1. Valeurs et principes
La cybersécurité, c’est-à-dire la protection des produits comportant des éléments numériques, la protection des utilisateurs de ces produits et la protection d’autres personnes contre les cybermenaces, revêt une importance capitale pour nos produits comportant des éléments numériques. Nous appliquons une approche de sécurité dès la conception (Security by Design) et nous nous engageons à maintenir la sécurité de nos produits comportant des éléments numériques tout au long de leur cycle de vie. C’est pourquoi Kärcher souhaite travailler en étroite collaboration avec la communauté de la cybersécurité.
Nous encourageons les chercheurs, les autorités, les partenaires commerciaux ainsi que d’autres acteurs privés et publics (ci-après dénommés « Rapporteurs » ou « vous ») à nous contacter au sujet de vulnérabilités présentes dans nos produits comportant des éléments numériques (ce que l’on appelle un « Rapport de vulnérabilité » ou Vulnerability Report). Ces informations de sécurité fournies par des tiers constituent un élément précieux de notre architecture de sécurité.
2. Conditions de signalement et de divulgation
Kärcher souhaite rendre la communication avec les Rapporteurs aussi simple et accessible que possible. Nous vous prions de bien vouloir respecter les points suivants :
2.1 Généralités :
- Les Rapports de vulnérabilité peuvent être envoyés en anglais et en allemand.
- Kärcher traitera les Rapports de vulnérabilité de manière confidentielle, dans la mesure où la loi le permet. Sont expressément exclues de cette confidentialité les informations nécessaires à la divulgation de la vulnérabilité, ainsi que les sociétés affiliées à Kärcher. Aucun accord de confidentialité supplémentaire n’est requis.
- Kärcher ne transmettra pas les données personnelles des Rapporteurs à des tiers sans leur consentement, à l’exception de la transmission aux sociétés affiliées à Kärcher.
- Les Rapports de vulnérabilité doivent obligatoirement concerner un produit comportant des éléments numériques de Kärcher, c’est-à-dire un produit portant le logo Kärcher.
Kärcher n’engagera aucune poursuite judiciaire (que ce soit sur le plan civil ou pénal) en lien avec les Rapports de vulnérabilité, à condition que :
- le Rapporteur agisse de bonne foi (good faith) dans le cadre de la présente Politique et ne poursuive aucune intention criminelle ;
- le Rapporteur ne cause aucun dommage à Kärcher et/ou à ses sociétés affiliées, clients, fournisseurs ou partenaires ;
- le Rapporteur ne porte atteinte ni à la vie privée ou à la sécurité de Kärcher et/ou de ses sociétés affiliées, clients, fournisseurs ou partenaires, ni au fonctionnement des services de Kärcher ;
- le Rapporteur s’engage à ne pas publier ses résultats tant que Kärcher n’a pas été en mesure de corriger la vulnérabilité conformément aux délais énoncés au point 2.3 ;
- a démarche du Rapporteur ne viole aucune loi ; ou
- la démarche du Rapporteur ne perturbe ni ne compromette les données ou informations confidentielles de tiers.
2.2 Contenu recommandé pour un Rapport de vulnérabilité
Dans la mesure où elles sont connues, nous recommandons de fournir les informations suivantes dans un Rapport de vulnérabilité :
- Nom du produit IoT ou du service numérique concerné (de préférence avec la désignation de type, le numéro de série, le nom de domaine ou l’URL)
- Coordonnées du Rapporteur pour la suite des communications (identifiables ou anonymes)
- Description des impacts, des constatations ou des vulnérabilités (si possible avec des journaux d’événements/logs, des images ou tout autre contenu supplémentaire permettant de reproduire le constat)
- Identifiant, référence ou catégorie de la vulnérabilité ou de l’objet du rapport (si possible selon CWE ou OWASP)
- Si connus : impacts, dépendances ou autres influences de l’objet du rapport
- Si connu : un score CVSSv3 ou une estimation de paramètres similaires à CVSS (par ex. privilèges requis, interaction de l’utilisateur requise, disponibilité d’outils d’attaque, etc.)
- Si connues : notoriété ou propagation de la vulnérabilité ou de l’exploit.
Nous traiterons chaque Rapport de vulnérabilité selon le processus décrit ci-dessous. Plus nous recevrons d’informations, mieux nous pourrons réagir au Rapport de vulnérabilité. Si nous ne recevons pas suffisamment d’informations, il se peut que nous mettions le rapport en attente ou que nous n’y donnions pas suite.
2.3 Processus de divulgation
Les Rapports de vulnérabilité sont traités par nos soins comme suit :
- Dès réception, nous examinons chaque Rapport de vulnérabilité afin de détecter tout indice de vulnérabilité activement exploitée.
- Nous vérifions si le Rapport de vulnérabilité entre dans le champ d’application de la présente Politique.
- Nous envoyons une première réponse dans un délai de trois jours ouvrés (du lundi au vendredi).
- Dans les 3 jours ouvrés suivant la réception du Rapport de vulnérabilité, nous répondons avec une première analyse ou des questions complémentaires.
- Dans un délai maximal de 10 jours ouvrés, nous envoyons une réponse détaillée qui peut contenir : une confirmation ou un rejet de la vulnérabilité signalée, des questions supplémentaires sur les faits, ou une explication des raisons pour lesquelles l’investigation / le traitement de la vulnérabilité est toujours en cours.
