Poli­tique de divul­ga­tion coor­don­née des vulnérabilités

Champ d’application

La sécurité de nos systèmes constitue une priorité absolue. Cependant, malgré tous les efforts déployés pour garantir leur sécurité, il peut subsister certaines vulnérabilités.
Dans le but d’améliorer la performance et la sécurité de nos réseaux et de nos systèmes d’information, nous avons adopté une politique de divulgation coordonnée des vulnérabilités (CVDP).

Cette politique concerne les vulnérabilités de sécurité susceptibles d’être exploitées par des tiers ou de perturber le bon fonctionnement de nos produits, services, réseaux ou systèmes d’information. Elle offre aux participants la possibilité de rechercher, de manière bienveillante, d’éventuelles failles de sécurité dans les systèmes, équipements et produits de notre organisation, ou de nous transmettre toute information découverte relative à une vulnérabilité.

Toutefois, l’accès à nos systèmes et équipements informatiques n’est autorisé qu’à des fins d’amélioration de la sécurité, de signalement de vulnérabilités existantes et dans le strict respect des conditions énoncées dans le présent document.
Le participant est également autorisé à introduire ou à tenter d’introduire des données informatiques dans notre système, uniquement dans le cadre et aux conditions prévues par la présente politique.

La Politique de Divulgation Coordonnée des Vulnérabilités s’applique exclusivement à l’application mobile et au site web portail d’Olympus Mobility.

Principes

Proportionnalité

Les hackers éthiques s’engagent à respecter strictement le principe de proportionnalité dans l’ensemble de leurs activités.
Ils doivent notamment s’abstenir de perturber la disponibilité des services fournis par le système ou d’exploiter une vulnérabilité au-delà de ce qui est strictement nécessaire pour en démontrer l’existence.

Leur démarche doit rester mesurée : une fois la faille démontrée à petite échelle, aucune action supplémentaire ne doit être entreprise.
L’objectif de la présente politique est de rappeler que la motivation première du hacker éthique doit être la recherche et la démonstration de vulnérabilités, et non la collecte intentionnelle d’informations sensibles ou de données personnelles (données informatiques, de communication ou à caractère personnel).
Toute exposition à de telles données ne peut être qu’accidentelle et accessoire à un test légitime de vulnérabilité.

Actions interdites

Les actions suivantes sont strictement interdites :

• Révéler le problème sans l’autorisation écrite d’Olympus Mobility ;
• Attaques portant sur la sécurité physique, l’ingénierie sociale, les attaques par déni de service distribué (DDoS), le spam ou les applications tierces ;
• Copier, modifier ou supprimer des données issues du système informatique ;
• Modifier les paramètres du système informatique ;
• Installer des logiciels malveillants (virus, vers, chevaux de Troie, portes dérobées, etc.) ;
• Effectuer des attaques par déni de service (DDoS) ;
• Pratiquer l’ingénierie sociale ou le phishing ;
• Envoyer du spam ;
• Voler des mots de passe ou effectuer des attaques par force brute ;
• Installer tout dispositif destiné à intercepter, stocker ou accéder à des communications (électroniques) non publiques ;
• Intercepter, stocker ou recevoir intentionnellement des communications non accessibles au public ;
• Utiliser, conserver, diffuser ou communiquer intentionnellement le contenu de communications non publiques ou de données provenant d’un système informatique obtenues illégalement.

Si le participant souhaite recourir à l’aide d’un tiers pour mener ses recherches, il doit s’assurer que ce tiers a pris connaissance de la présente politique et qu’il s’engage, en apportant son assistance, à en respecter les conditions.

Confidentialité

Le participant s’engage à ne partager ni divulguer aucune information collectée dans le cadre de la présente politique à des tiers, sans notre accord préalable et explicite.
Il lui est également interdit de révéler des données informatiques, de communication ou à caractère personnel à des tiers.

Si la vulnérabilité découverte peut également affecter d’autres organisations en Belgique, le participant ou l’organisation responsable peut en informer le CCB (Centre pour la Cybersécurité Belgique) à l’adresse suivante :vulnerabilityreport@cert.be

Exécution de bonne foi

Notre organisation s’engage à appliquer la présente politique de bonne foi et à ne pas engager de poursuites civiles ou pénales contre un participant respectant ses conditions.

Le participant doit agir sans intention frauduleuse, sans volonté de nuire, d’exploiter ou de causer des dommages aux systèmes visités ou à leurs données.
Cette garantie s’applique également aux systèmes de tiers situés en Belgique ou à l’étranger.

En cas de doute concernant l’une des conditions de la présente politique, le participant doit préalablement contacter notre point de contact (security@olympus-mobility.com) et obtenir une autorisation écrite avant toute action.

Traitement des données à caractère personnel

La finalité d’une CVDP n’est pas de traiter intentionnellement des données personnelles. Cependant, il se peut que le participant en traite de manière accessoire au cours de ses recherches.

Le traitement de données personnelles comprend notamment leur conservation, modification, consultation, utilisation ou divulgation, dès lors qu’elles se rapportent à une personne identifiée ou identifiable (par ex. : adresse e-mail, identifiant en ligne, adresse IP, données de localisation, etc.).

Le participant s’engage à :

• Traiter les données uniquement selon les instructions de notre organisation et exclusivement dans le cadre de l’analyse de vulnérabilités ;
• Limiter le traitement au strict nécessaire ;
• Garantir la confidentialité des personnes autorisées à traiter les données ;
• Mettre en œuvre des mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté (par ex. chiffrement) ;
• Informer immédiatement (privacy@olympus-mobility.com) de toute violation de données ;
• Ne conserver les données que pour la durée strictement nécessaire, en assurant leur stockage sécurisé (de préférence chiffré) ;
• Supprimer toutes les données à la fin de sa participation ;
• Tenir un registre des activités de traitement, conformément à l’article 30, §2 du RGPD.

En cas de recours à un tiers, le participant demeure pleinement responsable du respect des obligations en matière de protection des données.
S’il traite des données à des fins non conformes à la présente politique, il sera considéré comme responsable de traitement et assumera l’entière responsabilité légale de ce traitement.

Signalement

Veuillez respecter les consignes suivantes :

• Étayer vos constats par des captures d’écran et des instructions claires permettant de reproduire la vulnérabilité ;
• Fournir des horodatages précis correspondant à vos tests, en indiquant clairement le fuseau horaire (ex. : +0000 pour UTC) ;
• Envoyer votre rapport à security@olympus-mobility.com ;
• Chiffrer vos rapports à l’aide de notre clé publique de divulgation afin d’éviter toute fuite d’informations sensibles.

Notre engagement

Nous nous engageons à :

• Répondre à votre rapport dans un délai de trois jours ouvrables, en précisant notre évaluation et une date prévisionnelle de résolution ;
• Ne pas engager de poursuites judiciaires si vous avez respecté les conditions de la présente politique ;
• Traiter votre rapport en toute confidentialité et ne pas transmettre vos données personnelles à des tiers sans votre consentement ;
• Vous tenir informé de l’avancement de la résolution ;
• Vous attribuer publiquement le crédit de la découverte (sauf demande contraire de votre part) ;
• Vous offrir, en remerciement, un mug ou un t-shirt Olympus Mobility Security Champion, selon votre préférence.

Droit applicable

Le droit belge s’applique à tout litige relatif à la mise en œuvre de la présente politique.
Le CCB (vulnerabilityreport@cert.be) peut agir en tant que médiateur entre notre organisation et le participant pour toute difficulté d’application.

Contact

Pour toute question relative à la Politique de Divulgation Coordonnée des Vulnérabilités : security@olympus-mobility.com