Politique de signalement des vulnérabilités des produits

Portée

La présente Politique de signalement des vulnérabilités des produits (« Politique ») s'applique aux vulnérabilités de cybersécurité potentielles affectant les produits Wabtec et leurs composants, y compris les logiciels et micrologiciels associés et les services numériques liés aux produits fournis par Wabtec.

Wabtec est heureuse de recevoir des informations concernant des produits, que le journaliste ait ou non une relation commerciale avec Wabtec. Les rapports concernant des produits qui ne sont plus pris en charge peuvent être évalués au cas par cas. L'acceptation ou l'évaluation d'un tel rapport ne signifie pas que Wabtec fournira un correctif, une mise à jour ou une autre solution pour un produit en dehors de sa période de support applicable.

Cette politique est destinée aux vulnérabilités de cybersécurité des produits. L'assistance générale sur les produits, les problèmes de qualité des produits sans impact sur la cybersécurité, les demandes de garantie et les autres questions non liées à la sécurité doivent être adressées au canal d'assistance client Wabtec concerné.

Les tests de systèmes, de réseaux, de produits ou d'environnements détenus ou gérés par des clients de Wabtec ou d'autres tiers ne sont pas autorisés par cette Politique.

Recherche de bonne foi en matière de sécurité

Wabtec soutient des recherches de bonne foi en matière de sécurité visant à identifier et à signaler de manière responsable les vulnérabilités potentielles en matière de cybersécurité des produits Wabtec.

Si vous menez des recherches de sécurité conformément à la présente Politique, si vous agissez de bonne foi pour éviter de porter préjudice à Wabtec, à nos clients et à d'autres tiers, et si vous signalez rapidement les vulnérabilités identifiées à Wabtec, Wabtec n'engagera aucune action en justice contre vous uniquement pour cette recherche.

Cet engagement s'applique uniquement aux réclamations pour lesquelles Wabtec est légalement habilitée à renoncer ou à contrôler. Il n'autorise pas l'accès aux systèmes, produits, réseaux ou environnements détenus ou exploités par des clients ou d'autres tiers, ni les tests de ceux-ci sans leur autorisation, et ne lie pas les tiers indépendants ni les autorités gouvernementales ou chargées de l'application de la loi.

Il vous incombe de vous conformer aux lois applicables et d'obtenir toute autorisation requise auprès du propriétaire ou de l'exploitant d'un système, d'un produit, d'un réseau ou d'un environnement.

Si vous ne savez pas si une recherche particulière est conforme à cette Politique, veuillez contacter Wabtec PSIRT avant de poursuivre.

Règles d'engagement

Afin de promouvoir une recherche responsable et de protéger les clients, les employés, les opérations et les autres tiers de Wabtec, les chercheurs participant dans le cadre de cette Politique doivent :

• Faites un effort de bonne foi pour éviter de nuire à Wabtec, à nos clients, à d'autres tiers et au public ;
• Effectuez des tests uniquement sur les produits, les systèmes et les environnements qui vous appartiennent ou pour lesquels vous disposez des autorisations appropriées ;
• Évitez de tester des services ou des infrastructures tiers, y compris les environnements de production des clients, sauf si vous disposez d'une autorisation distincte de la part du tiers concerné ;
• Évitez toute activité susceptible de nuire à la sécurité ou à la disponibilité des environnements ferroviaires, de transport en commun, miniers, industriels ou autres environnements opérationnels ;
• Évitez d'interférer avec le matériel roulant, les commandes des trains, la signalisation, le freinage, les communications ou toute autre fonctionnalité opérationnelle ou liée à la sécurité ;
• Évitez les dénis de service, l'épuisement des ressources, les tests destructifs ou perturbateurs ;
• Évitez les tests de sécurité physique et l'ingénierie sociale, y compris le phishing ;
• Évitez d'introduire des logiciels malveillants, des rançongiciels, des mécanismes de persistance ou d'autres fonctionnalités malveillantes ;
• Évitez d'accéder, de modifier, de supprimer, de télécharger ou d'exfiltrer des données au-delà du minimum nécessaire pour démontrer l'existence et l'impact potentiel d'une vulnérabilité ;
• Arrêtez les tests et informez directement Wabtec si vous accédez à des données sensibles, à des informations d'identification, à des informations clients ou à des fonctionnalités au-delà de ce qui est nécessaire pour démontrer la vulnérabilité ;
• Évitez les mouvements latéraux ou les tentatives visant à établir un accès continu une fois qu'une vulnérabilité a été démontrée ;
• Évitez de télécharger des informations non publiques sur les vulnérabilités, des informations sur les clients ou d'autres informations sensibles vers des services publics ou tiers lorsque cela pourrait entraîner une divulgation non autorisée ; et
• Coordonnez la divulgation de la vulnérabilité signalée avec Wabtec comme décrit ci-dessous, en particulier, ne divulguez pas publiquement les vulnérabilités identifiées tant que Wabtec n'a pas confirmé la correction de la vulnérabilité identifiée.

