Politique de divulgation des vulnérabilités

1. Identification des vulnérabilités :

Tout employé, sous-traitant, fournisseur, tiers ou chercheur qui découvre une vulnérabilité dans les systèmes et applications d'ATISoluciones doit la signaler immédiatement à l'équipe de sécurité de l'information.

2. Signalement des vulnérabilités :

Les vulnérabilités doivent être signalées à l'équipe de sécurité de l'information par le canal de communication suivant, en envoyant un e-mail à l'adresse cve@atisoluciones.com.

Le signalement doit comporter des informations complètes et précises sur la vulnérabilité découverte, notamment sa description, son impact potentiel, les étapes détaillées pour la reproduire et toute autre information pertinente.

ATISoluciones acceptera les tests de sécurité qui :

• sont réalisés de manière à protéger la sécurité et la confidentialité de tous nos clients et partenaires ;
• sont réalisés uniquement dans le périmètre défini par la présente politique ;
• fournissent à ATISoluciones tous les détails du problème de sécurité au moment de la divulgation ;
• donnent à ATISoluciones la possibilité de prendre des mesures correctives avant la révélation publique de la vulnérabilité ou sa révélation à des tiers ;
• respectent les lois et réglementations applicables aux activités de test de sécurité.

3. Évaluation et priorisation :

• L'équipe de sécurité de l'information évaluera chaque signalement de vulnérabilité reçu afin de déterminer sa validité et sa gravité.
• Les vulnérabilités seront priorisées en fonction de leur impact potentiel sur la sécurité des systèmes et des informations de l'entreprise.

4. Communication de la divulgation :

• Une fois la vulnérabilité évaluée et validée, la personne qui l'a découverte sera informée du résultat de l'évaluation.
• Une coordination aura lieu avec l'équipe de développement ou les fournisseurs de logiciels afin de développer et d'appliquer les correctifs ou solutions nécessaires.

5. Divulgation aux clients :

• ATISoluciones informera en priorité tous ses clients concernés par ladite vulnérabilité (ainsi que des consignes à suivre pour la corriger ou l'éliminer) 15 jours avant sa divulgation publique, afin d'offrir un délai de courtoisie pour y remédier.

6. Divulgation publique :

• La vulnérabilité fera l'objet d'une divulgation publique une fois les solutions correspondantes développées et appliquées, à condition que cela ne compromette pas la sécurité des systèmes.
• La divulgation publique sera effectuée de manière coordonnée et responsable, conformément aux bonnes pratiques de divulgation des vulnérabilités, et publiée sur https://www.atisoluciones.com/incidentes-cve