Comment signaler une vulnérabilité ou un problème de sécurité à Elo

Que dois-je inclure dans mon rapport

Pour nous aider à enquêter et à répondre rapidement, veuillez fournir les éléments suivants :

• Votre nom complet et vos coordonnées
  (Email de préférence, mais tout moyen que nous pouvons utiliser pour faire un suivi est acceptable.)

• Description détaillée du problème, y compris :

  • Le nom du service, produit ou système Elo concerné

  • Le nom du logiciel, sa description et son numéro de version (le cas échéant)

  • Des instructions étape par étape pour reproduire le problème

  • Une description technique de la vulnérabilité (inclure une preuve de concept, si possible)

  • L'impact ou le risque potentiel posé par le problème

  • Toute autre information pertinente qui pourrait nous aider à valider et résoudre la vulnérabilité

Politique de divulgation des vulnérabilités

Directives de signalement responsable

Elo apprécie et encourage les contributions des clients et de la communauté au sens large pour améliorer la sécurité de nos produits et services. Si vous identifiez une vulnérabilité potentielle, nous vous demandons d'agir de manière responsable et de suivre ces directives :

• Ne pas accéder, modifier ou tester les systèmes, services, produits ou logiciels Elo sans autorisation appropriée.

• Ne pas divulguer, modifier, détruire ou utiliser de manière abusive toute donnée rencontrée lors de votre enquête.

• Gardez toutes les informations relatives à l'incident signalé strictement confidentielles, y compris les communications avec Elo.

• Évitez les attaques par déni de service (DoS) ou tout test pouvant affecter la disponibilité, l'intégrité ou la confidentialité des systèmes Elo.

• Ne pas s'engager dans l'ingénierie sociale, le phishing ou des activités similaires visant les clients ou employés d'Elo.

• Veuillez noter : Elo ne n'offre pas de compensation pour le temps passé ou les vulnérabilités découvertes lors de tests ou de recherches non sollicités.

Processus de réponse aux vulnérabilités

Elo suit un processus structuré pour évaluer et traiter les vulnérabilités de sécurité signalées.

Suite à l'accusé de réception initial, Elo fera ses efforts pour répondre dans un délai de 30 jours pour confirmer si la vulnérabilité signalée a été :

• Validée et acceptée, ou
• Rejetée
  • Si la vulnérabilité est acceptée, Elo peut fournir une proposition de calendrier de mitigation non contraignante.
  • Si la vulnérabilité est rejetée, Elo fournira les raisons du rejet et reste ouverte à l'examen de toute information supplémentaire fournie.

Une fois qu'une vulnérabilité est confirmée et acceptée, les ingénieurs d'Elo travailleront à développer des solutions matérielles et/ou logicielles appropriées.

Elo s’efforce de terminer l'analyse et de mettre en œuvre des solutions logicielles dans un délai de 90 jours suivant l'accusé de réception initial. Cependant, la publication effective des solutions peut dépasser ce délai en raison de facteurs tels que :

• Les fournisseurs en amont ayant des délais différents de résolution des problèmes
• Des changements matériels ou architecturaux substantiels nécessaires
• Des limitations liées au cycle de vie du produit ou aux ressources
• L'intégration à travers plusieurs canaux de distribution ou écosystèmes

À sa seule discrétion, Elo peut publier périodiquement des bulletins de sécurité pour informer le public des solutions achevées pour les produits concernés.

Dernières mises à jour de sécurité