- Kärcher divulguera publiquement les vulnérabilités validées et vérifiées dans un délai de 90 jours, à moins que Kärcher ne détecte la vulnérabilité et ne la corrige avant la mise sur le marché du produit concerné. En cas d’exception dûment justifiée et en étroite concertation avec le CSIRT national compétent pour Kärcher, ce délai peut être prolongé une seule fois de 90 jours supplémentaires. À titre exceptionnel, le délai jusqu’à la divulgation publique peut être prolongé davantage par le CSIRT national compétent sur demande de Kärcher.
- La divulgation publique aura lieu dans la base de données européenne sur les vulnérabilités (EUVD) gérée par l’ENISA.
Le processus est considéré comme terminé lorsque :
- le Rapport de vulnérabilité est infondé ou ne relève pas du champ d’application de la présente Politique ;
- la vulnérabilité a été corrigée et divulguée publiquement ;
- le Rapporteur ne répond pas aux demandes de précisions de Kärcher pendant au moins 30 jours ou que d’autres demandes de précisions sont impossibles et que les informations contenues dans le Rapport de vulnérabilité ne suffisent pas à reproduire ou vérifier la vulnérabilité ; ou
- en concertation avec le CSIRT compétent, il est établi que la vulnérabilité ne peut pas être corrigée et que la divulgation de la vulnérabilité a eu lieu.
Les règles suivantes s’appliquent à l’ensemble du processus :
- La correction des vulnérabilités est effectuée dans les plus brefs délais.
- La réponse finale ainsi que les mesures de sécurité dépendent de la complexité de chaque cas particulier.
- Nous tenons le Rapporteur informé de l’avancement et l’informons dès que la vulnérabilité a été corrigée. Cela ne s’applique pas aux Rapports de vulnérabilité soumis de manière anonyme.
- En cas de vulnérabilités activement exploitées et d’incidents graves ayant des répercussions sur la sécurité du produit comportant des éléments numériques et dont Kärcher a connaissance, Kärcher en informera le CSIRT compétent et l’ENISA dans les délais légaux impartis et les tiendra informés de toute nouvelle information et mesure prise.
3. Traitement des demandes hors du champ d’application de la présente Politique de divulgation coordonnée des vulnérabilités
Les demandes qui ne relèvent pas de la présente Politique ne peuvent malheureusement pas être traitées via ce point de contact. Nous vous informerons si votre Rapport de vulnérabilité se trouve hors du champ d’application de cette Politique. Dans ce cas, veuillez vous adresser au service client, à votre représentant commercial référent ou à votre revendeur.
4. Droits d’utilisation
Kärcher apprécie chaque Rapport de vulnérabilité et souhaite, dans la mesure du possible, mettre en œuvre des propositions de solution pour les problèmes de sécurité. Afin de pouvoir utiliser de manière appropriée le Rapport de vulnérabilité ainsi que le code, les extraits de code (snippets), les images ou d’autres sources susceptibles de faire l’objet de droits de propriété intellectuelle, nous avons besoin des droits d’utilisation ci-dessous. Dans le cas contraire, les mises à jour de sécurité et les correctifs (patches), par exemple, ne pourront pas être fournis, même s’ils résolvent le problème de sécurité.
Tous les droits sur le Rapport de vulnérabilité restent la propriété du Rapporteur. Cependant, en soumettant un Rapport de vulnérabilité à Kärcher, vous acceptez ce qui suit :
- Vous accordez à Kärcher un droit d’utilisation non exclusif, irrévocable, illimité dans le temps, libre de redevance, mondial et sous-licenciable concernant la propriété intellectuelle, le savoir-faire ou tout élément similaire contenu dans le Rapport de vulnérabilité aux fins suivantes :
- pour utiliser, vérifier, évaluer, tester et analyser de toute autre manière le Rapport de vulnérabilité ;
- pour reproduire, modifier, distribuer, afficher publiquement, commercialiser et créer des œuvres dérivées à partir de tout ou partie du Rapport de vulnérabilité et/ou de son contenu ;
- Vous acceptez de signer, si nécessaire, tous les documents requis pour confirmer les droits que vous avez accordés ci-dessus ;
- Vous êtes conscient(e) et reconnaissez que Kärcher a pu développer ou faire développer du contenu similaire ou identique à votre Rapport de vulnérabilité, et vous renoncez à toute réclamation pouvant découler de similitudes avec votre Rapport de vulnérabilité ;
- Vous êtes conscient(e) et reconnaissez qu’aucune indemnité ne vous sera versée et que Kärcher n’est pas tenue de vous mentionner nommément (par exemple dans le cadre d’un programme Bug Bounty) ; et
- Vous confirmez que votre Rapport de vulnérabilité provient de vous, que vous n’avez pas utilisé d’informations provenant de tiers et que vous êtes autorisé(e) à transmettre le Rapport de vulnérabilité à Kärcher.
5. Moyens de contact
Si vous avez découvert une vulnérabilité potentielle dans l’un de nos produits ou services, nous vous prions de nous la signaler via notre point de contact central en utilisant les moyens de contact ci-dessous.
Une bonne communication est essentielle pour les Rapports de vulnérabilité et une divulgation coordonnée des vulnérabilités. C’est pourquoi nous vous encourageons à nous fournir au moins un moyen de contact, de préférence une adresse e-mail.
Dans le cas d’un signalement anonyme via notre formulaire de contact, nous ne serons pas en mesure de poser des questions complémentaires. Cela peut conduire à un traitement restreint, voire à l’absence de traitement du Rapport de vulnérabilité. De plus, nous ne pourrons vous fournir aucune mise à jour ni aucun retour dans le cadre de cette Politique.
Vous pouvez joindre le point de contact central de Kärcher comme suit :
E-mail : psirt@karcher.com
