Déclaration de divulgation de vulnérabilités techniques

Programme de gestion des vulnérabilités techniques générales

NTT DATA, Inc. s'engage à maintenir la sécurité et l'intégrité de nos actifs numériques. Nous investissons en permanence dans des mesures de sécurité complètes et des audits réguliers pour protéger ces actifs. Bien que nous reconnaissions la valeur de l’engagement communautaire en matière de sécurité par le biais de programmes de chasse aux bogues et d’autres programmes similaires, nous nous concentrons sur l’utilisation de l’expertise en sécurité interne et contractuelle pour maintenir et améliorer notre programme de sécurité.

Nous ne rémunérons donc pas les particuliers ou les organisations pour l’identification de vulnérabilités de sécurité potentielles ou confirmées. Toute demande de compensation monétaire ou autre constituera une violation des termes de notre programme de divulgation responsable.

Comment signaler une vulnérabilité potentielle de sécurité

Si vous avez découvert une vulnérabilité de sécurité potentielle au sein de NTT DATA, Inc. ou de l'un de nos services ou produits, nous aimerions que vous nous en fassiez part et nous vous encourageons vivement à nous la communiquer le plus rapidement possible et de manière responsable.

Veuillez signaler votre préoccupation via notre site Web et nous fournir autant d'informations que possible, y compris :

• Une explication de la vulnérabilité potentielle de sécurité
• Une liste des produits et services qui pourraient être affectés (si possible)
• Marche à suivre pour reproduire la vulnérabilité
• Les noms de tous les comptes de test que vous avez créés (le cas échéant)
• Vos coordonnées

Que se passe-t-il ensuite?

Nous nous engageons à examiner tous les rapports de divulgation responsable. Nous vous demandons de respecter la confidentialité et de ne pas rendre votre recherche publique tant que nous n'avons pas terminé notre enquête et, le cas échéant, remédié à la vulnérabilité potentielle en matière de sécurité ou l'avoir atténuée.

Nous vous demandons de ne pas divulguer publiquement les détails d’éventuelles vulnérabilités de sécurité sans notre consentement écrit exprès.

Sous réserve des exigences réglementaires et légales, tous les rapports seront strictement confidentiels, tout comme les détails de la vulnérabilité de sécurité potentielle et l’identité de tous les chercheurs impliqués dans le signalement.

Si des vulnérabilités de sécurité potentielles sont découvertes et signalées en stricte conformité avec notre programme de divulgation responsable, nous n'engagerons aucune action en justice contre les chercheurs en sécurité en relation avec la découverte et le signalement d'une vulnérabilité de sécurité potentielle.

En cas de non-respect, nous nous réservons tous nos droits légaux.

Les types de recherche suivants sont strictement interdits :

• Accéder ou tenter d'accéder à des comptes ou à des données qui ne vous appartiennent pas.
• Toute tentative de modifier ou de détruire des données.
• Exécution ou tentative d'exécuter une attaque par déni de service (DoS).
• Envoyer ou tenter d'envoyer des courriels non sollicités ou non autorisés, des spams ou toute autre forme de messages non sollicités.
• Ingénierie sociale de tout employé, sous-traitant, client ou toute autre partie de NTT DATA, y compris (mais sans s'y limiter) en contactant toute personne physiquement ou par des moyens électroniques, par exemple par phishing.
• Toute tentative physique contre notre propriété ou nos centres de données, y compris (mais sans s'y limiter) les centres de données physiques, l'infrastructure hébergée et les bureaux.
• Publier, transmettre, télécharger, créer des liens vers, envoyer ou stocker des logiciels malveillants, des virus ou des logiciels nuisibles similaires qui pourraient avoir un impact sur nos services, produits, clients ou toute autre partie.
• Tester des sites Web, applications ou services tiers qui s'intègrent à nos services ou produits.
• Utilisation de scanners de vulnérabilité automatisés.
• Exfiltration de données sous n'importe quelles circonstances.
• Toute activité qui enfreint une loi quelconque.

Nous envisagerons d’engager des poursuites judiciaires contre toute personne surprise à commettre l’une des actions ci-dessus.

Reconnaissance des vulnérabilités signalées

Une fois l'enquête terminée, nous pouvons, à notre discrétion et sous réserve du consentement des chercheurs, reconnaître les chercheurs impliqués. Nous ne leur accorderons cependant aucune forme de compensation.

S’il s’avère qu’un rapport est un doublon ou que nous le connaissons déjà, le rapport ne sera pas admissible à la reconnaissance publique.