Divulgation coordonnée des vulnérabilités

Nous pensons qu'en collaborant avec la communauté de la sécurité, nous pouvons maintenir un haut niveau de sécurité et nous protéger contre les menaces potentielles. Nous nous engageons à résoudre les vulnérabilités signalées dans les meilleurs délais et à maintenir la transparence dans le cadre du programme de divulgation des vulnérabilités de bioMérieux (le "programme de divulgation").

Afin de vous conformer à la présente politique, vous vous engagez à :

• Nous avertir dès que possible après avoir découvert un problème de sécurité réel ou potentiel.
• Faire tout ce qui est en votre pouvoir pour éviter de perturber les systèmes de bioMérieux et de détruire ou manipuler des données.
• N'utiliser les exploits que dans la mesure nécessaire pour confirmer la présence d'une vulnérabilité et ne pas utiliser un exploit pour compromettre ou exfiltrer des données, établir un accès en ligne de commande et/ou une persistance, ou utiliser l'exploit pour "pivoter" vers d'autres systèmes.
• Nous accorder un délai raisonnable pour résoudre le problème avant de le divulguer publiquement.
• Ne pas compromettre intentionnellement la propriété intellectuelle ou d'autres intérêts commerciaux ou financiers de bioMérieux ou de tiers.

Nous utiliserons les critères suivants pour hiérarchiser et trier les soumissions. 

Ce que nous attendons de vous 

• Des rapports bien rédigés en anglais auront plus de chances d'être résolus.
• Des informations de contact pour permettre des mises à jour de l'état d'avancement.
• Les rapports qui incluent un code de validation du concept nous permettent de mieux trier.
• Les rapports qui ne contiennent que des vidages de crash ou d'autres résultats d'outils automatisés peuvent être moins prioritaires.
• Veuillez indiquer comment vous avez découvert le bogue, son impact et toute mesure corrective potentielle.
• Veuillez inclure tout plan ou intention de divulgation publique. 

Ce que vous pouvez attendre de nous

• Une réponse rapide à votre courriel.
• Un dialogue ouvert pour discuter des problèmes.
• Une notification lorsque l'analyse de la vulnérabilité est terminée.
• Un plan de divulgation.
• Crédit après la divulgation de la vulnérabilité. 

Si nécessaire, bioMérieux peut demander à un tiers neutre de l'aider à résoudre l'enquête.

En soumettant une demande, vous reconnaissez que bioMérieux peut, à sa seule discrétion, utiliser toute donnée ou information que vous lui soumettez dans le cadre de la présente Politique. Votre soumission ne vous confère aucun droit sur la propriété intellectuelle de bioMérieux et n'impose aucune obligation en votre faveur à bioMérieux.

Si vous vous efforcez de bonne foi de vous conformer à la présente Politique, bioMérieux ne recommandera pas ou ne poursuivra pas d'action légale à votre encontre en relation avec votre recherche ou vos tests. En conséquence, nous ne recommanderons pas et n'engagerons pas de poursuites judiciaires à votre encontre, tant que vous : 

• Testez des systèmes ou des recherches sans nuire à bioMérieux ou à ses clients. 
• Effectuez des tests de vulnérabilité dans le cadre de la présente politique.
• Testez les produits sans affecter les clients, ou reçoivent la permission/le consentement des clients avant d'effectuer des tests de vulnérabilité sur leurs appareils/logiciels, etc.
• Respectez toutes les lois applicables dans votre juridiction et dans les juridictions dans lesquelles bioMérieux exerce ses activités.
• Vous abstenez de divulguer les détails de la vulnérabilité au public avant l'expiration d'un délai convenu d'un commun accord.