Procédures de gestion des vulnérabilités
La réception, la priorisation, la correction et la vérification des vulnérabilités potentielles.
Identification et réception
Les vulnérabilités potentielles peuvent être identifiées par les revues de développement, les tests, les avis sur les dépendances ou les signalements d’utilisateurs et de chercheurs. Consignez le composant concerné, la version ou modification, les preuves et l’impact potentiel. N’incluez pas de données clients réelles lorsqu’un exemple minimal et non sensible suffit à démontrer le problème.
Validation et évaluation des risques
Validez le comportement signalé et évaluez son exploitabilité, son exposition, les accès nécessaires et les effets sur les clients. Priorisez les accès non autorisés, les divulgations entre entreprises, les identifiants compromis et l’exploitation active. Réévaluez la priorité à l’apparition de nouveaux éléments.
Correction
Choisissez une correction ou mesure temporaire proportionnée au risque. Attribuez la responsabilité, suivez le problème et examinez les effets secondaires des changements. Pour un composant tiers, considérez les mises à jour de sécurité, les changements de configuration ou le retrait de la fonction concernée. Un contournement non vérifié n’est pas une correction achevée.
Vérification et clôture
Vérifiez que la correction résout le problème initial sans régression évidente. Consignez le résultat et les limites restantes. Ne clôturez le problème qu’après vérification de la correction ou de la mesure acceptée. Rouvrez l’enquête si des éléments ultérieurs montrent que le risque persiste.
Signalement responsable
Utilisez notre canal de contact pour signaler confidentiellement les vulnérabilités et permettre une coordination avant divulgation publique. N’accédez pas aux informations d’un autre client, ne perturbez pas le service et cessez les tests après la découverte d’un accès involontaire. Cette politique n’autorise pas les tests intrusifs et ne crée pas de programme de récompense pour les vulnérabilités.
Questions et signalements de sécurité
Contactez XtraCRM pour signaler un problème de sécurité présumé ou poser une question sur ces politiques. Décrivez brièvement le problème et le service concerné ; ne transmettez ni mot de passe, ni jeton d’accès, ni données personnelles inutiles.
Contacter XtraCRM →