L'évolution du programme de divulgation des vulnérabilités de Datto

Cela fait un peu plus d’un an que Datto a lancé son programme de divulgation des vulnérabilités (VDP), en novembre 2020. Six mois plus tard, nous avons publié un article de blog intitulé « La sécurité pour les MSP : VDP, programmes de prime aux bogues et divulgation responsable », proposant des orientations et des conseils sur la manière de s’engager de manière constructive dans un VDP. Il nous a fallu plusieurs mois de discussions internes pour décider si nous souhaitions lancer notre propre programme de divulgation des vulnérabilités ou de prime aux bogues (BBP). Nous devions également déterminer si nous souhaitions gérer ce programme nous-mêmes ou suivre la voie traditionnelle consistant à externaliser cette tâche à un prestataire tiers.

Après avoir examiné nos options et bien compris ce que proposaient les programmes tiers, nous avons décidé de mettre en place notre propre programme de divulgation des vulnérabilités, géré par Datto. La gestion de notre propre programme présentait l’avantage d’offrir une grande flexibilité. Bien que nous ayons tiré de nombreux enseignements précieux de cette expérience, sur lesquels nous reviendrons, ce choix s’est avéré judicieux à l’époque, car il nous a permis de tester notre programme de correction des vulnérabilités, récemment mis à jour et amélioré, géré par notre actuelle directrice de la sécurité des applications, Emilyann Fogarty.

Compte tenu de la difficulté à anticiper l'adhésion au programme, nous avons finalement choisi de faire preuve d'une prudence délibérée concernant de nombreux éléments de notre VDP. Ces éléments comprennent notamment certaines sections de la politique, telles que le champ d'application, les attentes, la reconnaissance, etc. L'objectif de cette première version de notre VDP serait simplement de comprendre dans quelle mesure nos processus internes fonctionnaient correctement, depuis la réception des signalements jusqu'à la correction des produits.

Au cours du premier mois du programme, nous n’avons reçu qu’un seul signalement. Le mois suivant, nous en avons reçu deux. Je me souviens m’être dit : « Bon, ce n’est pas si mal ». Puis, en janvier 2021, nous en avons reçu six. Heureusement, aucun d’entre eux ne correspondait à une vulnérabilité confirmée ni à un risque de sécurité significatif ; ils ont donc été soit classés, soit identifiés comme des points à améliorer à prendre en compte pour le développement futur du produit.

Nous avons de nouveau reçu six signalements en février 2021, mais cette fois-ci, l’une des vulnérabilités signalées a obtenu un score CVSS interne « critique ». Je suis fier d’annoncer que les responsables produit et les développeurs ont pu lancer le processus d’assurance qualité en 27 jours et corriger entièrement la vulnérabilité signalée en 35 jours, malgré la nature relativement complexe de celle-ci. Cette tendance en matière de délais de correction s’est maintenue tout au long de l’année 2021. Le délai moyen de correction pour l’ensemble des produits s’est établi à un chiffre impressionnant de 35,8 jours, dépassant de loin le délai standard de 90 jours en vigueur dans le secteur. Ce chiffre couvre l’ensemble du cycle de traitement de la vulnérabilité, depuis le signalement initial jusqu’à la correction complète, y compris le déploiement du correctif en production.

La tendance à l'accélération des signalements s'est poursuivie. Au deuxième trimestre, le nombre de signalements a doublé par rapport au premier trimestre, et à la fin de l'année, nous recevions un signalement ayant franchi notre processus de triage tous les 1,8 jours ouvrés. Nous avons beaucoup appris sur la manière de faire évoluer nos produits grâce à nos nouveaux processus VDP, à nos procédures internes de correction des vulnérabilités, ainsi que sur certains des défis liés à l'organisation et à la gestion d'un programme de divulgation des vulnérabilités.

Au cours des premiers mois du programme VDP, les participants envoyaient des e-mails à une boîte de réception qui déclenchait directement l’intervention de notre équipe de gestion des incidents. Nous avons très vite compris que cette approche n’était probablement pas la meilleure à long terme. Bien que toutes les signalements doivent passer par notre processus interne de triage, certains ne nécessitent pas nécessairement l’intervention de l’équipe de gestion des incidents. C’est pourquoi, en avril 2021, nous avons décidé de centraliser la réception des signalements de vulnérabilités via [email protected]. À ce stade, le programme VDP relevait encore de l’équipe Offensive Security de Datto, qui était entièrement responsable du triage, de la création des tickets, du suivi des mesures correctives et de la communication avec les participants.

