Politique de divulgation coordonnée des vulnérabilités
1. Objectif et principe
La sécurité de nos composants pour ascenseurs, notamment de nos éléments de commande et d’affichage ainsi que de nos tableaux de commande, constitue pour nous une priorité absolue.
La présente politique décrit notre processus structuré de signalement et de gestion des vulnérabilités. Son objectif est de permettre que les vulnérabilités nous soient signalées de manière à nous donner la possibilité de les examiner, de les évaluer et d’y remédier avant que des informations détaillées à leur sujet soient divulguées à des tiers ou au public.
2. Champ d’application
La présente politique s’applique à tous les produits comportant des éléments numériques que nous mettons sur le marché ou à disposition sur le marché, y compris leurs composants matériels et logiciels.
Elle couvre également le signalement de vulnérabilités potentielles dans des composants tiers lorsque ceux-ci font partie de nos produits comportant des éléments numériques.
3. Canaux de signalement et point de contact unique
Nous avons désigné un point de contact unique, facilement identifiable par les utilisateurs et les chercheurs en sécurité, afin de permettre une communication directe et rapide et de faciliter le signalement des vulnérabilités de nos produits comportant des éléments numériques.
Contact pour le signalement des vulnérabilités :
Les vulnérabilités peuvent être signalées par courrier électronique à l’adresse suivante :
Signalement anonyme et indirect :
Les vulnérabilités peuvent nous être signalées soit directement, soit indirectement et, sur demande, de manière anonyme, par l’intermédiaire des CSIRT nationaux (Computer Security Incident Response Teams) désignés comme coordinateurs aux fins de la divulgation coordonnée des vulnérabilités conformément à l’article 12, paragraphe 1, de la directive (UE) 2022/2555.
4. Processus de gestion des vulnérabilités et confidentialité
Analyse, évaluation et correction :
Dès réception d’un signalement, nous analysons et évaluons la vulnérabilité signalée. En fonction des risques présentés par le produit comportant des éléments numériques concerné, nous gérons et corrigeons les vulnérabilités sans retard.
Confidentialité et divulgation coordonnée :
Afin de protéger nos utilisateurs, notamment les exploitants d’ascenseurs et les passagers, nous demandons aux chercheurs en sécurité et aux autres personnes ou organisations effectuant un signalement de ne pas divulguer publiquement d’informations détaillées concernant une vulnérabilité signalée avant que nous ayons eu la possibilité de l’examiner, de l’évaluer et d’y remédier et, le cas échéant, de mettre à disposition des mesures correctives appropriées.
Notre objectif est de permettre une divulgation coordonnée assurant à la fois une correction efficace et une information appropriée des utilisateurs concernés.
Mises à jour de sécurité :
Lorsque cela est nécessaire pour corriger ou atténuer une vulnérabilité, nous développons et diffusons les correctifs ou mises à jour de sécurité appropriés pendant la période d’assistance applicable au produit concerné.
Les mises à jour de sécurité sont diffusées sans retard et, sauf accord contraire entre nous et un utilisateur professionnel concernant un produit sur mesure comportant des éléments numériques, gratuitement. Elles sont accompagnées de messages consultatifs et des informations pertinentes, y compris, le cas échéant, sur les éventuelles mesures à prendre par l’utilisateur.
Lorsque cela est techniquement possible, les nouvelles mises à jour de sécurité sont fournies séparément des mises à jour de fonctionnalité. Des mécanismes appropriés sont utilisés afin de permettre une distribution sécurisée des mises à jour.
Information et divulgation publique :
Dès qu’une mise à jour de sécurité est disponible, nous communiquons et divulguons publiquement des informations appropriées concernant la vulnérabilité corrigée. Celles-ci peuvent notamment comprendre :
- une description de la vulnérabilité,
- des informations permettant aux utilisateurs d’identifier le produit comportant des éléments numériques concerné,
- les conséquences de la vulnérabilité,
- sa gravité, et
- des informations claires et accessibles aidant les utilisateurs à corriger ou à atténuer la vulnérabilité.
Dans des cas dûment justifiés, lorsque les risques pour la sécurité liés à la publication l’emportent sur les avantages en matière de sécurité, nous pouvons retarder la divulgation publique des informations relatives à une vulnérabilité corrigée jusqu’à ce que les utilisateurs aient eu une possibilité appropriée d’appliquer le correctif ou la mise à jour de sécurité concerné.
5. Disponibilité de la présente politique
La présente politique de divulgation coordonnée des vulnérabilités est disponible en permanence par l’intermédiaire de notre point de contact unique ou de nos informations de cybersécurité accessibles au public.
Une référence au point de contact unique et à la présente politique figure également dans les informations et instructions accompagnant nos produits comportant des éléments numériques.