OT Vulnerability Disclosure Program
otDéfinition
Programme de divulgation responsable des vulnérabilités ICS/OT coordonné par ICS-CERT/CISA, permettant aux chercheurs de signaler les failles aux éditeurs industriels de façon structurée.
Description
Un programme de divulgation des vulnérabilités OT (VDP) coordonne le signalement responsable des failles dans les composants ICS/OT entre les chercheurs en sécurité, les équipementiers industriels et les organismes de coordination comme CISA/ICS-CERT. Il encadre les délais de divulgation, la production de patches et la communication aux opérateurs exposés.
Contexte OT/ICS
Les VDP ICS présentent des défis spécifiques : cycles de développement de patches longs (6-18 mois), équipements legacy sans possibilité de patch, risques de divulgation prématurée sur des systèmes critiques. CISA coordonne les VDP américains via ICS-CERT, tandis que l'ANSSI joue ce rôle en France pour les systèmes industriels des OIV/OSE.
Points clés
- Signalement coordonné : contacter ICS-CERT/CISA (ics-cert@hq.dhs.gov) plutôt que divulguer publiquement sans délai
- Délais de divulgation : 90 jours standard, extensibles si patch industriel non disponible et risque critique
- Compensating controls : ICS-CERT publie des mitigations temporaires en attendant les patches des équipementiers
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis