Politique de sécurité et de signalement des vulnérabilités

Objet#

Cette politique présente les principes de sécurité appliqués par IMEDIATIS TECHLAB SARL et décrit la procédure permettant de signaler de bonne foi une vulnérabilité de sécurité.

Champ d'application#

Cette politique s'applique au site trust.imediatis.cm ainsi qu'aux produits exploités par IMEDIATIS TECHLAB SARL, dans les limites précisées ci-dessous.

Définitions#

• Vulnérabilité : une faiblesse technique ou organisationnelle susceptible de compromettre la sécurité d'un système ou de données.
• Signalement responsable : la communication confidentielle et de bonne foi d'une vulnérabilité, sans exploitation ni divulgation publique préalable.

Principes#

IMEDIATIS TECHLAB SARL applique des principes de sécurité par conception et par défaut à l'ensemble de ses systèmes, notamment :

• chiffrement des communications (HTTPS obligatoire) ;
• limitation des accès aux données selon le principe du besoin d'en connaître ;
• mise à jour régulière des dépendances logicielles ;
• surveillance de la disponibilité des services ;
• séparation des environnements de développement, de test et de production.

Règles ou engagements#

Mesures techniques#

Le site applique notamment les en-têtes de sécurité suivants : Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy et Permissions-Policy. Aucun script tiers non indispensable n'est chargé.

Tests interdits#

Dans le cadre d'un signalement responsable, les personnes qui identifient une vulnérabilité s'engagent à ne pas :

• accéder, modifier ou supprimer des données qui ne leur appartiennent pas ;
• interrompre ou dégrader la disponibilité d'un service (attaques par déni de service) ;
• utiliser des techniques d'ingénierie sociale contre les collaborateurs, clients ou partenaires d'IMEDIATIS ;
• divulguer publiquement une vulnérabilité avant sa résolution et sans accord préalable d'IMEDIATIS.

Engagement de bonne foi#

IMEDIATIS TECHLAB SARL s'engage à traiter avec sérieux et diligence tout signalement effectué de bonne foi et dans le respect des règles ci-dessus, et à ne pas engager de poursuites à l'encontre des personnes ayant respecté cette procédure.

Procédure de traitement#

1. Réception du signalement à l'adresse dédiée.
2. Accusé de réception et évaluation initiale par l'équipe technique.
3. Analyse, correction et, si nécessaire, coordination avec les parties concernées.
4. Retour au déclarant sur le traitement effectué, dans la mesure du possible.

Confidentialité#

Les signalements sont traités de manière confidentielle. Les informations transmises ne sont utilisées que dans le cadre de la résolution de la vulnérabilité signalée.

Responsabilités#

L'équipe technique d'IMEDIATIS TECHLAB SARL est responsable de la réception, du triage et du traitement des signalements de sécurité, sous la supervision de la direction générale pour les incidents significatifs.

Exceptions#

Cette politique ne constitue pas un programme de récompense (« bug bounty ») rémunéré. Elle décrit uniquement un cadre de signalement responsable.

Exercice des droits ou signalement#

Toute vulnérabilité peut être signalée via notre formulaire de contact (catégorie « Sécurité / vulnérabilité »), en indiquant les étapes de reproduction, l'impact estimé et, si possible, une preuve de concept non destructive. L'adresse email dédiée aux chercheurs en sécurité est également publiée dans le fichier /.well-known/security.txt.

Contact#

Tout signalement peut être adressé via notre formulaire de contact (catégorie « Sécurité / vulnérabilité »).

Mise à jour du document#

Cette politique est revue au moins deux fois par an et à l'occasion de toute évolution significative de l'infrastructure ou des menaces identifiées.

Historique des versions#