Product Security / PSIRT

La présente politique s'applique à l'ensemble des systèmes, applications et services de GRIMME accessibles au public, sauf exclusion expresse. 

Ne sont pas concernés : 

• Les attaques par déni de service (DoS) ou les tests de charge
• L'ingénierie sociale
• Les attaques physiques
• Les attaques visant des tiers ou des fournisseurs 

Le traitement des signalements de vulnérabilités reçus est assuré de manière centralisée par l'équipe GRIMME Product Security Incident Response Team (PSIRT). 

Le PSIRT est chargé : 

• de la réception et de la documentation des signalements ;
• de l'évaluation technique et de la hiérarchisation des vulnérabilités ;
• de la coordination interne des mesures d'analyse et de correction ;
• de la communication externe coordonnée des informations relatives à la sécurité. 

Nous soutenons la recherche responsable en matière de sécurité et nous nous engageons à ne pas engager de poursuites judiciaires à l'encontre des personnes agissant de bonne foi et respectant la présente politique. 

Cela s'applique notamment dans les conditions suivantes : 

• Aucune donnée de tiers ne doit être consultée, modifiée ou exfiltrée, sauf dans la mesure où cela est inévitable et strictement nécessaire pour démontrer la vulnérabilité.
• Aucun système n’est intentionnellement perturbé (par exemple par une attaque par déni de service, la suppression de données ou l’interruption d’un service).
• Les failles découvertes nous sont signalées immédiatement et en toute confidentialité, et ne sont pas rendues publiques avant que nous ayons eu suffisamment de temps pour y remédier. 

Dans le cadre des présentes conditions, nous considérons vos activités comme autorisées et n’engagerons aucune poursuite civile ou pénale. Si des données sensibles devaient être involontairement concernées, nous attendons de vous que vous ne les enregistriez pas, ne les transmettiez pas et ne les utilisiez pas d’une quelconque autre manière, et que vous nous en informiez immédiatement. 

Veuillez noter que cette clause de sécurité ne s’applique pas aux activités qui enfreignent la législation en vigueur ou qui dépassent le cadre des conditions susmentionnées. 

GRIMME applique le principe d'une gestion coordonnée des vulnérabilités. Toutes les signalements reçus sont traités de manière confidentielle, puis examinés, évalués et classés par ordre de priorité par le PSIRT. La publication externe d'informations relatives à la sécurité est coordonnée et n'intervient qu'une fois l'évaluation terminée et les mesures correctives appropriées mises en œuvre. L'objectif est de minimiser les risques pour les clients et les opérateurs et d'éviter toute divulgation d'informations non vérifiées ou pour lesquelles aucun correctif n'a été appliqué. 

En cas de vulnérabilités ou d'incidents de sécurité soumis à une obligation de déclaration, nous nous réservons le droit de transmettre des informations aux autorités compétentes et aux organismes de contrôle conformément aux exigences légales en vigueur.  

Veuillez noter qu’en raison d’exigences légales, d’obligations de confidentialité ou d’enquêtes en cours, il se peut que nous ne puissions pas divulguer tous les détails relatifs aux vulnérabilités signalées ni communiquer l’état d’avancement complet du traitement.  

Il peut donc arriver qu’un retour d’information au signalant n’ait lieu qu’après une évaluation finale ou lors de la publication d’une information de sécurité.