Commend International prend la sécurité de ses produits et services au sérieux, et accorde une grande importance à la dimension sécuritaire. Le processus de divulgation coordonné des vulnérabilités de sécurité nous aide à assurer la sécurité et la confidentialité de nos clients et utilisateurs.
Ce document décrit notre politique d'acceptation des rapports de sécurité de nos clients, des analystes en sécurité externes ainsi que la divulgation des vulnérabilités de sécurité trouvées chez Commend International. Nous accueillons avec plaisir tous les rapports concernant les vulnérabilités selon les directives de cette politique.
La sécurité et la protection des données reposent sur la confiance. Les gens n'accepteront et n'utiliseront des solutions et des services que s'ils sont dignes de confiance.
Pour plus d'informations :
https://clibrary-online.commend.com/en/cyber-security/security-advisories.html
Directives
Commend International exige que tous les chercheurs :
- Respecter la vie privée et la sécurité des autres
- Respecter le champ d'application clairement défini
- S'assurer que tout test est légal et autorisé
- Faire des efforts suffisants pour contacter l'équipe de sécurité de Commend International.
- Fournir des informations suffisantes pour nous permettre de reproduire et de vérifier la vulnérabilité identifiée.
Commend International fournit à tous les chercheurs :
- Adresse de contact pour signaler les vulnérabilités
- Répondre aux rapports dans un délai raisonnable
- Un champ d'application clairement défini pour notre portefeuille de produits
- Ne pas intenter d'actions en justice liées à vos recherches
- Communication ouverte et respectueuse avec tous les chercheurs
- Publier les avis de sécurité Commend (CSA) et les journaux des modifications.
- Offrir une reconnaissance dans les avis de sécurité Commend publiés
Signalement des vulnérabilités
Commend International apprécie tous les efforts des chercheurs en sécurité qui nous fournissent des informations détaillées sur les vulnérabilités de sécurité de nos produits et services. Il est essentiel pour nous d'avoir suffisamment de détails dans le rapport initial afin de pouvoir comprendre l'impact complet de la vulnérabilité signalée. Notre équipe de sécurité est en mesure de vérifier et de reproduire la vulnérabilité signalée dans un délai raisonnable. Notre réponse interviendra dans un délai de 15 jours.
Le rapport initial doit inclure :
- Détails suffisants de la vulnérabilité pour permettre sa compréhension et sa reproduction.
- Impact attendu de la vulnérabilité
- Code, script ou capture d'écran de la preuve de concept (si disponible)
- Toute référence ou lecture supplémentaire qui pourrait être appropriée (si disponible)
- Recommandation sur la façon dont le problème pourrait être atténué ou résolu (si disponible).
Processus de divulgation coordonné
Commend International prend au sérieux la sécurité de ses systèmes. Un processus de divulgation coordonné est nécessaire pour protéger nos clients de tout acte menaçant. Un rapport de vulnérabilité est le point de départ. Cette action crée en interne un ticket de problème de sécurité qui sera examiné par notre équipe de sécurité. L'examen initial donne lieu à une première ébauche d'analyse d'impact qui aboutit à un niveau de gravité selon le système CVSS (Common Vulnerability Scoring System). Les membres de notre conseil de sécurité définissent les prochaines étapes pour chaque vulnérabilité signalée. Ensuite, nous recontactons le chercheur en sécurité et l'informons du plan de remédiation, des contre-mesures ou des solutions de contournement possibles. Bien que cela puisse suffire pour une correction facile, il existe des vulnérabilités plus complexes qui nécessitent une discussion continue pour une clarification entre notre équipe de sécurité, les développeurs concernés et le chercheur en sécurité qui a signalé la vulnérabilité. Nous apprécions une communication ouverte et respectueuse ainsi que des recommandations sur la façon dont le problème pourrait être atténué ou résolu. Notre objectif est de donner la priorité à la correction d'une vulnérabilité critique ou élevée dans un délai raisonnable par un correctif de sécurité ou, si cela n'est pas possible, dans la prochaine version officielle. Comme dernière étape de réponse, le calendrier de publication d'un avis de sécurité Commend (CSA) sera communiqué. Ainsi, nous essayons de corriger une vulnérabilité signalée et de publier l'information dans un délai de 90 jours.
Tous les clients et chercheurs en sécurité sont encouragés à s'inscrire à notre programme d'avis de sécurité Commend :
https://clibrary-online.commend.com/en/cyber-security/security-advisories.html
Ceci est le contenu d'un avis de sécurité publié par Commend :
- Résumé de la notification de la vulnérabilité
- Produits concernés
- Mises à jour logicielles
- Solution de contournement ou atténuation
- Exploitation et annonces publiques
- Accusé de réception
- Sources
- Contact et divulgation coordonnée
- Journal des modifications
Portefeuille de produits étendu
- Symphony Cloud Services
- Serveurs Symphony VirtuoSIS
- Équipements Symphony
- Studio Commend