> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/fr/medisao/report-a-vulnerability.md). # Signaler une vulnérabilité Si vous avez découvert une vulnérabilité de sécurité dans un dispositif médical, signalez-la en toute confidentialité dans le cadre du programme de divulgation coordonnée des vulnérabilités (CVD) de MedISAO. Dans le cadre d’une CVD, la personne qui découvre une vulnérabilité la signale de manière confidentielle afin que le fabricant puisse la corriger avant que les détails ne soient rendus publics. MedISAO reçoit votre signalement, s’efforce de le transmettre au fabricant concerné et vous fournit un lien privé pour en suivre l’avancement. Cette page s’adresse aux chercheurs en sécurité, aux cliniciens, au personnel hospitalier et à toute autre personne qui signale une vulnérabilité. ## Avant de commencer * Préparez le nom du fabricant, ainsi que le produit et la version concernés. * Décrivez la vulnérabilité : étapes pour la reproduire, impact potentiel et toute autre information dont le fabricant aurait besoin pour la confirmer. * Si vous le connaissez, préparez le score de base CVSS (Common Vulnerability Scoring System, une échelle de gravité de 0,0 à 10,0). Il est facultatif. ## Où envoyer le signalement * **Depuis l’application :** Si vous êtes connecté à un espace de travail avec MedISAO, sélectionnez **Signaler une vulnérabilité** dans la barre latérale. * **Depuis le portail de divulgation du fabricant :** Certains fabricants publient une page de divulgation personnalisée, avec leur propre logo et leurs propres couleurs. Elle utilise le même formulaire, et les signalements sont transmis directement à ce fabricant. ## Lire les consignes Le formulaire **de divulgation coordonnée des vulnérabilités** commence par expliquer à quoi vous attendre. **À quoi vous pouvez vous attendre de notre part** * Accusé de réception dans un délai de 5 jours ouvrables * Efforts raisonnables pour contacter le fabricant concerné * Possibilité de vous contacter pour obtenir des précisions supplémentaires * Informations sur l’état de votre signalement, lorsqu’elles sont disponibles **Ce que nous attendons de vous** * Évitez de tester les vulnérabilités en milieu clinique ou sur des patients * Protégez la confidentialité des patients et les données sensibles * Respectez toutes les lois et réglementations applicables * Fournissez des informations exactes et complètes Pour toute question avant l’envoi de votre signalement, utilisez l’adresse e-mail de contact indiquée sur le formulaire. Sur le formulaire de MedISAO, il s’agit de . Le portail d’un fabricant peut indiquer une autre adresse. ## Envoyer le formulaire de divulgation 1. Dans la section **Disclosure Form**, renseignez les champs suivants : | Champ | Obligatoire | Informations à saisir | | --------------------------------------------------------- | ----------- | ------------------------------------------------------------------------------------------------------------ | | **Fabricant** | Oui | Le fabricant du dispositif, par exemple *Acme Medical Devices*. Jusqu’à 512 caractères. | | **Produits concernés** | Oui | Le produit et sa version, par exemple *Pompe à perfusion modèle XYZ, version 2.1*. Jusqu’à 1 024 caractères. | | **Score CVSS (facultatif)** | Non | Un score de base compris entre 0,0 et 10,0, si vous le connaissez. | | **Cette vulnérabilité a-t-elle entraîné des blessures ?** | Non | Cochez cette case si la vulnérabilité a causé un préjudice à une personne. | | **Description de la vulnérabilité** | Oui | Étapes pour reproduire la vulnérabilité, impact potentiel et autres détails pertinents. | | **Votre adresse e-mail** | Oui | L’adresse que MedISAO ou le fabricant utilisera pour vous contacter. | 2. Sélectionner **Envoyer le signalement**. 3. Si un élément doit être corrigé, le champ est mis en évidence avec un message et **Veuillez corriger les erreurs ci-dessus** s’affiche. Corrigez-le, puis envoyez à nouveau le formulaire. Une fois l’envoi effectué, le message suivant s’affiche : **Merci pour votre envoi**. ## Enregistrez votre lien de suivi La page de confirmation affiche un encadré **Suivre votre signalement** contenant un lien privé vers la page de suivi de l’état de votre signalement. 1. Sélectionnez **Copier** et conservez le lien en lieu sûr. Toute personne disposant de ce lien peut consulter l’état de votre signalement : traitez-le comme un mot de passe. 2. Notez la date d’expiration indiquée sous le lien (**Ce lien expire le…**). {% hint style="warning" %} Copiez le lien de suivi avant de quitter la page de confirmation. Vous en aurez besoin pour consulter l’état de votre signalement. {% endhint %} ## Consulter l’état de votre signalement Ouvrez votre lien de suivi. Vous n’avez pas besoin de vous connecter. La page **État du signalement** indique : * **Les badges de gravité et d’état :** La gravité et le score CVSS, ainsi que l’étape à laquelle se trouve votre signalement dans le processus. * **Détails :** **Fabricant**, **Produits concernés**, ainsi que la date de son **envoi**. * **Historique des activités :** Chaque modification apportée à votre signalement, de la plus récente à la plus ancienne, avec le nom de la personne qui l’a effectuée et la date. Cela comprend les changements d’état, les changements de niveau TLP, l’attribution à un fabricant et les commentaires qui vous sont destinés. * **Expiration de l’accès :** La date à laquelle votre accès à la page prend fin. Votre signalement passe par les états suivants : | État | Signification | | ------------------------- | -------------------------------------------------------------------------------- | | **Prise en charge** | Reçu et en cours d’examen. | | **Transmis au fabricant** | Transmis au fabricant concerné. | | **Rejeté** | Le signalement n’est pas considéré comme un signalement de vulnérabilité valide. | | **Corrigé** | Le fabricant a corrigé la vulnérabilité. | | **Traité** | Le signalement a été traité et clôturé. | L’historique consigne également les changements de niveau TLP du signalement. Le TLP (Traffic Light Protocol) définit la mesure dans laquelle les détails du signalement peuvent être diffusés. Les nouveaux signalements commencent au niveau TLP:RED, ce qui signifie que leur accès est limité aux destinataires nommément désignés. Si votre lien a expiré ou si la page affiche **Erreur d’accès**, envoyez un e-mail à . L’équipe chargée de votre signalement peut prolonger votre accès. ## Prochaines étapes * [Gérer les divulgations coordonnées de vulnérabilités](/fr/medisao/manage-coordinated-vulnerability-disclosures.md) : découvrez ce que les fabricants font de votre signalement après l’avoir reçu. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.medcrypt.com/fr/medisao/report-a-vulnerability.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.