Politique de divulgation coordonnée de vulnérabilités (CVD)
Politique de divulgation coordonnée de vulnérabilités (CVD) conformément au Règlement européen sur la cyber-résilience (Règlement (UE) 2024/2847).
1. Introduction et objectifs
AMT Rail Road Production BV (ci-après : AMT) développe et fournit des produits comportant des éléments numériques pour le secteur ferroviaire, notamment le Trackbot, l’E-KROL, des remorques ferroviaires automotrices et divers véhicules de travaux ferroviaires modifiés. En tant que fabricant au sens du Règlement européen sur la cyber-résilience (CRA, Règlement (UE) 2024/2847), AMT est responsable de la cybersécurité de ces produits pendant toute la période de support.
Cette politique de divulgation coordonnée de vulnérabilités (CVD) décrit la manière dont AMT traite les signalements de vulnérabilités dans ses produits et systèmes. Cette politique :
- offre aux chercheurs, clients et tiers un canal sûr et transparent pour signaler les vulnérabilités ;
- établit la procédure de traitement et les responsabilités ;
- garantit le respect des obligations du CRA concernant la gestion des vulnérabilités et l’obligation de notification à l’ENISA ;
- permet à AMT de satisfaire à l’obligation d’alerte précoce sous 24 heures et de notification sous 72 heures en cas de vulnérabilités activement exploitées.
La politique entre en vigueur à la date de son adoption et s’applique à tous les produits AMT comportant des éléments numériques mis sur le marché de l’UE.
2. Champ d’application
2.1 Dans le champ d’application
Cette politique s’applique aux vulnérabilités dans :
- les logiciels embarqués et micrologiciels des produits AMT (logique de commande, modules de communication) ;
- l’application AMT Service App, y compris les composants backend et les API ;
- les interfaces de communication réseau des produits AMT (Wi-Fi, 4G/LTE, liaisons externes, diagnostics à distance) ;
- les portails web et services cloud proposés par AMT sous son propre nom ;
- les composants logiciels tiers intégrés par AMT dans ses produits.
2.2 Hors champ d’application
Les éléments suivants ne relèvent pas de cette politique et ne sont pas traités comme des vulnérabilités de sécurité :
- l’ingénierie sociale et le hameçonnage (phishing) ciblant les employés d’AMT ;
- les attaques physiques sur les produits ou les sites d’AMT ;
- les attaques par déni de service (DoS/DDoS) ;
- les vulnérabilités dans des produits tiers non modifiés par AMT (à signaler au fabricant concerné) ;
- les vulnérabilités sans impact démontrable sur la sécurité ou sans preuve reproductible.
3. Signaler une vulnérabilité
3.1 Canal de signalement
Signalez les vulnérabilités exclusivement de manière confidentielle via le canal ci-dessous. N’utilisez pas de canaux publics.
| Canal | Détails |
|---|---|
| E-mail (primaire) | security@amtgroup.nl |
| Chiffrement PGP | Une clé publique sera annoncée via security.txt dès qu’elle sera disponible. |
| security.txt (RFC 9116) | https://www.amtgroup.nl/.well-known/security.txt |
| Langue | Néerlandais, allemand ou anglais |
3.2 Contenu du signalement
Veuillez joindre de préférence les informations suivantes au signalement :
- le type et l’emplacement de la vulnérabilité ainsi que le composant/la version concerné(e) ;
- les étapes pour reproduire la vulnérabilité ;
- l’impact attendu (confidentialité, intégrité ou disponibilité) ;
- les coordonnées du déclarant (nom et e-mail ; l’anonymat est autorisé) ;
- toute preuve de concept (Proof-of-Concept) ou capture d’écran (uniquement via le canal chiffré).
Les signalements incomplets ne seront pas rejetés, mais peuvent entraîner un délai de traitement plus long.
