La cybersécurité chez TII Group

Directive et processus

Signalement

L'équipe PSIRT (Product Security Incident Response Team) est le point de contact central pour le signalement des failles de sécurité dans les produits du groupe TII.
Aucun accord de confidentialité, ni contrat d'assistance ou autre n'est requis pour effectuer un signalement. Nous acceptons de préférence les signalements en allemand et en anglais.

Contenu du signalement :

• Vos coordonnées : nom, pseudonyme ou organisation
• Vos moyens de contact (pour retour d'information et coordination) : adresse e-mail, numéro de téléphone
• Produits concernés : nom du produit, modèle, type, variante, version
• Identifiant : numéro d’identification du véhicule (VIN), numéro de série
• Description de la vulnérabilité
• Environnement et conditions techniques
• Étapes de reproduction (preuve de concept)
• Impact et conséquences possibles
• Indications d’une exploitation active ou d’incidents de sécurité graves
• Pièces jointes : captures d’écran, fichiers journaux, captures d’écran

Avant de signaler un problème, veuillez vérifier si des avis de sécurité (Security Advisory) ou des mises à jour ont déjà été publiés pour le produit concerné.  Dans ce cas, il n’est pas nécessaire de créer un nouveau signalement.
Le signalement peut être effectué de manière anonyme. En cas de signalement anonyme, veuillez noter qu’aucune réponse ne sera apportée aux questions techniques ou relatives au contenu et que ces signalements ne pourront donc être traités que de manière limitée, voire pas du tout.

Analyse et mesures

Chaque signalement est enregistré, analysé et évalué.
Conformément à la loi sur la cyber-résilience (règlement UE 2024/2847), nous sommes légalement tenus de signaler les vulnérabilités activement exploitées et les incidents de sécurité graves à l’Agence européenne chargée de la cybersécurité (ENISA) et à l’Office fédéral allemand de la sécurité et des technologies de l’information (BSI) dans les délais de notification définis.
Si une vulnérabilité est confirmée, nous en évaluons les conséquences et le risque. Sur cette base, des mesures correctives ou de remédiation appropriées sont élaborées, le cas échéant, afin de réduire le risque ou de remédier au problème (par exemple, des mises à jour). Ce faisant, nous tenons compte des intérêts des utilisateurs concernés ainsi que des exigences réglementaires et de sécurité.
Le délai de résolution dépend de la cause, de la complexité et du cycle de vie du produit.

Divulgation

Nous publions les vulnérabilités confirmées et corrigées sous forme d'avis de sécurité (Security Advisory) sur ce site web.
Nous considérons qu’un signalement est clos lorsque

• les informations fournies s’avèrent infondées,
• la faille a été corrigée et publiée,
• vous ne répondez pas à nos demandes de précisions pendant au moins 30 jours, ou
• la faille est déjà de notoriété publique.

Nous vous informons immédiatement de la clôture du dossier, à condition que votre signalement n’ait pas été anonyme.

Avis de sécurité

Un avis de sécurité (Security Advisory) précise les produits concernés (nom, modèle, type, variante, version), fournit une description de la vulnérabilité, en indique les conséquences et les risques, et propose des mesures recommandées (par exemple, des mises à jour). Veuillez vérifier régulièrement si de nouveaux avis concernent vos produits.
Les avis de sécurité sont publiés dans cette rubrique dès qu'ils sont disponibles.

Safe Harbour

Nous n'avons pas l'intention d'engager des poursuites judiciaires à l'encontre de quiconque, tant qu'aucune intention criminelle n'est constatée.

Confidentialité

Nous traitons votre signalement et vos coordonnées de manière confidentielle. Nous gardons confidentiels les détails relatifs à la vulnérabilité jusqu'à sa divulgation coordonnée. Nous ne transmettons pas vos données à caractère personnel à des tiers sans votre consentement.