Signaler un problème de cybersécurité d'un produit

Philosophie en matière de divulgation responsable 

Keysight Technologies estime qu’une divulgation efficace des failles de sécurité repose sur la confiance mutuelle, le respect, la transparence et l’intérêt général entre Keysight Technologies et les chercheurs en sécurité. Ensemble, notre expertise et notre vigilance contribuent à garantir en permanence la sécurité et la confidentialité des clients, des produits et des services de Keysight Technologies. 

Chercheurs en sécurité informatique

Keysight Technologies accepte les signalements de vulnérabilités provenant de toutes les sources, notamment des chercheurs indépendants en sécurité, des partenaires du secteur, des fournisseurs, des clients et des consultants. Keysight Technologies définit une vulnérabilité de sécurité comme une faiblesse ou une exposition involontaire susceptible d’être exploitée pour compromettre l’intégrité, la disponibilité ou la confidentialité de nos produits et services.

Nous encourageons la recherche responsable en matière de sécurité concernant la présence, les services et les produits de Keysight. Nous vous autorisons à mener des recherches et des tests de vulnérabilité sur les services et produits Keysight auxquels vous disposez d’un accès autorisé. En aucun cas, vos recherches et tests ne doivent impliquer :

1. Accéder, ou tenter d'accéder, à des comptes, des données ou des systèmes qui ne vous appartiennent pas, y compris les environnements des clients et les produits déployés. Toute tentative de modification ou de destruction de données présentes sur les systèmes ou dans les produits déployés chez les clients.
2. Lancer ou tenter de lancer des attaques de type « déni de service » contre des systèmes, des services ou des produits.
3. Effectuer des tests susceptibles de nuire au bon fonctionnement des systèmes, services ou produits Keysight déployés chez les clients
4. Utiliser les systèmes ou produits Keysight pour envoyer des messages non sollicités ou non autorisés (notamment des e-mails, des notifications push, des messages intégrés à l'application ou des appels API) à d'autres utilisateurs ou clients.
5. Tester des applications, sites Web, services ou produits tiers qui s'intègrent aux systèmes Keysight ou s'y connectent.
6. Publier, transmettre, mettre en ligne, créer un lien vers, envoyer ou stocker tout logiciel malveillant sur le système ou sur les produits déployés par les clients.

Champ d'application

Ce programme s'applique aux produits comportant des éléments numériques, y compris les logiciels, applications et composants intégrés associés, ainsi qu'à tout actif numérique, service ou système détenu, exploité ou maintenu par Keysight Technologies. Il ne s'applique pas aux actifs numériques ni à la présence numérique de Keysight. Pour signaler un problème concernant les actifs numériques de Keysight détenus, exploités ou maintenus par Keysight Technologies, veuillez cliquer ici.

Notre engagement envers les chercheurs

• Confiance. Nous veillons à préserver la confiance et la confidentialité dans nos échanges professionnels avec les chercheurs en sécurité.
• Respect. Nous traitons tous les chercheurs avec respect et reconnaissons votre contribution à la sécurité et à la protection de nos clients.
• Transparence. Nous travaillerons avec vous pour valider et corriger les failles signalées, conformément à notre engagement en matière de sécurité et de confidentialité.
  
• Intérêt général. Nous enquêtons sur les problèmes et y remédions de manière à garantir la sécurité et la sûreté des personnes susceptibles d'être affectées par une vulnérabilité signalée. 
  

Ce que nous attendons des chercheurs

• Confiance. Nous vous demandons de nous signaler toute vulnérabilité potentielle de manière responsable, en laissant suffisamment de temps à notre équipe et en lui fournissant toutes les informations nécessaires pour qu’elle puisse valider et résoudre les problèmes éventuels.
• Respect. Nous demandons aux chercheurs de tout mettre en œuvre pour éviter toute atteinte à la vie privée, toute dégradation de l'expérience utilisateur, toute perturbation des systèmes de production et toute destruction de données lors des tests de sécurité.
• Transparence. Nous demandons aux chercheurs de fournir les détails techniques et le contexte nécessaires à notre équipe pour identifier et valider les problèmes signalés, en décrivant le problème conformément aux informations requises ci-dessous.
• Intérêt général. Nous demandons aux chercheurs d’agir dans l’intérêt général, en protégeant la vie privée et la sécurité des utilisateurs, en s’abstenant de divulguer publiquement des vulnérabilités non vérifiées tant que notre équipe n’aura pas eu le temps de valider et de corriger les problèmes signalés.

Signalement des vulnérabilités

Keysight Technologies recommande aux chercheurs en sécurité de signaler tout détail concernant des vulnérabilités présumées affectant tout actif détenu, contrôlé ou exploité par Keysight (ou susceptible d’avoir un impact significatif sur la sécurité de Keysight et de ses utilisateurs) :

1. Pour signaler des failles de sécurité sur des sites web ou des ressources numériques : utilisez le formulaire en ligne disponible ici.
2. Pour signaler une faille de cybersécurité ou un problème de sécurité concernant les produits Keysight, veuillez envoyer un e-mail à l'adresse productsecurity@keysight.com en y incluant les informations indiquées ci-dessous.

Description du problème :
Si possible, veuillez fournir une description détaillée de l'incident ayant affecté le produit, ou les étapes nécessaires pour constater la vulnérabilité. De plus, une liste des autres appareils concernés, ainsi que des captures d'écran, nous seront très utiles.

Référence :
Si vous ne connaissez pas la référence du produit, veuillez indiquer les informations dans le champ « Description du produit »

Description du produit :
Informations supplémentaires sur le produit – le cas échéant

Numéro(s) de série :
Numéro(s) de série des produits concernés – s'ils sont connus

Version du logiciel :
Version du logiciel du produit, nom et version du système d'exploitation – le cas échéant

Vos coordonnées :
Veuillez indiquer votre nom, le nom de votre entreprise et vos coordonnées préférées

Date et heure de constatation du problème :
Si connu

Pays d'où provient le rapport : (facultatif)

En envoyant un rapport de vulnérabilité à l'adresse productsecurity@keysight.com, vous reconnaissez que Keysight apprécie votre contribution, mais ne s'engage pas à verser de récompense financière et qu'aucune ne doit être attendue.

Si votre produit ne fonctionne plus correctement, nous vous encourageons également à contacter le support technique de Keysight afin d'entamer un processus de réparation approprié.

Si vous avez découvert une faille de sécurité dans un produit ou une solution Keysight, nous vous invitons à nous la signaler en toute confidentialité afin que Keysight puisse suivre un processus coordonné de divulgation des failles. Cela nous permet de disposer du temps nécessaire pour mener une enquête approfondie, corriger les problèmes de sécurité et les divulguer publiquement le moment venu. Lorsque vous nous signalez un problème de sécurité potentiel, nous accusons réception de votre rapport et coordonnons avec vous les mesures de réponse requises. Des informations sur les failles déjà divulguées et les avis de sécurité sont disponibles dans les archives des avis de sécurité de Keysight.

Si vous avez un problème d'assistance non lié à la sécurité, veuillez contacter le support technique de Keysight.

Pour plus d'informations, veuillez contacter Keysight.