Politique de divulgation des vulnérabilités (VDP) — UDS Atom®

Engagement de Step AT concernant la sécurité d'UDS Atom®, le signalement responsable des vulnérabilités et la conformité au Règlement Européen sur la Cyberrésilience (CRA).

Engagement de Step AT pour la sécurité d'UDS Atom®

Chez Step AT, la sécurité et la résilience d'UDS Atom® sont au cœur de nos engagements industriels. Nous soutenons le travail des chercheurs et de la communauté en cybersécurité pour identifier et corriger toute vulnérabilité de manière responsable et transparente.

Périmètre d'application

Cette politique s'applique aux produits et services suivants :

  • Le logiciel UDS Atom® (toutes versions sous support actif).
  • Les connecteurs natifs et modules de communication développés par Step AT.
  • Les APIs d'administration et interfaces web associées.

Signalement d'une vulnérabilité

Pour nous signaler une faille de sécurité, merci d'envoyer un message à notre équipe :

Merci d'inclure dans votre rapport :

  1. La description détaillée de la vulnérabilité et son impact potentiel.
  2. Les étapes clés permettant de reproduire le problème (PoC, captures d'écran, journaux d'événements).
  3. Les versions d'UDS Atom® et de l'environnement (OS, matériel) concernées.

Engagements et délais de traitement

  • Accusé de réception : sous 48 heures ouvrées.
  • Évaluation initiale : sous 5 jours ouvrés.
  • Prise en charge : traitement prioritaire des failles critiques et suivi régulier de l'avancement.

Conformément aux exigences du Règlement Européen sur la Cyberrésilience (CRA), les vulnérabilités exploitées activement font l'objet d'une notification aux autorités compétentes (ANSSI / CSIRT national).

Règles de bonne conduite (Safe Harbor)

Afin de protéger les infrastructures et les données de nos clients, nous vous demandons de :

  • Ne pas exploiter la vulnérabilité pour accéder à des données de production ou les altérer.
  • Ne pas réaliser d'attaques par déni de service (DoS/DDoS) sur nos systèmes ou ceux de nos clients.
  • Conserver la confidentialité des détails techniques jusqu'à la mise à disposition d'un correctif officiel.

En respectant ces conditions, Step AT s'engage à ne pas engager de poursuites judiciaires à l'encontre des personnes signalant une vulnérabilité.