Politique de divulgation des vulnérabilités

Objet

UpSystems Solutions Canada (« UpSystems ») souhaite être informée des vulnérabilités de sécurité touchant ce qu'elle conçoit et exploite, et s'engage à divulguer de façon responsable celles qu'elle découvre dans les produits d'autres organisations. Cette politique explique comment nous signaler une vulnérabilité, ce que nous en faisons et comment nous publions.

Ce que couvre cette politique

• Les logiciels, plateformes et services conçus ou exploités par UpSystems, y compris les produits publiés sous la marque Blackfields by UpSystems.
• Les sites Web et les systèmes publics d'UpSystems sous upsystems.ca et les domaines UpSystems connexes.
• Les vulnérabilités qu'UpSystems découvre dans des produits tiers au cours de ses recherches et de ses évaluations de sécurité.

Les systèmes qui appartiennent aux clients d'UpSystems ne sont pas couverts, même lorsqu'UpSystems les gère. Rien dans cette politique n'autorise des tests sur l'environnement d'un client. Un problème touchant un produit tiers doit être signalé au fournisseur de ce produit ; nous vous aiderons à acheminer votre signalement si vous ne savez pas à qui l'adresser.

Comment signaler

Écrivez à security@upsystems.ca. Les signalements sont acceptés en français ou en anglais. Veuillez indiquer :

• Le produit, le service ou l'adresse URL touchés, et la version si vous la connaissez.
• Une description de la vulnérabilité et de ses conséquences.
• Les étapes pour la reproduire, ou une preuve de concept.
• Si d'autres personnes ont été informées, et la date de divulgation que vous envisagez, s'il y a lieu.
• La façon dont vous souhaitez être mentionné, ou votre préférence pour l'anonymat.

Ce à quoi vous pouvez vous attendre

• Une personne accuse réception de votre signalement dans un délai de 3 jours ouvrables.
• Nous vous communiquons notre évaluation dans un délai de 10 jours ouvrables : confirmée, non reproduite ou hors du champ d'application.
• Nous vous tenons informé jusqu'à la correction du problème et nous convenons avec vous d'une date de publication.
• Nous mentionnons votre contribution dans l'avis, sauf si vous préférez que nous ne le fassions pas.

UpSystems n'offre pas de programme de primes aux bogues.

Règles pour une recherche de bonne foi

Nous vous demandons de :

• Tester uniquement ce que couvre cette politique, et vous arrêter dès que l'existence de la vulnérabilité est démontrée.
• Ne pas consulter, modifier ni supprimer de données qui ne sont pas les vôtres, et nous signaler toute donnée personnelle ou donnée de client rencontrée, sans la conserver.
• Ne pas nuire à nos services : aucun déni de service, aucun pourriel, aucun test destructeur.
• Ne pas recourir au piratage psychologique auprès du personnel ou des clients d'UpSystems, et ne pas tenter d'accès physique.
• Nous laisser un délai raisonnable pour corriger le problème avant d'en parler à quiconque.

Protection des chercheurs

Si vous respectez cette politique de bonne foi, UpSystems considère vos recherches comme autorisées, n'intentera aucune poursuite contre vous à leur sujet et le fera savoir si un tiers en intente une. Cet engagement ne peut lier personne d'autre qu'UpSystems.

Vulnérabilités que nous découvrons dans des produits tiers

• Nous avisons le fournisseur en privé et confirmons qu'il a bien reçu le signalement.
• Nous publions 90 jours après cet avis, ou dès qu'un correctif est offert, selon la première éventualité.
• Nous pouvons prolonger ce délai lorsqu'un fournisseur travaille activement à un correctif et demande plus de temps, et publier plus tôt lorsqu'une vulnérabilité est exploitée.
• Lorsqu'une découverte provient d'un mandat chez un client, nous la divulguons au fournisseur sans aucune information permettant d'identifier ce client.

Identifiants CVE

Les vulnérabilités couvertes par cette politique qui répondent aux critères du programme CVE reçoivent un identifiant CVE. UpSystems demande actuellement les identifiants CVE à l'autorité de numérotation CVE (CNA) dont le champ d'application couvre le produit touché.

• Lorsque le champ d'application d'une autre CNA couvre le produit, cette CNA a la première possibilité d'attribuer l'identifiant et nous lui transmettons le signalement.
• Lorsqu'un identifiant CVE est attribué à une vulnérabilité que vous avez signalée, nous vous le communiquons.
• La fiche CVE est publiée dans les 72 heures suivant la divulgation publique.
• Pour contester une fiche CVE liée à l'un de nos avis, écrivez à security@upsystems.ca. Nous accusons réception des contestations dans un délai de 3 jours.

Où nous publions

Les avis sont publiés sur la page Avis de sécurité. Nous pouvons mettre à jour cette politique ; la date d'entrée en vigueur indiquée en haut de la page correspond à la version en cours.