Gestion des incidents liés à la sûreté

Il n’est pas possible d’éviter totalement les failles de sécurité dans les logiciels. Par conséquent, il est important que nous informions les utilisateurs et administrateurs en temps voulu sur ces failles afin qu’ils puissent prendre les contre-mesures nécessaires avant l’apparition d’un dommage. Pour que tout se déroule correctement, il est important d’établir dans l’entreprise un système de gestion adéquat incluant un Product Security Incident Response Team (PSIRT), autrement dit une équipe qui fournit des réponses aux incidents de sûreté affectant les produits.

Un avis sur la sûreté informe sur une faille de sécurité existante dans l’un de nos produits. Il est généralement constitué :

• de la description du point faible,
• d’une évaluation de la criticité du point faible sous la forme d’un score CVSS*,
• de la liste des produits concernés, y compris leur version,
• des contre-mesures possibles et des éventuels remerciements envers ceux qui ont signalé un point faible.

*Le CVSS (Common Vulnerability Scoring System, système commun d’évaluation des vulnérabilités) est un processus standard mondialement reconnu permettant l’évaluation de la criticité d’un point faible. Actuellement, le CVSS en est à la version 3.0. CVSSv3 définit un score de 0 à 10. Le 0 correspond à la criticité la plus faible et le 10 à la criticité la plus élevée.

Vous trouverez ici les derniers avis sur la sûreté.

Avis sur la sûreté

Les experts en sûreté de l’équipe PSIRT de Pilz analysent, évaluent et gèrent les éventuelles vulnérabilités en matière de sécurité ainsi que les incidents liés à la sûreté qui se rapportent aux produits et solutions de Pilz. Lorsqu’un point faible est confirmé, l’équipe PSIRT de Pilz publie des avis sur la sûreté qui contiennent des indications sur la manière de supprimer le point faible en question.

Nous souhaitons encourager les experts en sécurité, les chercheurs indépendants, les clients et autres acteurs à nous signaler les problèmes de sécurité qui affectent nos produits et solutions. C’est uniquement à cette condition que nous pourrons discuter ensemble d’autres activités, les valider et améliorer la sûreté de nos produits et solutions. Afin de ne pas mettre en danger nos clients et les parties non impliquées, nous vous prions de publier les points faibles de manière coordonnée en collaboration avec notre équipe PSIRT.

Les spécialistes en sûreté de l’équipe PSIRT de Pilz traitent et analysent tous les signalements de points faibles potentiels affectant la sûreté des produits Pilz. Pour toute question sur la sûreté en lien avec nos produits ou notre infrastructure, ou si vous souhaitez signaler des failles de sécurité, veuillez vous adresser aux experts en sûreté de notre équipe PSIRT. Veuillez communiquer avec l’équipe PSIRT en allemand ou en anglais. En règle générale, vous pouvez vous attendre à un premier retour sous deux jours ouvrables (CET).

Veuillez signaler les problèmes liés à la sûreté de nos produits, solutions et services en ligne à :

Contact PSIRT

Merci d’insérer les informations suivantes dans votre message :

• référence du produit concerné
• appareil et firmware (le cas échéant)
• exploit, le cas échéant, ou autres données pouvant nous aider à reconstituer le problème
• indication si la vulnérabilité a déjà été publiée (par vous ou quelqu’un d’autre)

1. Analyse : notre équipe PSIRT inspecte tout point faible signalé et demande, si nécessaire, des informations complémentaires à l’auteur du signalement. Veuillez noter que l’enquête peut prendre quelques jours, voire des semaines, en fonction de la complexité du point faible et du type de produit concerné. Indépendamment du temps nécessaire, nous revenons vers l’auteur du signalement au plus tard dans les 15 jours ouvrables pour un premier bilan.

2. Détermination des mesures : en fonction de la gravité du point faible et d’autres contraintes éventuelles, des mises à jour sont préparées. Si le point faible est grave, Pilz prépare un avis de sûreté. Pendant le processus, nous informons régulièrement l’auteur du signalement de l’état d’avancement.

3. Publication : l’avis de sûreté finalisé et les éventuels correctifs associés sont publiés ici et peuvent être téléchargés par tous les clients. Pour le téléchargement, vous devez vous connecter avec notre nom d’utilisateur. Si vous n’avez pas encore de profil, vous pouvez vous inscrire gratuitement ici. Veuillez noter qu’en fonction de la gravité d’un point faible, les correctifs peuvent éventuellement être publiés uniquement dans le cadre du cycle de publication spécifique au produit.

Avis sur la sûreté