Politique de divulgation de vulnérabilités

Nous considérons que la sécurité de nos clients est l'une de nos principales priorités. C'est pourquoi nous concevons des produits et services de la meilleure qualité et fiabilité possible. Malgré nos efforts pour mettre en œuvre les meilleures mesures de sécurité possibles, des vulnérabilités peuvent encore être présentes dans nos produits, services et systèmes.

Ce document décrit la politique du Groupe Crédit Agricole en matière de réception de rapports sur les vulnérabilités potentielles de ses produits et services en matière de sécurité.

Chacun est encouragé à signaler les vulnérabilités identifiées, quel que soit le type de service ou de produit. Chercheurs, partenaires, CERTS, clients ou toute autre source sont les bienvenus pour signaler les vulnérabilités.

Comment déclarer une potentielle faille de sécurité ?

Pour toute déclaration de vulnérabilité, merci de remplir le formulaire https://notrevdp.vulnerability-disclosure.com/

Afin d'améliorer la prise en charge et l'identification de la vulnérabilité, merci d'inclure le maximum d'informations disponibles. Veuillez ne pas inclure de données personnelles dans vos rapports, en dehors des informations nécessaires pour vous contacter.

Le traitement est destiné uniquement aux fins de signaler les vulnérabilités en matière de sécurité des services. Il ne s'agit pas d'informations d'assistance technique sur nos services. Tout contenu autre que celui spécifique aux vulnérabilités de sécurité de nos services ne sera pas traité.

Le traitement de votre déclaration

Suite à votre déclaration, nos équipes analyseront son contenu afin de valider la qualification de vulnérabilité dans les plus brefs délais. Le Groupe Crédit Agricole engagera ensuite un dialogue pour discuter des problèmes identifiés et vous informer de chaque étape de l'enquête.

De plus, aucune rémunération n'est prévue dans le cadre de ce programme et cela même si la faille de vulnérabilité est avérée. Pour des raisons de sécurité, aucune publication des failles et de leur résolution ne sera faite.

Le groupe Crédit Agricole reste seul juge de la classification de la vulnérabilité et de la catégorisation du risque qui en découle. Le traitement et délai de résolution des vulnérabilités restent à la discrétion du groupe Crédit Agricole.

Exigences en matière de divulgation

En soumettant à Crédit Agricole votre déclaration de vulnérabilité vous êtes tenu de :

• Vous conformer aux lois applicables 
• Ne pas effectuer d'attaques par déni de service ou par épuisement des ressources 
• Utiliser les systèmes Crédit Agricole sans but de nuire au Groupe, à ses clients, à ses employés ou à ses tiers 
• N'utiliser, ne diffuser, ne modifier, ou n'effacer aucune donnée à laquelle vous pourriez accéder en exploitant la vulnérabilité 
• Ne pas effectuer d'ingénierie sociale, de spam ou d'attaques de phishing à l'encontre des employés de Crédit Agricole, de ses tiers ou de ses clients 
• Ne pas tester la sécurité physique des biens de Crédit Agricole, de ses tiers ou de ses clients 
• Ne pas divulguer les informations relatives à cette déclaration, la vulnérabilité signalée, ni le fait qu'une vulnérabilité a été signalée à Crédit Agricole

Le Groupe Crédit Agricole s'engage à ne pas poursuivre en justice les parties déclarantes qui soumettent des rapports respectant des règles.

La déclaration d'une vulnérabilité ne vous confère aucun droit de propriété intellectuelle sur des actifs appartenant au Groupe Crédit Agricole ou à un de ses tiers.

Tous les aspects de ce processus sont sujets à changement sans préavis, ainsi qu'à des exceptions au cas par cas.

Le Groupe Crédit Agricole apprécie les efforts déployés par l'auteur du rapport pour identifier la vulnérabilité. Nous vous remercions de votre contribution pour améliorer la sécurité de nos produits et systèmes et de la communauté Internet dans son ensemble.