Politique de divulgation des failles
1. Objectif
FLEX-Elektrowerkzeuge GmbH (ci-après « l'Organisation ») s'engage à recevoir, à évaluer et à traiter les signalements de failles en matière de cybersécurité concernant ses produits comportant des éléments numériques. La présente politique décrit notre processus coordonné de divulgation des failles et garantit notre conformité aux exigences applicables du règlement (UE) 2024/2847 (le « règlement européen sur la cyberrésilience »).
Nous nous engageons à améliorer sans cesse nos produits, en nous concentrant sur l'évolution des besoins du marché, en répondant aux menaces émergentes et en nous adaptant aux nouveaux vecteurs d'attaque.
2. Champ d'application
Vous pouvez signaler toute faille de cybersécurité potentielle détectée lors de l'utilisation des produits suivants :
Applications (APPLI) et produits pouvant se connecter à des applis
Produits dotés d'interfaces de diagnostic et outils de diagnostic associés pouvant être commandés à distance
3. Comment signaler une faille
3.1 Canal de signalement
Merci de ne pas nous envoyer d'informations relatives à un problème par des canaux non sécurisés. Les rapports de failles doivent être envoyés à notre adresse e-mail :
Contact pour les questions de sécurité : psirt@flex-tools.com
Si votre signalement contient du code d'exploitation, des identifiants d'accès, des données à caractère personnel ou d'autres informations sensibles, veuillez d'abord nous contacter afin que nous puissions vous proposer un mode de transfert sécurisé adapté.
Ce point de contact est supervisé par un personnel qualifié et ne repose pas uniquement sur des outils automatisés.
3.2 Contenu du signalement
Dans la mesure du possible, les personnes effectuant un signalement sont invitées à fournir les informations suivantes afin de faciliter le triage des données :
Produit ou application concerné(e) : Nom exact et version, version du micrologiciel ou du logiciel (obligatoire)
Description de la faille : Une description détaillée de la faille et de son impact potentiel
Étapes de reproduction : Instructions étape par étape, y compris les détails concernant les outils et l'environnement
Éléments justificatifs : Captures d'écran, captures réseau, fichiers journaux ou code de preuve de concept (PoC)
Évaluation de la gravité : Score CVSS v3.1 ou v4.0 recommandé
Coordonnées : Adresse e-mail ou autres coordonnées pour les communications ultérieures (obligatoire)
3.3 Lignes directrices relatives à la recherche en matière de sécurité
Lorsque vous menez des recherches ou des tests en matière de sécurité, veuillez :
éviter d'accéder aux données appartenant à d'autres utilisateurs, de les copier, de les modifier ou de les supprimer ;
ne pas recourir à l'ingénierie sociale, au phishing, aux attaques par déni de service, aux attaques physiques ou à toute autre méthode susceptible de perturber nos produits, nos services ou nos utilisateurs ;
limiter les tests à un cadre raisonnablement nécessaire pour confirmer et documenter la faille ;
cesser les tests et nous avertir sans délai si vous accédez à des données à caractère personnel, à des identifiants, à des informations confidentielles ou à des systèmes dépassant le cadre du champ d'application prévu ; et
ne pas divulguer publiquement cette faille avant que nous ayons eu la possibilité, dans un délai raisonnable, d'enquêter et d'y remédier, sous réserve de la législation en vigueur.
La présente politique n'autorise pas les comportements illicites ou qui dépassent, de quelque manière que ce soit, les droits d'accès qui vous ont été accordés.
4. Procédure de gestion des failles
L'équipe d'intervention en cas d'incident de sécurité des produits procédera à l'analyse de la faille et à l'évaluation des risques dès réception d'un signalement de faille. Les failles confirmées feront l'objet de mesures correctives et seront rendues publiques, tout en assurant la communication nécessaire avec la personne ayant effectué le signalement. S'il est confirmé que la faille se trouve dans un composant en amont, l'équipe d'intervention en cas d'incident de sécurité des produits en informera le fournisseur.
Avant toute divulgation publique, les deux parties doivent s'entendre sur les points suivants :
Date de publication
Contenu de toute annonce ou déclaration publique
Période d'embargo nécessaire pour protéger les utilisateurs
5. Confidentialité
L'Organisation garantira la confidentialité des signalement de failles et ne communiquera pas les informations personnelles de la personne ayant signalé la faille à des tiers sans son consentement explicite, sauf si la loi l'exige.
Les personnes ayant effectué un signalement peuvent également rester anonymes ; toutefois, l'anonymat peut limiter la capacité de l'Organisation à assurer un suivi.
6. Divulgation des failles corrigées
Aucune vulnérabilité connue n'a été signalée.