Politique de divulgation responsable des vulnérabilités

Nous prenons la sécurité de nos systèmes très au sérieux et nous invitons les chercheurs en sécurité à nous faire part de leurs retours pour nous permettre d’améliorer la sécurité de nos produits et services.

Nous demandons à tous ces chercheurs de respecter la législation. Une analyse des vulnérabilités ne peut pas servir de prétexte pour attaquer un système ou toute autre cible. Plusieurs actions doivent être évitées, par exemple :

• Utiliser l’ingénierie sociale.
• Compromettre le système et maintenir constamment l'accès à ce dernier.
• Modifier les données accessibles en exploitant la vulnérabilité.
• Utiliser un programme malveillant.
• Utiliser la vulnérabilité hors du cadre de la démonstration de son existence. Pour démontrer que la vulnérabilité existe, l'auteur du signalement pourrait utiliser des méthodes non-intrusives. Par exemple, lister un répertoire système.
• Utiliser la force brute pour accéder aux systèmes.
• Partage de vulnérabilité avec des tiers.
• Réalisation d'attaques Dos ou DDoS

Garder confidentielles, entre vous et Salto Systems, les informations relatives aux vulnérabilités que vous avez découvertes jusqu'à ce que nous ayons apporté une solution au problème.

Envoyer un e-mail à securityalert@saltosystems.com si vous avez remarqué un problème pouvant potentiellement affecter la sécurité de nos produits ou services.

Nous invitons les pirates éthiques à découvrir les vulnérabilités via notre programme Bug Bounty sur Intigriti. 

Nous nous efforçons d’accuser réception de votre rapport de vulnérabilité dans les 7 jours ouvrables et de terminer le processus de triage dans les 14 jours ouvrables. Tout au long du processus, nous vous tiendrons informés de nos progrès et de l’achèvement de tout effort de correction par le biais de notre programme de primes de bogues.

Si des informations supplémentaires sont nécessaires, nous pouvons vous contacter pour obtenir des précisions. La correction des vulnérabilités signalées est hiérarchisée en fonction de facteurs tels que l’impact, la gravité et la complexité de l’exploitation. Compte tenu de ces considérations, certains rapports peuvent nécessiter un délai supplémentaire pour le triage ou la résolution. Nous vous invitons à vérifier le statut ; cependant, nous vous prions de ne pas le faire plus d’une fois  tous les 14 jours pour permettre à nos équipes de se concentrer sur les activités de remédiation. 

De plus, pour certains de nos produits, nous invitons des hackers éthiques à identifier des vulnérabilités à travers notre programme Bug Bounty sur Intigriti.

Soyez récompensé pour nous avoir rendus plus forts ! Inscrivez-vous ici.