Politique de sécurité

Ce document décrit comment signaler une vulnérabilité de sécurité dans le logiciel Superviseur et le processus de divulgation coordonnée qui lui est appliqué. Il énonce des faits et un processus ; il ne constitue pas une déclaration de conformité ni un engagement contractuel.

Périmètre

Ce document couvre le logiciel Superviseur édité par Desautel pour la supervision d'alarmes incendie : backend, interface web, client, manager et outils associés présents dans ce dépôt.

Le firmware des centrales (INIS-E16, AVISS) est un produit tiers, développé et maintenu par le fabricant des centrales ; les vulnérabilités du firmware lui-même relèvent de ce fabricant. En revanche, l'interface d'échange entre les centrales et le Superviseur (Modbus TCP/RTU) fait partie du modèle de menace du Superviseur : elle est aujourd'hui en clair et non authentifiée. Les mesures qui en découlent — ce qui est demandé au fabricant du firmware et ce que le Superviseur compense de son côté — sont documentées dans le dossier technique (docs/cra/) plutôt qu'écartées du périmètre.

Signaler une vulnérabilité

Le canal de signalement est le formulaire de contact Desautel :

https://www.desautel.fr/contact

Merci d'indiquer, dans la mesure du possible :

• une description de la vulnérabilité et de son impact potentiel ;
• la version du logiciel Superviseur concernée ;
• les étapes permettant de reproduire le problème ;
• toute preuve de concept ou trace utile à l'analyse.

Afin de protéger les utilisateurs, il est demandé de ne pas divulguer publiquement la vulnérabilité tant qu'un correctif n'a pas été mis à disposition (divulgation coordonnée).

Délais de réponse indicatifs

Les délais ci-dessous sont donnés à titre indicatif et ne constituent pas un engagement contractuel :

• Accusé de réception : sous quelques jours ouvrés après réception du signalement.
• Évaluation initiale : une première analyse de recevabilité et de gravité est communiquée dans un délai raisonnable après l'accusé de réception.
• Correction : le délai de correction dépend de la gravité et de la complexité de la vulnérabilité. Les vulnérabilités critiques sont traitées en priorité.

Divulgation coordonnée

Ce qui est attendu du rapporteur :

• un signalement de bonne foi, sans exploitation malveillante de la vulnérabilité ;
• l'absence d'accès, de modification ou de destruction de données ne lui appartenant pas ;
• le respect d'un délai raisonnable avant toute divulgation publique, afin de permettre la mise à disposition d'un correctif.

Processus appliqué à un signalement recevable :

• accusé de réception du signalement ;
• évaluation de sa recevabilité et de sa gravité, puis traitement selon la priorité ;
• information du rapporteur sur l'avancement ;
• crédit de la contribution, avec l'accord du rapporteur, une fois le correctif publié.

Cadre réglementaire

Le logiciel Superviseur entre dans le champ d'application du Cyber Resilience Act (règlement (UE) 2024/2847). Le présent processus de divulgation coordonnée correspond aux attentes de ce règlement en matière de gestion des vulnérabilités. Les obligations formelles associées (déclaration UE de conformité, marquage CE, période d'assistance communiquée à l'achat) relèvent de l'entité juridique qui met le produit sur le marché et sortent du cadre de ce document technique.