Les recherches impliquant des fonctionnalités liées à la sécurité ne doivent être effectuées que dans un environnement non opérationnel correctement contrôlé et avec toutes les autorisations requises.

Généralement hors du champ d'application

Wabtec ne considère généralement pas les observations concernant les meilleures pratiques de sécurité ou les problèmes de configuration sans impact démontrable sur la cybersécurité comme des vulnérabilités de cybersécurité des produits.

Les exemples peuvent inclure :

• Divulgation de versions informatives sans impact démontré sur la sécurité ;
• En-têtes de sécurité HTTP manquants ou recommandés sans exploitabilité démontrée ;
• Vulnérabilités théoriques sans trajectoire d'attaque crédible ni impact sur la sécurité ;
• des résultats qui dépendent uniquement de navigateurs, de systèmes d'exploitation ou de plateformes tiers obsolètes ou non pris en charge ;
• Les problèmes nécessitant une interaction peu plausible de l'utilisateur sans impact significatif sur la sécurité ; et
• Autres recommandations de configuration ou de renforcement de la sécurité qui ne présentent aucun risque matériel en matière de confidentialité, d'intégrité, de disponibilité, de confidentialité, de sécurité ou de fonctionnement.

Cette liste est illustrative plutôt qu'exhaustive. Wabtec peut évaluer tout rapport dans lequel le journaliste démontre un impact significatif sur la cybersécurité, la sécurité, la confidentialité ou les opérations.

Si vous n'êtes pas certain de la portée d'un problème, nous vous encourageons à le signaler.

Que se passe-t-il une fois que vous avez signalé une vulnérabilité

Wabtec PSIRT coordonne le traitement des vulnérabilités potentielles signalées en matière de cybersécurité des produits. Le procédé comprend généralement les étapes suivantes.

1. Réception et triage

Wabtec PSIRT reçoit et effectue un examen initial des rapports de vulnérabilité.

Wabtec PSIRT accepte les signalements à tout moment et s'efforcera d'accuser réception d'un rapport de vulnérabilité dans les deux jours ouvrables.

Les rapports indiquant un risque de sécurité imminent, une exploitation active ou un impact significatif sur les clients ou les opérations seront traités en priorité pour une évaluation accélérée.

2. Évaluation technique

Wabtec évalue les vulnérabilités potentielles signalées et, le cas échéant, collabore avec les équipes pertinentes en charge des produits, de l'ingénierie, de la cybersécurité, de la sécurité, des affaires juridiques et autres pour :

• Validez et reproduisez le problème signalé ;
• Déterminer les produits et les versions concernés ;
• Évaluer l'impact potentiel sur la cybersécurité, la sécurité, la confidentialité et les opérations ;
• évaluer l'exploitabilité et la gravité ; et
• Déterminez si des informations supplémentaires sont requises de la part du déclarant.

Wabtec peut contacter le journaliste au cours de ce processus pour obtenir des informations techniques supplémentaires ou des éclaircissements.

3. Assainissement et atténuation

Pour les vulnérabilités validées, Wabtec déterminera les mesures de correction ou d'atténuation des risques appropriées en fonction des circonstances.

En fonction de la vulnérabilité et du produit concerné, ces mesures peuvent inclure des mises à jour logicielles ou micrologicielles, des modifications de configuration, des contrôles compensatoires, des solutions de contournement, des conseils aux clients ou d'autres mesures.

Les délais de réponse et de remédiation varient en fonction de facteurs tels que la gravité et la complexité de la vulnérabilité, les produits concernés, les considérations de sécurité, la disponibilité des mesures d'atténuation, l'état du cycle de vie des produits et la nécessité de coordonner avec les clients, les fournisseurs, les fournisseurs de technologies, les régulateurs, les CERT, les CSIRT ou les autres parties concernées.

4. Divulgation coordonnée

Wabtec cherche à coordonner la divulgation des vulnérabilités de cybersécurité des produits de manière à protéger les clients et les autres parties concernées.

Nous demandons aux journalistes de préserver la confidentialité des informations non publiques sur les vulnérabilités pendant que Wabtec étudie le problème et, le cas échéant, développe et coordonne des mesures de correction ou d'atténuation.

Wabtec s'efforcera de travailler de bonne foi avec le journaliste pour établir un calendrier de divulgation approprié, le cas échéant. Le calendrier de divulgation peut tenir compte de facteurs tels que :

• Gravité et exploitabilité de la vulnérabilité ;
• Preuve d'une exploitation active ou imminente ;
• les conséquences potentielles en matière de sécurité ou d'exploitation ;
• Disponibilité et validation des mesures d'assainissement ou d'atténuation ;
• considérations relatives au déploiement pour les clients concernés ;
• Coordination avec les fournisseurs et les autres parties concernées ; et
• Exigences légales et réglementaires applicables

Les chercheurs ne doivent pas divulguer publiquement les détails des vulnérabilités avant une date de divulgation coordonnée convenue, sauf disposition contraire de la loi applicable.

5. Reconnaissance du journaliste

Le cas échéant et avec le consentement du journaliste, Wabtec peut reconnaître le journaliste dans un avis de sécurité publié ou dans toute autre communication de vulnérabilité. Les journalistes peuvent également demander que leur identité reste confidentielle ou qu'ils ne soient pas reconnus publiquement.

Avis de sécurité et notifications aux clients

Le cas échéant, Wabtec peut publier un avis de sécurité ou fournir d'autres notifications pour aider les clients concernés à comprendre et à traiter un risque de cybersécurité identifié.

Selon les circonstances, un avis ou une notification peut inclure :

• une description de la vulnérabilité ;
• Produits et versions concernés ;
• Un identifiant CVE et des informations sur la gravité de la vulnérabilité, le cas échéant ;
• Impact potentiel sur la cybersécurité, les opérations ou la sécurité ;
• les facteurs atténuants connus ou les solutions de contournement ; et
• Correctifs disponibles, mises à jour, modifications de configuration ou autres actions recommandées.

Le moment, la forme et le contenu d'une notification dépendront des circonstances de la vulnérabilité, notamment de la sûreté et de la sécurité des clients, du risque d'exploitation, de la disponibilité des mesures correctives, des produits et des clients concernés, de la coordination avec les tiers et des exigences légales et réglementaires applicables.

Le cas échéant, Wabtec peut coordonner les informations sur les vulnérabilités avec les CERT, les CSIRT concernés, d'autres autorités gouvernementales, des organisations industrielles, des fournisseurs ou d'autres parties prenantes concernées.

Aucune prime ni compensation

À moins que Wabtec n'en convienne autrement par écrit, la présente Politique ne constitue pas un programme de bug bounty, et la soumission d'un rapport de vulnérabilité ne donne pas droit à une indemnisation, à un remboursement ou à une autre forme de paiement.

Limites de la politique

La participation à ce programme de divulgation de vulnérabilités ne confère aucun droit ni aucune licence sur la propriété intellectuelle de Wabtec, sauf dans la mesure limitée nécessaire pour mener des recherches autorisées par la présente Politique.

Aucune disposition de cette Politique n'autorise une activité qui viole la loi applicable ou les droits d'un tiers.

Wabtec peut mettre à jour cette Politique de temps à autre pour refléter les modifications apportées à ses produits, ses processus de gestion des vulnérabilités, les exigences applicables ou les meilleures pratiques de sécurité.

Contactez Wabtec SPIRT

Les vulnérabilités potentielles en matière de cybersécurité des produits doivent être signalées à l'équipe de réponse aux incidents de sécurité des produits de Wabtec : PSIRT [at] Wabtec [dot] com

Pour obtenir des informations sensibles sur les vulnérabilités, veuillez utiliser la clé PGP publique de Wabtec.