Je voudrais m'arrêter un instant sur notre programme de divulgation des vulnérabilités (VDP), car un autre événement très important, et essentiel à la réussite de ce programme, se déroulait chez Datto. En 2019, plusieurs de nos ingénieurs en sécurité ont commencé à s'engager dans notre démarche « Building Security In Maturity Model » (BSIMM). 

VDP v2.0 de Datto

Aujourd'hui, j'ai le plaisir d'annoncer que Datto a officiellement lancé la version 2.0 de son programme de signalement des vulnérabilités.

Compte tenu de la croissance continue de notre programme de gestion des vulnérabilités, des capacités et des ressources accrues apportées par les « Security Champions », d’une année de données issues de notre VDP et d’une équipe dédiée à la sécurité des applications chargée d’assurer la maintenance et la gestion du programme, nous nous sommes sentis prêts à franchir une nouvelle étape.

Nous avons beaucoup appris au cours de cette première année, mais je vais me concentrer sur quelques-uns des défis que nous avons identifiés et que nous avons choisi de relever dans le cadre des prochaines étapes du VDP. Ces défis ont été sélectionnés grâce aux retours des participants avec lesquels nous avons travaillé directement, aux commentaires réguliers de diverses communautés MSP et aux observations d’autres professionnels de la sécurité. À la lumière de ces retours et de notre prise de conscience de l’importance d’améliorer le VDP en tant que service, nous avons défini trois objectifs principaux :

• Améliorer nos propres processus internes en prévision d'une expansion de notre champ d'action
• Continuer à favoriser une expérience positive et collaborative pour les participants au programme et les produits Datto
• Améliorer la souplesse et la transparence du programme

Améliorer nos processus internes

Défi : Comment mieux suivre et organiser les informations divulguées ?

Enseignements tirés

• Le passage à [email protected] a permis de centraliser la gestion des participants au programme, ce qui a amélioré le suivi et la communication.
• Le suivi des informations à publier à l'aide d'un tableur n'était pas viable à long terme.

Solution

• Nous avons mis en place un processus automatisé, spécialement adapté au VDP, afin de suivre les indicateurs et l'état d'avancement des mesures correctives, et d'améliorer la communication avec les participants.
• Nous nous engageons à respecter un accord de niveau de service (SLA) en matière de communication et automatisons nos processus de suivi afin d'atteindre ces objectifs.

Continuer à favoriser une expérience positive et collaborative pour les participants au programme et les produits Datto

Défi : Comment réduire l'ambiguïté et la subjectivité liées à la définition d'une divulgation valide ?

Enseignements tirés

• Notre politique relative au programme VDP n'a pas permis aux participants de comprendre le système de notation de gravité utilisé par Datto pour traiter la correction des vulnérabilités.
• Nos directives relatives à la politique VDP manquaient de précision quant à ce qui constitue une divulgation pertinente et valable.

Solution

• Nous avons mis à jour notre politique relative au VDP afin d'y inclure des recommandations claires sur ce qui relève ou non de son champ d'application.
• Nous avons mis à jour la formulation concernant ce qui constitue une divulgation acceptable.

Défi : Comment améliorer la communication entre Datto et les participants ?

Enseignements tirés

• Les participants pourraient avoir l'impression que le rythme des communications manque de cohérence.
• Parfois, nous communiquions quotidiennement ; d'autres fois, les mises à jour n'avaient lieu qu'une fois par mois, voire une fois tous les deux mois.
• Les chercheurs en sécurité préféreraient travailler directement avec Datto plutôt qu'avec un tiers ou une plateforme participative.
• La version 1.0 du programme VDP offrait la possibilité de remporter des primes comprises entre 20 et 2 000 dollars américains, le montant moyen des primes s'élevant à environ 210 dollars. Le manque de transparence concernant la fourchette des primes potentielles ainsi que les critères de détermination du montant versé constituait un sujet de mécontentement récurrent chez les participants.

Solution

• Nous avons mis à jour notre politique relative au programme VDP afin de mieux définir ce que les participants au programme peuvent attendre de Datto. Cela inclut les attentes en matière de communication, qui reposent désormais sur le niveau de gravité interne attribué aux signalements valides. Notre objectif est de garantir à tout moment une communication bidirectionnelle prévisible et réactive.
• Nous avons mis à jour notre politique relative au programme VDP afin de mieux définir ce que nous (Datto) attendons des participants pour garantir un tri rapide des signalements.
• Nous avons mis à jour les récompenses de notre programme VDP afin d'y inclure une nouvelle fourchette de montants allant de 101 à 10 101 dollars américains.
• Nous avons renforcé la transparence du processus de décision concernant l'attribution des primes. Nous reconnaissons toutefois qu'il nous reste encore du chemin à parcourir dans ce domaine.

