Les programmes de divulgation de sécurité des fournisseurs, couramment appelés programmes de divulgation des vulnérabilités (VDP) ou programmes de primes aux bogues, sont les mécanismes par lesquels les chercheurs en sécurité externes et les clients signalent aux éditeurs de logiciels les vulnérabilités qu’ils ont découvertes. Un programme de divulgation mature et bien géré fournit une alerte précoce sur les vulnérabilités avant leur divulgation publique, un processus de correction organisé qui produit des correctifs dans le délai de divulgation coordonnée, et une communication aux clients concernés qui leur permet de mettre en place des solutions de contournement ou de planifier le déploiement des correctifs avant que la vulnérabilité ne soit publiquement connue. Un programme de divulgation de façade, qui accuse réception des signalements mais ne corrige pas dans le délai de divulgation coordonnée, offre aux chercheurs, aux clients et, à terme, aux attaquants une vulnérabilité critique publiée et aucun correctif.
Le délai de divulgation coordonnée est la norme du secteur qui régit la relation entre les chercheurs en sécurité et les fournisseurs. La norme dominante, établie par Google Project Zero et largement adoptée, est de 90 jours entre la notification privée et la divulgation publique, après quoi le chercheur peut publier, que le correctif soit disponible ou non. Certains chercheurs accordent des prolongations pour les vulnérabilités complexes. Le fournisseur qui reçoit le signalement d’une vulnérabilité critique dispose d’environ 90 jours pour développer et publier un correctif avant que la vulnérabilité ne soit publiée auprès de la communauté de la sécurité, y compris des acteurs malveillants qui surveillent les divulgations de vulnérabilités. Un fournisseur incapable de corriger les vulnérabilités critiques sous 90 jours livrera régulièrement à ses clients des vulnérabilités critiques non corrigées au moment de la divulgation publique.
L’absence de notification des clients est la défaillance opérationnelle du scénario d’introduction. Même les fournisseurs qui corrigent dans le délai de divulgation coordonnée omettent souvent d’avertir leurs entreprises clientes avant la divulgation publique, ce qui ne leur laisse aucune possibilité d’appliquer des solutions de contournement ou de se préparer à un déploiement d’urgence des correctifs avant que la vulnérabilité ne soit publiquement connue. La notification préalable des clients, qui consiste à alerter les clients concernés de la vulnérabilité et du correctif disponible avant la divulgation publique, est la pratique qui donne aux équipes de sécurité des entreprises le temps de préparation que la divulgation publique simultanée ne leur laisse pas.
Pourquoi c’est important
Les programmes de divulgation de sécurité des fournisseurs sont importants pour la TPRM, car ils déterminent la rapidité avec laquelle les vulnérabilités des logiciels des fournisseurs sont découvertes, corrigées et communiquées aux clients. Un fournisseur doté d’un programme de divulgation mature et bien exécuté offre une meilleure sécurité de la chaîne d’approvisionnement qu’un fournisseur doté d’un programme de façade mal exécuté, quelles que soient leurs affirmations commerciales respectives sur la maturité de leur programme de sécurité.
- Existence du programme de divulgation acceptée sans évaluation de sa qualité
- Respect des délais de correction non évalué : le fournisseur corrige-t-il sous 90 jours ?
- Notification préalable des clients non incluse dans l’évaluation des fournisseurs
- Respect des délais de divulgation coordonnée non suivi
- Périmètre du programme de primes aux bogues non évalué : catégories de vulnérabilités couvertes
À quoi ressemblent les bonnes pratiques
Les évaluations matures des programmes de divulgation des fournisseurs portent sur le respect des délais de correction (quel pourcentage des vulnérabilités critiques est corrigé dans la fenêtre de divulgation coordonnée ?) et sur les pratiques de notification préalable des clients (les clients reçoivent-ils un préavis avant la divulgation publique ?).
- Données de respect des délais de correction : pourcentage de CVE critiques corrigées sous 90 jours
- Notification préalable des clients : les entreprises clientes reçoivent-elles un préavis avant la divulgation ?
- Périmètre du programme : catégories de vulnérabilités couvertes
- Indicateurs de participation des chercheurs : indicateur de santé du programme
- Analyse historique des délais de divulgation : comment le fournisseur s’est-il comporté par le passé ?
