, sauf si des accords supplémentaires sont conclus dans la politique ou pendant le processus.

Liste

Communication sur le processus de divulgation

Publication de la politique de CVD sur le site web
Être clair sur les restrictions (voir le chapitre 6 pour les différentes approches)
Restrictions sur les méthodes d'investigation
Lignes directrices sur la communication
Lignes directrices sur les récompenses possibles : tableau d'honneur, récompense financière, t-shirt, etc.
Être clair sur toute mise à jour de la politique de CVD, y compris la date des changements

Communication pendant le processus de divulgation

Le déclarant contacte l'organisation au sujet d'une vulnérabilité découverte.
L'organisation gère les attentes, par exemple le délai de réponse pour une première réponse technique
L'organisation et le déclarant se clarifient mutuellement le délai de résolution attendu
L'organisation fournit fréquemment une mise à jour (du processus)
Si nécessaire, le déclarant et l'organisation discutent de la prise de contact avec d'autres organisations concernées

Communication après le processus de divulgation

Discuter de la reconnaissance (publique) et de la récompense du déclarant
Organiser la manière dont les informations sur la vulnérabilité seront publiées, par exemple la phase de recherche ou l'information d'autres organisations

6. Exemples de politique de divulgation coordonnée des vulnérabilités

Il existe de nombreuses formes différentes de textes de politique sur la divulgation coordonnée des vulnérabilités. La politique de CVD publiée servant de panneau indicateur aux parties déclarantes potentielles, veillez à ce que la forme de cette politique soit en phase avec la politique et la stratégie de l'organisation.

Les éléments suivants sont importants dans une politique de CVD :

méthode de contact pour une communication sécurisée ;
conditions préalables pour les parties déclarantes ;
attentes claires pour le traitement d'un signalement ;
méthode de récompense d'un signalement ;
numéro de version et date de la dernière révision.

Voici trois exemples : de nombreuses organisations aux Pays-Bas se sont inspirées de l'exemple de base de ResponsibleDisclosure.nl. D'autres organisations incluent des conditions préalables supplémentaires, voir la politique de Fox IT. D'autres encore appliquent un format plus libre pour s'adapter à leur public cible, voir la politique de Bits of Freedom.

Exemple : ResponsibleDisclosure.nl

Ce texte a été rédigé par Floor Terra et est publié sous licence Creative Commons Attribution 3.0 Unported.

Chez Acme Corporation, nous considérons la sécurité de nos systèmes comme une priorité absolue. Mais quels que soient les efforts que nous consacrons à la sécurité des systèmes, des vulnérabilités peuvent toujours subsister.

Si vous découvrez une vulnérabilité, nous aimerions en être informés afin de pouvoir prendre des mesures pour la traiter le plus rapidement possible.

Nous vous demandons de nous aider à mieux protéger nos clients et nos systèmes.

Veuillez procéder comme suit :

Envoyez vos constatations par courriel à cert@example.com. Chiffrez vos constatations à l'aide de notre clé PGP afin d'éviter que ces informations critiques ne tombent entre de mauvaises mains,
N'exploitez pas la vulnérabilité ou le problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la vulnérabilité ou en supprimant ou modifiant les données d'autrui,
Ne révélez pas le problème à d'autres personnes tant qu'il n'a pas été résolu,
N'utilisez pas d'attaques contre la sécurité physique, d'ingénierie sociale, de déni de service distribué, de spam ni d'applications de tiers, et
Fournissez suffisamment d'informations pour reproduire le problème, afin que nous puissions le résoudre le plus rapidement possible. Généralement, l'adresse IP ou l'URL du système concerné et une description de la vulnérabilité suffisent, mais les vulnérabilités complexes peuvent nécessiter des explications supplémentaires.

