La cybersécurité chez HEIDENHAIN

La sécurité de nos produits est une priorité absolue chez HEIDENHAIN. Nous disposons d’un processus systématique de gestion des vulnérabilités de sécurité signalées concernant nos produits, nos solutions et notre infrastructure informatique, et collaborons étroitement avec toute personne qui signale des vulnérabilités. Le respect, la surveillance continue et la mise en œuvre des exigences réglementaires, telles que le Cyber Resilience Act (CRA) de l’Union européenne, font partie intégrante de notre processus de gestion de la cybersécurité.

Les directives suivantes expliquent comment les vulnérabilités peuvent être signalées et comment nous les traitons.

These guidelines apply to all products offered by HEIDENHAIN, regardless of whether they are subject to servicing agreements and regardless of their status within the product life cycle.

Nous accueillons les signalements provenant de toute source : chercheurs, associations professionnelles, CERT, partenaires ou tiers. Nous n’exigeons pas la signature d’un accord de confidentialité comme condition préalable à l’acceptation des signalements.

Si votre signalement concerne notre infrastructure numérique (par exemple notre site web ou des services actifs), veuillez nous envoyer un e-mail à l’adresse security@heidenhain.com.

HEIDENHAIN n’engagera aucune action en justice à l’encontre des personnes effectuant un signalement dès lors que les conditions suivantes sont remplies :

• Absence de tout préjudice aux personnes
• Tests limités au strict nécessaire pour confirmer l’existence d’une vulnérabilité
• Tests sur des systèmes en production, uniquement avec une autorisation explicite
• Absence d’atteinte à la disponibilité des systèmes (aucune attaque par déni de service [DoS]), de recours à l’ingénierie sociale et d’accès à l’infrastructure physique
• Accès limité aux seules données nécessaires à la démonstration de la vulnérabilité, sans modification, suppression ni exfiltration de données
• Protection de la sécurité et de la vie privée d’autrui
• Respect des lois et réglementations applicables
• Volonté de coordonner la divulgation des informations (aucune divulgation publique avant l’expiration d’un délai convenu d’un commun accord)

Nous accordons une grande importance à vos signalements, qui nous permettent de remédier rapidement aux problèmes identifiés.

• Signalez-nous dès que possible tout problème de sécurité avéré ou potentiel.
• Utilisation des techniques d’exploitation limitée au strict nécessaire pour confirmer l’existence d’une vulnérabilité.
• Accordez-nous un délai suffisant pour corriger le problème. Nous publierons les vulnérabilités significatives et confirmées par l’intermédiaire de CERT@VDE.
• Une divulgation publique immédiate créerait une situation de type « zero-day » et exposerait les systèmes de nos clients, y compris les infrastructures critiques, à des risques inutiles. Nous vous demandons par conséquent de respecter le principe de divulgation coordonnée.

• Pour transmettre un rapport détaillé sur une vulnérabilité, accompagné de tous les fichiers associés et des éléments de preuve permettant de la confirmer, veuillez utiliser notre formulaire de contact dédié à la cybersécurité.
• E-mail : product-security@heidenhain.com (Les adresses e-mail indiquées dans notre fichier security.txt sont exclusivement destinées à un premier contact et ne doivent pas être utilisées pour transmettre des informations sensibles ou des renseignements détaillés relatifs à des vulnérabilités.)
• Signalement via CERT@VDE : https://www.certvde.com/en/service/report-a-vulnerability/ 

Dans la mesure du possible, veuillez fournir les informations suivantes :

• Le produit ou logiciel concerné (y compris son numéro d’identification ainsi que la version du logiciel ou du firmware)
• Description de la vulnérabilité, de l’emplacement où elle a été identifiée et de ses effets potentiels
• Étapes permettant de reproduire la vulnérabilité (preuve de concept [PoC], scripts, captures d’écran, données réseau), le cas échéant
• Statut de divulgation de la vulnérabilité (déjà publique ou non)
• Tout document pertinent (CVE, notifications, notes de version) 
• De préférence, une description en anglais

1. Réception du signalement : Nous vous confirmons avoir bien reçu le signalement.
2. Évaluation : Nous analysons la vulnérabilité et tentons de la reproduire ; si nécessaire, nous sollicitons des informations complémentaires.
3. Prise en charge : Nous coordonnons les actions correctives et vous tenons informé de leur progression.
4. Divulgation publique : Dès qu’une solution est disponible ou a été publiée (selon la première de ces éventualités), nous publierons un avis de sécurité. Les entrées CVE seront créées en coordination avec CERT@VDE et publiées conformément à la norme CSAF.

Notre avis de sécurité contient généralement les informations suivantes :

• Description de la vulnérabilité, avec référence CVE et score CVSS
• Liste des produits et des versions concernés
• Informations sur les solutions de contournement et les mesures de réduction des risques
• Mises à jour et correctifs disponibles