4. Procédure de traitement
4.1 Délais de réponse
| Étape | Délai |
|---|---|
| Accusé de réception au déclarant | Sous 3 jours ouvrables |
| Première évaluation (validation + gravité) | Sous 7 jours ouvrables |
| Mise à jour de l’état d’avancement au déclarant | Tous les 14 jours |
| Solution (correctif ou atténuation) | Objectif : sous 90 jours |
| Divulgation publique | Après correction ou après 90 jours |
En cas de dépassement des 90 jours, le déclarant sera informé en temps utile du motif et d’un nouveau délai prévisionnel. En cas d’abus actif, tous les délais sont raccourcis conformément à l’obligation de notification du CRA.
4.2 Classification (CVSS v3.1)
| Gravité | Score CVSS | Délai de traitement / action |
|---|---|---|
| Critique | 9.0 – 10.0 | Escalade immédiate ; correctif sous 30 jours ou atténuation immédiate |
| Élevée | 7.0 – 8.9 | Escalade sous 7 jours ouvrables ; correctif sous 60 jours |
| Moyenne | 4.0 – 6.9 | Traitement sous 30 jours ouvrables ; correctif sous 90 jours |
| Faible | 0.1 – 3.9 | Intégration dans le cycle de version régulier ; sous 180 jours |
4.3 Étapes du processus
Après réception d’un signalement, AMT suit les étapes ci-dessous :
- Réception et enregistrement – consignation du signalement (date, déclarant, description, CVSS initial).
- Validation – évaluation de la reproductibilité et de l’impact.
- Test ENISA – s’agit-il d’une vulnérabilité activement exploitée ou d’un incident grave ? Si oui : l’alerte précoce sous 24 heures et la notification ENISA sous 72 heures sont lancées.
- Escalade – escalade interne pour un CVSS de 7.0 ou plus.
- Solution – développement, test et déploiement d’un correctif ou d’une atténuation ; information proactive des clients concernés.
- Documentation – demande de CVE le cas échéant ; mise à jour du dossier technique et de la SBOM.
- Divulgation – publication d’un avis de sécurité coordonné en concertation avec le déclarant.
- Évaluation – enseignements tirés ; traitement des causes structurelles.
5. Rôles et responsabilités
AMT a confié le traitement des signalements de vulnérabilités à une équipe de sécurité dédiée dotée de responsabilités claires :
| Rôle | Responsabilité |
|---|---|
| Contact sécurité | Point de contact principal, enregistrement et communication avec le déclarant ; coordination des notifications ENISA. |
| Équipe technique | Validation de la vulnérabilité ; développement et test du correctif ou de l’atténuation ; mise à jour de la SBOM. |
| Conformité | Tenue du dossier technique ; revue après traitement ; évaluation annuelle de la politique. |
| Direction | Prise de décision en cas d’incidents graves et autorisation des notifications ENISA. |
6. Règles pour les chercheurs (Safe Harbour)
AMT apprécie la contribution des chercheurs en sécurité et offre les garanties suivantes aux chercheurs qui respectent cette politique :
- AMT n’engage aucune action en justice contre les chercheurs qui agissent de bonne foi et respectent cette politique ;
- AMT n’informe pas les autorités chargées de l’application de la loi des signalements soumis conformément à cette politique ;
- AMT considère que les recherches effectuées conformément à cette politique sont menées dans l’intérêt général.
AMT attend des chercheurs qu’ils :
- n’accèdent pas, ne copient pas et ne modifient pas les systèmes et données de tiers (clients, utilisateurs finaux) ;
- ne perturbent pas les environnements de production ;
- signalent les vulnérabilités trouvées exclusivement via le canal mentionné au chapitre 3 et ne les divulguent pas publiquement avant la date de divulgation coordonnée ;
- utilisent la vulnérabilité de manière minimale – juste assez pour démontrer l’impact, pas plus ;
- n’exploitent pas la vulnérabilité à des fins personnelles ou financières.
Le Safe Harbour ne s’applique pas en cas de dommages intentionnels, de vol de données ou de tentatives de chantage.
6.1 Bug bounty
AMT ne dispose pas actuellement de programme formel de bug bounty et se réserve le droit de décider à ce sujet pour chaque signalement individuel. Les chercheurs qui signalent une vulnérabilité significative peuvent, sur demande, être mentionnés dans l’avis de sécurité public (crédits).