Ce que nous promettons :

Nous répondrons à votre signalement dans un délai de 3 jours ouvrables avec notre évaluation du signalement et une date de résolution prévue,
Si vous avez suivi les instructions ci-dessus, nous n'engagerons aucune action en justice contre vous au sujet du signalement,
Nous traiterons votre signalement en toute confidentialité et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation,
Nous vous tiendrons informé de l'avancement de la résolution du problème,
Dans les informations publiques concernant le problème signalé, nous mentionnerons votre nom comme découvreur du problème (sauf si vous souhaitez le contraire), et
En guise de remerciement pour votre aide, nous offrons une récompense pour chaque signalement d'un problème de sécurité qui ne nous était pas encore connu. Le montant de la récompense sera déterminé en fonction de la gravité de la fuite et de la qualité du signalement. La récompense minimale sera un bon cadeau de 50 €.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible, et nous aimerions jouer un rôle actif dans la publication finale sur le problème une fois résolu.

Exemple : Fox-IT

Chez Fox-IT, nous considérons la sécurité de nos systèmes, de notre réseau et de nos produits comme de la plus haute importance. Malgré le grand soin que nous apportons à la sécurité, des points faibles peuvent subsister. Si vous avez trouvé un tel point faible, nous aimerions en être informés dès que possible afin de prendre au plus vite les mesures appropriées.

Les points faibles peuvent être découverts de deux façons : vous pouvez tomber par hasard sur quelque chose lors de l'utilisation normale d'un environnement numérique, ou vous pouvez vous efforcer explicitement de les trouver.

Notre politique de divulgation responsable n'est pas une invitation à scanner activement notre réseau d'entreprise pour découvrir des points faibles. Nous surveillons nous-mêmes notre réseau d'entreprise. Cela signifie qu'il y a de fortes chances qu'un scan soit détecté et qu'une enquête soit menée par notre centre d'opérations de sécurité (SOC), ce qui pourrait entraîner des coûts inutiles. Vous êtes toutefois invité à rechercher activement des vulnérabilités dans nos produits dans un environnement hors ligne hors production et à nous communiquer vos constatations. Notre responsabilité envers nos clients signifie que nous ne cherchons pas à encourager les tentatives de piratage de leur infrastructure ; toutefois, nous aimerions avoir de vos nouvelles dès que possible si des vulnérabilités sont trouvées, afin de pouvoir les résoudre de manière adéquate.

Nous souhaitons travailler avec vous pour mieux protéger nos clients et nos systèmes.

Nous vous demandons de :

Envoyer vos constatations par courriel dès que possible à security-alert@fox-it.com.
Ne pas abuser de la vulnérabilité ; par exemple en téléchargeant, modifiant ou supprimant des données. Nous prendrons toujours votre signalement au sérieux et enquêterons sur tout soupçon de vulnérabilité, même sans preuve.
Ne pas partager le problème avec d'autres personnes tant qu'il n'a pas été résolu.
Ne pas recourir à des attaques contre la sécurité physique, à l'ingénierie sociale ni à des outils de piratage, tels que les scanners de vulnérabilités.
Fournir suffisamment d'informations pour que le problème puisse être reproduit afin que nous puissions le résoudre le plus rapidement possible. Généralement, l'adresse IP ou l'URL du système concerné et une description de la vulnérabilité suffisent, bien que davantage d'informations puissent être nécessaires pour des vulnérabilités plus complexes.

Ce que nous promettons :

Nous répondrons à votre signalement dans un délai de trois jours ouvrables, avec notre évaluation du signalement et une date de résolution prévue.
Nous traiterons votre signalement de façon confidentielle et ne partagerons pas vos informations personnelles avec des tiers sans votre autorisation. La police et la justice font exception en cas de poursuites ou si l'information est exigée.
Nous vous tiendrons informé de l'avancement de la solution au problème.
Dans la communication sur le problème signalé, nous indiquerons votre nom comme la partie qui a découvert le problème, si vous le souhaitez.
Il n'est malheureusement pas possible de garantir à l'avance qu'aucune action en justice ne sera engagée contre vous. Nous espérons pouvoir examiner chaque situation individuellement. Nous nous considérons moralement tenus de vous signaler si nous soupçonnons que la faiblesse ou les données sont utilisées abusivement, ou que vous avez partagé la connaissance de la faiblesse avec d'autres. Vous pouvez être assuré qu'une découverte accidentelle dans notre environnement en ligne n'entraînera pas de poursuites.
En remerciement de votre aide, nous offrons une récompense pour chaque signalement d'un problème de sécurité qui ne nous est pas connu. Nous déterminons la valeur de la récompense en fonction de la gravité de la faille et de la qualité du signalement.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible, de tenir toutes les parties concernées informées, et nous aimerions être associés à toute publication sur le problème une fois résolu.

