Rapport explicatif

Art. 12 Modalités de publication

Al. 1 : Les éléments concernés doivent être publiés sur toutes les plate-formes courantes. Les fichiers doivent être organisés conformément à la pratique établie, compte tenu de leur taille et de leur complexité.

Al. 2 : Les documents publiés doivent pouvoir être obtenus de manière anonyme et le propriétaire du code source ne doit pas inviter les personnes intéressées à s’enregistrer pour obtenir ces documents. Si une personne a droit à une rétribution financière conformément à l’art. 13 P-OVotE, le propriétaire peut demander les informations nécessaires à sa remise. On considère qu’il est judicieux de faire intervenir la publication au moins six mois avant le déploiement prévu du système, de façon à permettre un examen public efficace.

Al. 3 : L’échange avec d’autres personnes et la citation d’informations publiées doivent être autorisés, notamment pour faciliter la recherche de failles par les spécialistes.

Al. 4 : Afin de garantir une publication responsable (responsible disclosure), le propriétaire peut inviter les participants à respecter les règles suivantes :

- Signaler immédiatement les failles au propriétaire.

- Attendre avant de signaler publiquement une faille ; un embargo donné devra à cet égard être res-

pecté.

- Adopter une attitude responsable à propos des informations concernant des défauts présumés. Ne

pas diffuser inutilement des informations concernant des failles de sécurité potentielles. Les informations en la matière ne doivent être partagées et discutées qu’avec des personnes supposées aptes et disposées à traiter ces questions, et qui adopteront elles aussi une attitude responsable.

Al. 5 : Le propriétaire ne peut sanctionner les violations des conditions d’utilisation que dans des cas exceptionnels. Il doit, dans les conditions d’utilisation, attirer l’attention des participants sur la limitation ou l’exclusion de la responsabilité. On s’abstiendra de demander une déclaration d’intention aux utilisateurs.

Art. 13 Participation du public

Cet article arrête les principes d’un programme de bug bounty, c.-à-d. de versement d’une prime pour détection d’une faille, qui est une mesure de mise en œuvre de l’art. 27m, al. 1, P-ODP. Dans la mesure du possible, les cantons devraient prendre des mesures supplémentaires pour fournir des incitations tant financières que non financières.

Al. 1 : En principe, les cantons veillent à ce que le public intéressé puisse soumettre des indications pour améliorer le système (programme de bug bounty). Ce programme de bug bounty devrait être lancé bien avant la présentation au Conseil fédéral d’une demande d’autorisation générale. Un délai d’environ six mois avant le déploiement prévu est considéré comme raisonnable. Le programme de bug bounty prévoit un programme récurrent de recherche d’erreurs (let. a) et un test internet (let. b).

Al. 1, let. a : Recherche d’erreurs dans la documentation ou le code source publiés et recherche de failles par analyse du système dans sa propre infrastructure. Ce programme de recherche de défauts fonctionne en continu.

Al. 1, let. b : Ce « test Internet » vise exclusivement à pénétrer dans l’infrastructure. Les attaques par déni de service (DoS) et par ingénierie sociale peuvent être exclues du programme de bug bounty. Le test Internet peut être mis en œuvre soit comme un programme permanent, soit comme un test récurrent de durée limitée.

La participation au programme de bug bounty est régie par l’art. 12 P-OVotE.

Al. 2 : Le service à désigner pour gérer le programme de bug bounty peut être l’exploitant du système ou une société externe. Ce service permet la mise en œuvre du programme, reçoit les indications et assure la communication avec la personne qui a fourni l’indication. Il doit être informé des décisions relatives à l’issue qui sera donnée à l’indication fournie et des mesures qui pourront être prises.

Devront en outre être publiées les informations sur les indications reçues. Les informations suivantes devront ainsi être publiées : informations sur le contenu de l’indication, source de l’indication (pour autant