7. Divulgation et communication
7.1 Divulgation coordonnée
AMT s’efforce d’assurer une divulgation coordonnée conformément à la norme ISO/IEC 29147 et aux directives CVD du NCSC. Une fois qu’un correctif ou une atténuation est disponible, AMT publie un avis de sécurité. Le déclarant est informé au préalable de la date de publication.
7.2 Délai maximal
Si aucune solution n’est disponible après 90 jours, AMT peut décider, en concertation avec le déclarant, d’une divulgation limitée incluant des mesures d’atténuation. AMT communique de manière proactive à ce sujet avec le déclarant.
7.3 Demandes de CVE
Pour les vulnérabilités justifiant un identifiant CVE, AMT demande un CVE via le MITRE ou une CNA compétente. Le CVE est inclus dans l’avis de sécurité et la SBOM du produit concerné.
7.4 Communication client
Les acheteurs et gestionnaires d’infrastructure concernés sont informés de manière proactive et confidentielle des vulnérabilités qui les touchent directement, y compris les correctifs ou solutions de contournement disponibles, avant toute divulgation publique.
8. Obligation de notification CRA à l’ENISA
8.1 Seuils de notification
| Situation | Délai | Contenu du signalement |
|---|---|---|
| Vulnérabilité activement exploitée découverte | 24 heures (alerte précoce) | Produit, nature de la vulnérabilité, versions concernées, CVSS initial, disponibilité de l’atténuation. |
| Incident grave avec impact sur la sécurité du produit | 72 heures | Description détaillée, clients concernés, mesures prises, délai de rétablissement prévu. |
| Rapport d’incident final | Sous 1 mois | Analyse complète, cause profonde, mesures structurelles, numéro CVE le cas échéant. |
8.2 Enregistrement et autorité nationale
AMT est enregistré en tant que fabricant sur la plateforme de signalement unique de l’ENISA. Si nécessaire, AMT informe également l’autorité de surveillance du marché néerlandaise (RDI – Rijksdienst voor Digitale Infrastructuur) conformément à la mise en œuvre nationale de l’obligation de notification du CRA.
9. Vulnérabilités dans des composants tiers
AMT intègre des composants logiciels tiers, notamment le runtime CODESYS et des logiciels de fournisseurs spécialisés. Pour les vulnérabilités dans ces composants :
- AMT surveille activement les vulnérabilités dans les composants intégrés via les flux CVE (notamment NVD, les avis de sécurité CODESYS et les canaux des fournisseurs) ;
- en cas de vulnérabilité dans un composant d’un fournisseur, AMT informe ce fournisseur et exige une réponse dans les délais fixés contractuellement ;
- AMT informe les clients concernés en temps utile, même lorsque le correctif dépend d’un fournisseur tiers.
10. Documentation et enregistrement
AMT consigne tous les signalements de vulnérabilités dans un registre interne des vulnérabilités, comprenant au minimum : la date de réception et un numéro de référence unique, une description de la vulnérabilité et des produits/versions concernés, le score CVSS et la classification, le statut par étape du processus, les coordonnées du déclarant (anonyme si souhaité), la date et la forme de la divulgation et – le cas échéant – la date de notification à l’ENISA et le numéro CVE. Le registre fait partie du dossier de conformité CRA et est conservé pendant au moins cinq ans conformément à l’obligation de conservation du CRA.
11. Évaluation et révision
Cette politique est évaluée annuellement, révisée après chaque incident significatif ou vulnérabilité grave, ajustée en cas de modification des règlements d’exécution du CRA ou des directives de l’ENISA, et révisée en cas d’extension substantielle du portefeuille de produits d’AMT.
12. Contact
| Donnée | Détails |
|---|---|
| E-mail sécurité | security@amtgroup.nl |
| Site web | https://www.amtgroup.nl |
| security.txt | https://www.amtgroup.nl/.well-known/security.txt |
AMT Rail Road Production BV · Politique CVD · Numéro de document AMT-CRA-CVD-001 · Version 1.0 · Juin 2026 · Classification : Public