Politique de divulgation des vulnérabilités

ConnectMyAssets prend la sécurité de ses produits au sérieux. Nous accueillons les signalements de vulnérabilités des chercheurs en sécurité, des clients et des partenaires, et traitons chaque signalement en priorité.

Nous signaler une vulnérabilité n’est pas un acte hostile : c’est le moyen le plus rapide de protéger les réseaux exploités par nos clients.

Envoyez votre signalement à security@connectmyassets.com. Si votre signalement doit être chiffré, dites-le dans un premier message et nous conviendrons d’un canal avec vous.

Nous vous demandons d’attendre 90 jours avant de publier vos conclusions, pour que nos clients puissent déployer le correctif. Ce délai est ajustable d’un commun accord : plus court une fois le correctif livré, plus long pour un cas complexe ou impliquant un tiers.

Nous créditons la personne qui a trouvé la faille dans l’avis de sécurité, sous le nom de son choix. Celles qui préfèrent rester anonymes ne sont pas nommées.

Nous n’engageons aucune poursuite contre une recherche de bonne foi qui respecte cette politique. La respecter, c’est : ne pas accéder aux données d’autrui au-delà du strict nécessaire pour démontrer la faille, ne pas interrompre le service, signaler rapidement et ne rien divulguer avant la date convenue.

Si un signalement vous conduit hors de ce cadre, dites-le-nous : nous préférons en discuter que l’apprendre après coup.

Chaque vulnérabilité corrigée qui touche une version déployée fait l’objet d’un avis de sécurité : ce qui est affecté, la gravité, la version corrigée et les contournements éventuels. Les avis sont transmis aux clients concernés par leur canal de support habituel.

Pour être ajouté à cette diffusion, ou pour demander un avis passé, écrivez à security@connectmyassets.com.

En tant que fabricant d’un produit comportant des éléments numériques, nous signalons les vulnérabilités activement exploitées et les incidents de sécurité graves au CSIRT coordinateur (l’ANSSI en France) et à l’ENISA, dans les délais fixés par le règlement (UE) 2024/2847 dit Cyber Resilience Act : alerte précoce sous 24 heures, notification sous 72 heures, puis rapport final.

Ce signalement est une obligation envers les autorités. Il ne remplace ni ne retarde ce que nous vous devons : les délais de cette politique restent valables.

Nous n’avons pas de programme de récompense et ne rémunérons pas les signalements. Ce que nous offrons : un examen sérieux, un correctif, et le crédit dans l’avis de sécurité si vous le souhaitez.