Programme de divulgation responsable (Responsible disclosure program)

Accords généraux

Toute personne physique ou morale peut signaler l’existence d’une éventuelle vulnérabilité. Le signalement doit être effectué par écrit, en suivant la procédure décrite ci-dessous.

La MC analyse et teste chaque signalement afin de vérifier s’il s’agit effectivement d’une vulnérabilité ou d’examiner la méthode utilisée par le rapporteur.

La MC s’engage à garantir l’exhaustivité, l’intégrité, la conservation sécurisée et la confidentialité de toutes les informations transmises dans le cadre du signalement. L’identité du rapporteur est également protégée, à condition qu’un tel souhait soit expressément formulé. L’ajout dans le Hall of Fame ne se fait qu’avec son autorisation explicite.

Les personnes qui signalent une vulnérabilité en respectant la procédure ne s’exposent à aucune conséquence juridique. Les actions nécessaires à la réalisation du signalement ne sont pas considérées comme des infractions, à condition que les conditions suivantes soient respectées :

1. Le rapporteur a agi sans intention frauduleuse ni volonté de nuire.
2. Il a averti au plus vite l’organisation responsable du système, du processus ou du contrôle concerné.
3. Il ne s’est pas aventuré au-delà de ce qui était strictement nécessaire et proportionné pour vérifier l’existence de la vulnérabilité.
4. Il n’a pas divulgué publiquement les informations concernant la vulnérabilité sans l’autorisation de la MC.
5. Il n’a conservé aucune copie des données après avoir effectué le signalement.

Une personne ayant obtenu certaines informations dans le cadre de son activité professionnelle et les ayant incluses dans un signalement ne peut être poursuivie pour violation du secret professionnel, ni tenue responsable du partage de ces informations, dès lors que celles-ci sont strictement nécessaires pour signaler correctement la vulnérabilité à la MC.