Plateforme de signalement de sécurité QNAP
Signalement au titre du Cyber Resilience Act de l’UE
Conformément au règlement européen sur la cyberrésilience (Cyber Resilience Act, CRA), QNAP a mis en place ce point de contact unique pour le signalement des vulnérabilités activement exploitées et des incidents graves confirmés, afin que les obligations de signalement soient respectées dans les délais légaux.
Points importants
Ce que la plateforme de signalement CRA accepte
Cette plateforme accepte les signalements relevant des deux catégories suivantes :
| Catégorie | Description |
|---|---|
| Vulnérabilité activement exploitée | Des éléments fiables montrent qu’un acteur malveillant a effectivement exploité la vulnérabilité sur un système sans autorisation, et non qu’il s’agit simplement d’une CVE connue ou d’une faiblesse générale |
| Incident de sécurité grave confirmé | Un incident de sécurité ayant un impact grave sur la sécurité du produit, notamment une fuite de données, une interruption de service ou une compromission de système |
Les demandes suivantes relèvent du support client (Service client - QNAP) et ne sont pas acceptées sur cette plateforme :
-
Demandes de support technique (configuration du NAS, mises à jour système, réparation matérielle)
-
Questions sur des vulnérabilités déjà divulguées publiquement (figurant dans nos avis de sécurité)
-
Demandes de support technique pour l’installation de correctifs
-
Vulnérabilités affectant des produits tiers, ou questions sur les détails de telles vulnérabilités
-
Vulnérabilités découvertes sur des sites web autres que qnap.com
-
Logiciels malveillants découverts sur des appareils mobiles
-
Autres demandes générales sans lien avec la sécurité
Si vous souhaitez signaler une vulnérabilité de sécurité qui n’a pas été exploitée et demander une récompense dans le cadre du Bug Bounty Program, consultez les conditions d’éligibilité et les modalités d’envoi sur la page Bug Bounty Program.
Les canaux de signalement et leurs différences
Remarque : QNAP propose trois canaux de signalement et de service distincts selon la nature du problème. Choisissez celui qui correspond à la situation que vous rencontrez.
| Critère | CRA Security Reporting Cette page |
Service client QNAP Convient dans la plupart des cas |
Bug Bounty Program Security Bounty Program |
|---|---|---|---|
| Objet | Signaler des incidents de sécurité ou des vulnérabilités exploitées qui remplissent les critères de signalement réglementaire | Support technique, questions sur des vulnérabilités connues, aide à l’application de correctifs et demandes similaires | Vulnérabilités de sécurité non exploitées et éligibles au Bug Bounty Program |
| Traité par | PSIRT de QNAP, dans les délais légaux (par exemple notification sous 24 heures) | Équipe du service client | Équipe d’évaluation Bounty, selon les règles du programme |
| Quand l’utiliser | Incidents de sécurité soumis à des obligations de signalement au titre du CRA ou de réglementations comparables | La plupart des problèmes rencontrés par les utilisateurs | Signalements de vulnérabilités généraux et non urgents |
Comment choisir le bon canal ?
Commencez par examiner la situation que vous rencontrez :
-
S’agit-il de configuration, de mises à jour, de réparation ou d’un problème connu ? → Cela relève du support client (Service client - QNAP)
-
Disposez-vous d’éléments clairs montrant qu’une vulnérabilité est activement exploitée, ou un incident de sécurité grave s’est-il produit ? → Cela relève de cette plateforme (CRA Security Reporting)
Choisissez le canal correspondant à votre situation afin que votre demande parvienne le plus rapidement possible à l’équipe la mieux placée pour la traiter.
Remplir le formulaire de signalement CRA
Veuillez renseigner votre signalement en détail dans le formulaire ci-dessous, afin que l’équipe PSIRT de QNAP puisse achever son analyse et son évaluation initiales le plus rapidement possible.
Ce formulaire est réservé au signalement des vulnérabilités activement exploitées ou des incidents de sécurité graves confirmés. Après l’envoi, un spécialiste de la communication de sécurité sera désigné pour prendre contact avec vous.
Pour que votre signalement soit complet et exact, et pour faciliter l’appréciation des délais légaux et la déclaration réglementaire, soyez aussi précis et détaillé que possible. Si vous disposez de justificatifs (journaux d’attaque, journaux système, code de preuve de concept, etc.), vous pouvez les joindre au formulaire.
Tous les éléments transmis sont traités de manière confidentielle et utilisés uniquement pour l’évaluation de sécurité interne et les déclarations réglementaires de QNAP. Ils ne sont pas divulgués publiquement, mais seront communiqués aux autorités compétentes lorsque la réglementation l’exige.
Chiffrement des informations sensibles
Si votre envoi comporte des détails techniques très sensibles, par exemple des détails de vulnérabilités exploitables, du code de preuve de concept ou des informations d’accès aux systèmes, nous vous recommandons vivement de le chiffrer avant l’envoi avec la clé PGP publique figurant en bas de cette page, afin d’empêcher tout accès non autorisé pendant la transmission.
