Code de conduite

Ceci est une traduction non officielle, destinée à rendre le texte accessible. Le texte anglais fait foi.

Tous les bénévoles de CSIRT.global respectent notre Code de conduite :

1. CSIRT.global est une équipe mondiale de réponse aux incidents de sécurité informatique. Nous sommes dirigés par des bénévoles et travaillons avec des bénévoles qui veulent rendre le monde numérique plus sûr.
2. CSIRT.global vise à divulguer les vulnérabilités et à signaler ses découvertes à ceux qui peuvent les corriger.
3. CSIRT.global effectue les dernières étapes d’un processus étendu, mené par des organisations associées, des chercheurs indépendants et des tiers. Nous mesurons l’importance de ces dernières étapes et prenons le processus CSIRT très au sérieux.
4. CSIRT.global utilise des informations fournies par des tiers. Nous savons que ces informations proviennent d’activités telles que :
   • Scanner l’internet à la recherche de vulnérabilités, principalement des Common Vulnerabilities and Exposures (CVE), et signaler nos découvertes et les solutions possibles aux propriétaires de ces systèmes.
   • Analyser des systèmes en ligne à la recherche de nouvelles vulnérabilités (zero-days), signaler nos découvertes aux éditeurs et les aider à les corriger.
   • Analyser des bases de données d’identifiants divulgués et prévenir les organisations ou les personnes concernées afin qu’elles prennent les mesures appropriées.
5. Parce que nous travaillons avec des données sensibles, recueillies sans consentement éclairé, nous avons établi ce Code de conduite comme base éthique de notre travail.
6. Lors des réponses à incident, nous cherchons à la fois à travailler avec des partenaires de confiance pour étendre notre portée et à prévenir le plus grand nombre possible d’organisations et de personnes.
7. Nous savons que nous travaillons avec des informations obtenues aux limites de ce qui est légalement permis. Nous appliquons donc les trois critères habituellement retenus dans les affaires judiciaires portant sur la divulgation de vulnérabilités :
   • Besoin sociétal : nous divulguons les vulnérabilités pour éviter des dommages en ligne au plus grand nombre d’internautes possible, et ne servons aucun intérêt financier, politique ou individuel particulier.
   • Principe de proportionnalité : nous répondons à ce besoin par des moyens appropriés. Nos recherches doivent accroître, et non réduire, l’intégrité et la disponibilité des systèmes en ligne.
   • Principe de subsidiarité : lorsque plusieurs moyens permettent de répondre au besoin, nous choisissons celui dont l’incidence est la moindre.
8. Nous faisons confiance aux découvertes de tiers quand nous le pouvons, mais les vérifions lorsque c’est nécessaire. Nous cherchons à éviter les faux positifs et à ne pas manquer de faux négatifs, ce qui impose parfois de vérifier qu’une vulnérabilité est réellement présente. Nous utilisons des scripts que nous écrivons nous-mêmes, à partir de preuves de concept publiques ou de code d’exploitation non armé, et veillons à ne pas endommager les systèmes, à ne pas télécharger trop de données personnelles et à ne pas créer de portes dérobées.
9. Nos découvertes consistent généralement en des listes de quelques adresses IP à plusieurs millions, le type de vulnérabilité trouvée, des coordonnées et des métadonnées (horodatages, scripts, chercheurs travaillant sur les données). Ce sont des données sensibles : nous prenons donc toutes les précautions nécessaires pour en protéger la confidentialité.
10. Nous divulguons d’abord les vulnérabilités zero-day à l’éditeur, puis demandons des numéros CVE et négocions un délai raisonnable avant divulgation à nos Trusted Information Sharing Partners et au public. Idéalement, un correctif précède la divulgation. Si un éditeur tarde manifestement à fournir un correctif et qu’il est probable que d’autres découvrent et exploitent la faille, nous pouvons envisager une divulgation afin d’avertir les victimes potentielles et de les conseiller sur les mesures d’atténuation.
11. Nous signalons les CVE que nous trouvons aux propriétaires des systèmes, le plus souvent en construisant des adresses e-mail à partir de leur nom de domaine, comme info@, security@ ou abuse@, et via les adresses abuse déclarées des propriétaires d’adresses IP. Si les propriétaires ne peuvent être trouvés de façon automatisée, nous pouvons les rechercher à partir de sources (ouvertes).
12. Nous pouvons également transmettre nos découvertes par l’intermédiaire de nos Trusted Information Sharing Partners : équipes de réponse aux urgences informatiques, équipes de réponse aux incidents de sécurité, fournisseurs d’accès, organismes publics ou autres instituts de recherche.
13. Dans notre travail, nous nous concentrons sur notre mission : rendre l’internet et le monde connecté plus sûrs. Nous ne servons ni les besoins des gouvernements, ni ceux des forces de l’ordre, des entreprises, des particuliers ou de quiconque.
14. La diligence de notre processus CSIRT exige un suivi de nos divulgations. Nous devons donc conserver des données et journaliser nos activités. Ces données peuvent aussi être nécessaires en cas de litige. Nous limitons au minimum les données personnelles que nous recueillons et conservons, et savons qu’une adresse IP peut elle aussi être considérée comme une information se rapportant à une personne physique identifiée ou identifiable. Nous estimons que ce traitement est proportionné à notre objectif : rendre l’internet et le monde connecté plus sûrs.
15. Selon l’incident, nous informons parfois la communauté de la sécurité au sens large et/ou les médias de nos découvertes. Nous n’utilisons alors que des statistiques agrégées et/ou des informations de tendance. Nous n’utilisons pas de données à caractère personnel (PII).
16. Tout ce que nous publions est disponible sur notre site https://csirt.global.
17. Nos rapports sont disponibles sous licence Creative Commons.
18. Nous signalons les systèmes vulnérables. Même si nous pouvons relayer au mieux les informations de correction provenant de tiers, la correction relève de la seule responsabilité du propriétaire du système.
19. Il revient à CSIRT.global de faire connaître ces règles à ses membres. Il revient à chaque membre de les respecter. À défaut, le conseil prendra les mesures appropriées, par exemple en révoquant son accès.
20. Nous avons conscience des différences géographiques de culture, de droit et d’usages. Nous prévoyons des voies d’escalade en cas de conflit lié aux différences entre les régions où nous opérons. Les membres sont encouragés à les utiliser.
21. Sur le plan humain, nous sommes une organisation ouverte, accueillante, qui apprend et qui transmet. Nous croyons à la diversité.
22. Nous encourageons les membres à interpeller les autres sur un comportement qu’ils jugent inapproprié, tout en offrant des voies d’escalade à ceux qui préfèrent ne pas aborder les choses directement. Nous comprenons qu’il puisse y avoir de très bonnes raisons de ne pas le faire.
23. Suggestions et retours sont les bienvenus. Contactez notre secrétaire Vincent Thiele.