Sécurité

Politique de divulgation des vulnérabilités

Signaler une faille de sécurité

Introduction

MyClusters B.V. (« MyClusters ») accorde une grande importance à la sécurité de ses produits et services. Notre plateforme traite les données de santé de personnes souffrant de céphalées en grappe, et nous apprécions le travail des chercheurs en sécurité qui nous aident à identifier et à corriger les vulnérabilités. Nous souhaitons vous permettre de le faire facilement et en toute sécurité. La présente politique décrit les règles à suivre pour signaler une vulnérabilité que vous avez découverte.

Champ d'application

Sont concernés :

  • https://myclusters.nl et ses sous-domaines
  • Les applications MyClusters pour iOS et Android
  • Le tableau de bord de recherche MyClusters, les outils d'enquête et l'outil ePRO
  • API prenant en charge les services mentionnés ci-dessus

Les éléments suivants ne sont pas pris en compte :

  • Services et plateformes tiers utilisés par MyClusters mais dont il n'assure pas l'exploitation (par exemple, fournisseurs d'hébergement cloud, boutiques d'applications, plateformes de newsletters et de podcasts). Veuillez signaler les failles de sécurité constatées dans ces services directement au fournisseur concerné.
  • Attaques d'ingénierie sociale (par exemple, hameçonnage) visant le personnel ou les prestataires de MyClusters.
  • Attaques physiques.
  • Attaques par déni de service (DoS).
  • Analyse automatisée générant un trafic excessif.

Cadre juridique et « safe harbour »

MyClusters n'engagera aucune poursuite judiciaire à l'encontre des utilisateurs qui signalent de bonne foi des vulnérabilités, respectent le champ d'application de la présente politique, n'accèdent pas aux données ni ne les modifient au-delà de ce qui est nécessaire pour démontrer le problème, et respectent les délais de divulgation.

Conditions

  1. 01Ne divulguez pas publiquement cette vulnérabilité tant que MyClusters n'aura pas eu la possibilité, dans un délai raisonnable, d'enquêter et d'y remédier (généralement 90 jours à compter de la date du signalement).
  2. 02Vous ne devez pas accéder aux données de MyClusters ou de ses utilisateurs, ni les modifier, les exfiltrer ou les détruire. N'utilisez que les comptes dont vous êtes le propriétaire ou que vous avez créés à des fins de test.
  3. 03Si vous accédez par inadvertance à des données personnelles ou médicales, arrêtez immédiatement le test, ne conservez ni ne partagez ces données, et signalez-le-nous dans votre rapport.
  4. 04Ne réalisez pas de tests susceptibles de perturber le service pour les autres utilisateurs (pas d'attaques par déni de service, pas d'analyse automatisée à des fréquences susceptibles d'affecter les performances).
  5. 05Ne testez pas les comptes ou les environnements des patients ou des partenaires de recherche sans leur consentement préalable explicite.
  6. 06Les rapports doivent être rédigés en anglais et contenir suffisamment de détails pour permettre de reproduire le problème.

Comment signaler une faille de sécurité

Envoyez votre rapport à l'adresse security@myclusters.nl.

Envoyer un rapport

À inclure :

  • Une description claire de la vulnérabilité et de son impact.
  • Des instructions détaillées permettant de reproduire le problème, y compris tout code de preuve de concept (PoC), captures d'écran ou vidéos.
  • L'URL, le point de terminaison ou le produit concerné, ainsi que la version, le cas échéant.
  • Vos coordonnées si vous souhaitez recevoir des informations et être mentionné(e).

Ce que vous pouvez attendre de nous

  1. Un accusé de réception de votre signalement dans un délai de 5 jours ouvrés.

  2. Une évaluation et un calendrier prévisionnel de correction dans un délai de 10 jours ouvrés.

  3. Nous vous tiendrons informés de l'évolution de la situation au fur et à mesure de notre enquête et de la résolution du problème.

MyClusters ne dispose pas d'un programme de prime aux bogues et n'offre aucune récompense financière pour les vulnérabilités signalées.

Critères d'acceptation et hiérarchisation des priorités

Les signalements sont évalués à l'aide du système commun de notation des vulnérabilités (CVSS), en tenant compte de leur impact sur la confidentialité, l'intégrité et la disponibilité de nos services ainsi que sur les données à caractère personnel que nous traitons. Chaque signalement validé se voit attribuer un niveau de priorité (« Critique », « Élevé », « Moyen » ou « Faible ») et des mesures correctives sont planifiées en conséquence.

En règle générale, nous n'acceptons pas les rapports suivants :

  • Problèmes théoriques sans impact pratique démontrable.
  • Absence d'en-têtes ou de configurations conformes aux meilleures pratiques, sans preuve d'exploitabilité.
  • Résultats issus de scanners automatisés non validés.
  • Vulnérabilités dans des systèmes hors du champ d'application de la présente politique ou nécessitant des techniques hors de ce champ (par exemple, ingénierie sociale, accès physique, déni de service).