Exemple : Bits of Freedom

Notre dépendance à l'égard de l'infrastructure numérique ne cesse de croître. Cela vaut pour la société dans son ensemble, mais aussi pour nous-mêmes. Nous estimons donc que les gouvernements et les organisations (y compris la nôtre) devraient s'engager fermement à sécuriser notre infrastructure numérique. Nous sommes conscients que, malgré nos meilleures intentions et tout notre soin, des vulnérabilités peuvent exister dans nos systèmes. Si vous découvrez l'une de ces faiblesses, nous serions ravis de vous entendre afin de résoudre le problème.

Ce que nous attendons de vous

Lorsque vous examinez l'un de nos systèmes, gardez à l'esprit la proportionnalité de l'attaque. Il n'est pas nécessaire de démontrer que, si vous soumettez notre site web à la plus grande attaque DDoS de l'histoire d'internet, le site peut devenir inaccessible. Nous le savons. Nous comprenons aussi que si vous faites entrer un bulldozer dans nos bureaux, vous pourrez probablement vous emparer d'un de nos ordinateurs portables.
Ce principe de proportionnalité vaut aussi pour la démonstration de la vulnérabilité elle-même. Vous ne devez pas consulter ni modifier plus de données que strictement nécessaire pour confirmer la validité de votre découverte. Par exemple, si vous pouvez modifier notre page d'accueil, ajoutez simplement un seul mot non controversé plutôt que de prendre le contrôle de toute la page. Si vous pouvez accéder à une base de données, il suffit de nous montrer la liste des tables qu'elle contient, ou peut-être le premier enregistrement de l'une d'elles.
Une vulnérabilité dans l'un de nos systèmes doit être signalée dès que possible en envoyant un courriel à security@bof.nl. De préférence, chiffrez votre message avec OpenPGP. Veuillez fournir suffisamment d'informations pour que nous puissions reproduire et examiner le problème.
La clé publique OpenPGP de security@bof.nl
Vous ne partagerez pas votre connaissance de la vulnérabilité avec d'autres parties tant que nous n'aurons pas traité le problème et que nous serons encore dans un délai raisonnable depuis votre signalement.
Vous supprimerez toutes les informations confidentielles obtenues au cours de votre enquête dès que nous aurons résolu la vulnérabilité.

Ce que vous pouvez attendre de nous

Nous répondrons à votre signalement dans un délai de trois jours de manière détaillée. Nous inclurons une estimation du temps dont nous aurons besoin pour traiter le problème. Bien sûr, nous vous tiendrons régulièrement informé de nos progrès.
Nous résoudrons la vulnérabilité dès que possible. Ici aussi, la proportionnalité est importante : le temps nécessaire pour corriger une vulnérabilité dépend de plusieurs facteurs, dont la gravité et la complexité du problème en question.
Si vous suivez les lignes directrices exposées ici, nous n'engagerons pas d'action en justice contre vous au sujet de votre signalement.
Il est important pour nous de vous créditer pour ce que vous avez fait, si vous le souhaitez. Nous mentionnerons votre nom dans une publication relative à la vulnérabilité uniquement si vous y consentez.
Pour vous remercier de nous aider à mieux protéger nos systèmes, nous aimerions récompenser chaque signalement d'une vulnérabilité qui nous était inconnue à l'époque. La récompense dépendra de la gravité de la vulnérabilité et de la qualité du signalement.
Si vous trouvez une vulnérabilité dans un logiciel tiers que nous utilisons et que cette vulnérabilité est couverte par un programme de primes aux bogues, nous n'essaierons pas de réclamer cette prime ; c'est à vous de le faire.