Outils
Évaluation des programmes de divulgation : Disclose.io pour les normes des programmes ; HackerOne, Bugcrowd pour les signaux de qualité des programmes
La réputation des programmes de divulgation des fournisseurs au sein de la communauté des chercheurs en sécurité (rapidité de réponse des fournisseurs, correction dans les délais, communication appropriée) fournit des signaux de qualité que les politiques publiées n’offrent pas. Consulter les retours de la communauté des chercheurs sur les principales plateformes de primes aux bogues apporte une évaluation complémentaire de la qualité, en plus de la documentation officielle du programme.
Enjeux de gouvernance
Le défi de gouvernance de l’évaluation des programmes de divulgation est la disponibilité des données empiriques. Le respect historique des délais de correction, c’est-à-dire la performance réelle du fournisseur sur les vulnérabilités divulguées, exige d’analyser les divulgations de CVE passées au regard des dates de publication des correctifs, ce qui est faisable mais laborieux. La solution de gouvernance consiste à concentrer l’analyse historique sur les vulnérabilités les plus critiques du fournisseur et à la compléter par des indicateurs de qualité du programme issus de la communauté des chercheurs.
- Interrogez sur le respect des délais de correction : pourcentage de CVE critiques corrigées sous 90 jours
- Interrogez sur les pratiques de notification préalable des clients
- Examinez l’historique des délais de divulgation pour les vulnérabilités critiques notables
- Intégrez la maturité du programme de divulgation dans l’évaluation de la sécurité des logiciels des fournisseurs
- Exigez dans le contrat fournisseur un engagement de notification préalable pour les divulgations de vulnérabilités critiques
Si vous êtes une petite équipe
Pour vos trois fournisseurs de logiciels les plus critiques, recherchez leurs trois dernières vulnérabilités critiques divulguées publiquement. Notez la date de signalement de chacune (si elle est publique), la date de publication du correctif et la date de divulgation publique de la vulnérabilité. Calculez le délai de correction pour chacune. Si le fournisseur corrige systématiquement dans la fenêtre de divulgation coordonnée de 90 jours, son programme de divulgation fonctionne. S’il manque régulièrement cette fenêtre, les chercheurs contourneront de plus en plus le programme et publieront des vulnérabilités non corrigées, ce qui est précisément le scénario qui expose votre entreprise sans préavis.
- Recherchez les trois dernières CVE critiques de vos principaux fournisseurs de logiciels : analyse des délais de correction
- Interrogez sur la notification préalable des clients pour les divulgations critiques
- Exigez un engagement de notification préalable dans les contrats fournisseurs
- Intégrez le respect des délais du programme de divulgation dans la réévaluation des fournisseurs
Ce qu’il faut exiger
Demandez directement :
« Quel pourcentage des signalements de vulnérabilités critiques soumis à votre programme de divulgation est corrigé dans le délai de divulgation coordonnée, et informez-vous à l’avance vos entreprises clientes avant la divulgation publique d’une vulnérabilité critique ? »
Preuves attendues
- Données de respect des délais de correction pour les divulgations critiques
- Processus et délai de notification préalable des clients
- Périmètre du programme de divulgation et coordonnées de contact
- Traitement de la divulgation critique la plus récente comme étude de cas
Il convient d’interroger un fournisseur qui confirme disposer d’un programme de divulgation de sécurité sur le respect des délais de correction et la notification préalable des clients. L’existence du programme est le point de départ. Le respect des délais de correction et la notification préalable déterminent si le programme apporte la valeur de sécurité de la chaîne d’approvisionnement qu’il est censé apporter.
Comment le prouver
- Registres d’évaluation de la qualité des programmes de divulgation
- Analyse historique des délais de correction
- Exigence de notification préalable dans le contrat fournisseur
- Évaluation du programme de divulgation lors de la revue du fournisseur
À retenir
Programme de divulgation : publié et confirmé. Signalement soumis. Réception confirmée. 7 mois : vulnérabilité publiée, aucun correctif. Entreprises clientes : aucun préavis. Le programme existait. Le processus interne n’a pas respecté le délai de divulgation coordonnée. Les chercheurs publient une fois le délai écoulé : ils n’ont pas d’autre choix. Les entreprises découvrent la vulnérabilité en même temps que l’ensemble de la communauté de la sécurité, acteurs malveillants compris. Les données de respect des délais de correction vous indiquent si le programme du fournisseur produit des résultats ou se contente d’exister. Un engagement de notification préalable donne aux entreprises clientes le temps de préparation que la divulgation publique simultanée supprime.