Améliorer la souplesse et la transparence du programme

L'amélioration de la flexibilité et de la transparence du programme découle naturellement de la poursuite de nos deux premiers objectifs. Cela vaut tout particulièrement pour notre deuxième objectif : « continuer à favoriser une expérience positive et collaborative pour les participants au programme et les produits Datto ». Pour y parvenir, nous devons faire preuve d’un certain degré de transparence et d’honnêteté. Cela aide les participants à nous fournir des rapports de grande qualité et à comprendre ce qu’ils peuvent attendre de nous lorsqu’ils participent au programme. Notre premier objectif, « améliorer nos propres processus internes en prévision d’une expansion de la portée du programme », nous aide à garantir un niveau de transparence et de cohérence en veillant à ce que ces processus internes répondent aux besoins de nos produits, des participants et d’AppSec dans son ensemble.

Défi : Comment répondre au besoin croissant de transparence concernant nos activités en matière de sécurité et notre programme de protection des données (VDP) ?

Enseignements tirés

• Certains participants et membres de la communauté ont interprété la formulation initiale du VDP comme restrictive quant à leur capacité à diffuser publiquement leurs travaux. En réalité, nous n’avons encore jamais empêché un chercheur de divulguer ses résultats. Il peut être difficile de satisfaire tout le monde, surtout lorsque les personnes concernées ne respectent pas la procédure. Nous estimons toutefois qu’il est possible d’adapter notre formulation et de nous efforcer de corriger ces problèmes de perception afin de mieux refléter la réalité vécue par les chercheurs qui ont travaillé avec nous.

Solution

• Nous avons mis à jour le VDP en y ajoutant des précisions, notamment la phrase suivante : « Conformément à notre engagement en faveur de la collaboration et de la transparence, l'équipe chargée de la sécurité de l'information chez Datto ne refusera pas d'approuver la divulgation d'informations, sauf si Datto estime, de bonne foi, que la confidentialité est nécessaire pour éviter un préjudice grave. »

Le VDP revisité et au-delà

Pourquoi avons-nous choisi de mettre à jour le programme existant plutôt que de passer à un programme tiers ? Dans le cadre des travaux de mise à jour du VDP, nous avons souhaité cerner les besoins de nos partenaires et de la communauté au sens large. Nous avons également cherché à évaluer les conséquences du choix d’un prestataire tiers pour développer notre VDP et notre BBP, par rapport à la poursuite de la gestion de nos propres programmes.

En discutant avec certains de ces prestataires tiers, il est apparu de plus en plus clairement que bon nombre des entreprises qui choisissaient de faire appel à eux le faisaient potentiellement en raison d’un manque de processus et de capacités internes. Un prestataire en particulier nous a conseillé de développer notre VDP existant plutôt que d’utiliser sa plateforme. Nos propres recherches ont abouti à des conclusions similaires : le simple fait qu’une entreprise fasse appel à un prestataire tiers pour son VDP ou son BBP ne signifiait pas pour autant qu’elle réagissait en temps opportun aux divulgations, ni qu’elle s’engageait à prendre des mesures correctives ou à communiquer.

Après avoir analysé les données recueillies sur une année, nous étions convaincus que nous disposions déjà des moyens nécessaires pour traiter les signalements et verser les primes, tout en améliorant l'expérience globale des utilisateurs, sans avoir recours à une plateforme tierce courante. Nous prévoyons d'apporter des améliorations continues au programme en plusieurs phases, qui se traduiront par des optimisations progressives et des changements majeurs, tous délibérément conçus pour offrir davantage de flexibilité, de visibilité et de transparence aux participants.

Cette mise à jour n’est que la première étape de l’évolution de notre programme VDP, dans le cadre de nos efforts visant à offrir une expérience hors pair aux participants et, à terme, à renforcer la sécurité applicative de nos produits et services. Chez Datto, nous sommes convaincus que la sécurité est un travail d’équipe et qu’elle relève de la responsabilité de chacun. Nous nous efforçons de continuer à développer cette culture tant en interne qu’en externe. Je suis extrêmement fier du travail que nous avons accompli au cours des deux dernières années et j’ai hâte de vous faire part, lors de prochaines communications, des progrès que nous avons réalisés.