Politique de divulgation des vulnérabilités

 

Engagement de la marque 

Chez Cybex GmbH, nous offrons non seulement une sûreté et une sécurité exceptionnelles pour nos produits, mais nous nous engageons aussi à protéger nos clients et partenaires contre les cyberrisques et à bâtir des relations fondées sur la confiance.

La protection des données et la sécurité des produits numériques sont donc de la plus haute importance pour notre entreprise. Nous encourageons les clients, partenaires et chercheurs en sécurité qui partagent nos valeurs à signaler, de bonne foi, toute vulnérabilité d’actif numérique qu’ils découvrent.

Cybex GmbH valorise et apprécie les efforts des chercheurs en sécurité et leurs signalements, car ils contribuent à améliorer la sécurité et la fiabilité des services. La présente politique décrit les systèmes et les recherches couverts, le processus de signalement des vulnérabilités et les délais de traitement des soumissions.

Veuillez noter que cette politique peut être modifiée; elle doit donc être consultée régulièrement.

 

Portée

Cette politique s’applique uniquement aux actifs numériques, applications et plateformes accessibles au public qui sont détenus et exploités par Cybex GmbH, et se limite aux domaines et sous-domaines suivants :

• *.cybex-online.com
• *.goodbabyprod.com
• *.gb-online.com
• *.columbustp.com
• *.goodbaby.eu
• *.rollplay.com
• gbinternational.com.hk
• mycbx.com
• cybex.link
• cybex-online.com

Si des services tiers sont touchés dans le cadre de la recherche, nous ne pouvons pas vous autoriser à tester ces systèmes. En cas de doute, veuillez communiquer avec nous avant de tester un actif numérique, une application ou une plateforme.

 

Protection juridique

Cybex GmbH demande une divulgation responsable des vulnérabilités, même si vous participez volontairement au programme de divulgation des vulnérabilités avec de bonnes intentions. L’entreprise s’engage à ne pas intenter ni soutenir de poursuites judiciaires contre tout chercheur qui respecte cette politique dans le cadre de ses recherches sur les vulnérabilités. Cette disposition ne s’applique pas lorsque des intentions criminelles ou liées au renseignement sont clairement identifiables.

Si un tiers intente une action en justice contre un chercheur alors que celui-ci agissait conformément à cette politique, Cybex GmbH veillera à communiquer le respect de la politique. Les chercheurs devraient soumettre un rapport par le canal officiel s’ils ont des préoccupations quant à leur conformité avant de poursuivre leurs recherches.

De plus, cette politique n’exempte pas les chercheurs des lois fédérales, provinciales et locales applicables relatives au piratage informatique et à la protection de la vie privée.

 

Lignes directrices

En participant au programme de bonne foi et en acceptant les règles, les chercheurs s’engagent à :

• Effectuer des recherches uniquement sur les systèmes visés par cette politique.
• Éviter toute interruption des systèmes ou des applications.
• Respecter la vie privée d’autrui en s’abstenant de détruire, d’exfiltrer, de divulguer ou d’utiliser abusivement de toute autre manière les données auxquelles ils pourraient accéder pendant leurs recherches.
• Ne pas exploiter les vulnérabilités découvertes; les étapes avancées telles que la persistance, les mouvements latéraux, l’exfiltration de données, la modification ou la suppression, le téléversement de code, etc., ne sont pas autorisées.
• Ne pas divulguer une vulnérabilité à des tiers ou à des institutions, sauf si cela est entièrement coordonné avec Cybex GmbH et approuvé par écrit par celle-ci.
• Ne pas effectuer d’hameçonnage, d’envoi de pourriels, d’ingénierie sociale ou d’attaques par déni de service.
• Signaler rapidement les vulnérabilités par les canaux officiels définis dans cette politique. Fournir également un moyen de contact pour les questions.

 

Notre engagement

Cybex GmbH s’engage à accuser réception de la soumission du rapport dans un délai de 10 jours ouvrables, à confirmer l’existence de la vulnérabilité, à fournir des renseignements transparents sur les étapes et les délais de correction, et à coordonner la divulgation publique des vulnérabilités confirmées, le cas échéant.

Nous garderons votre rapport et vos renseignements personnels confidentiels et ne les partagerons que dans la mesure nécessaire pour corriger la vulnérabilité.

 

Détails du signalement

Les chercheurs doivent signaler les vulnérabilités à l’adresse it-security@cybex-online.com.

En respectant ces principes, vous augmentez les chances que votre rapport soit reconnu et approuvé :

• Fournir des renseignements complets concernant les actifs touchés.
• Soumettre une preuve de concept comprenant des détails explicites sur la reproduction des vulnérabilités, accompagnés des horodatages et des captures d’écran du problème.
• Expliquer en détail les raisons pour lesquelles la vulnérabilité potentielle pourrait avoir une incidence sur le service concerné et dans quelle mesure.
• Éviter de soumettre uniquement les résultats d’outils automatisés, car de tels rapports sont peu susceptibles d’être pris en compte aux fins de traitement.