Politique de divulgation coordonnée des vulnérabilités (CVDP)

La Citadelle protège les systèmes d’information qui soutiennent les soins de ses patients et le fonctionnement de ses sites hospitaliers. Si vous découvrez une faille de sécurité touchant l’un des services numériques publics de la Citadelle, cette page précise comment la signaler, ce que la Citadelle attend de votre démarche et ce qu’elle s’engage à faire en retour.

Avertissement important

L’accès non autorisé à un système informatique, même avec de bonnes intentions, est une infraction pénale en droit belge (article 550bis du Code pénal). La loi l’interdit.

Par la présente politique, la Citadelle autorise, de manière limitée, des recherches de vulnérabilités sur certains de ses systèmes. Cette autorisation n’est valable que si vous vous êtes enregistré au préalable, que vous avez accepté les présentes conditions et reçu notre confirmation, et uniquement pour les systèmes couverts, pendant la durée prévue et dans le strict respect des conditions ci-dessous.

Cette politique ne vous accorde pas d’exonération générale de responsabilité. Toute action menée en dehors de son champ d’application, avant la confirmation de votre enregistrement ou en violation de ses conditions peut entraîner des poursuites judiciaires, à l’initiative du ministère public, de la Citadelle ou de tiers.

Pourquoi cette politique

Un hôpital traite en permanence des informations sensibles : dossiers médicaux, plannings de soins, données administratives et systèmes qui accompagnent le parcours du patient, de la prise de rendez-vous à la sortie.

Une vulnérabilité non détectée dans l’un des services informatiques de la Citadelle peut affecter la continuité des soins ou la confidentialité des données de ses patients.

Cette politique fixe le cadre dans lequel une recherche et un signalement de vulnérabilité peuvent être effectués de manière coordonnée, en protégeant la sécurité des patients et la confidentialité de leurs données.

Champ d’application

Cette politique couvre uniquement les systèmes suivants, accessibles publiquement depuis internet et exploités par la Citadelle :

• Le site institutionnel www.citadelle.be et ses sous-domaines publics
• Le portail patient et les services de prise de rendez-vous en ligne
• Les applications web destinées au grand public

Elle ne couvre pas :

• Les dispositifs médicaux, systèmes de monitoring ou tout équipement connecté directement à un patient
• Le dossier patient informatisé et les applications cliniques internes
• Les réseaux et systèmes internes non accessibles depuis internet
• Les systèmes exploités par des prestataires ou partenaires tiers, sauf accord explicite et écrit de notre part
• Les comptes et les données des autres utilisateurs, patients ou membres du personnel
• Toute installation physique des sites hospitaliers de la Citadelle

Un système qui ne figure clairement dans aucune de ces deux listes est exclu : interrogez-nous au préalable au moyen du formulaire ci-dessous avant d’entreprendre le moindre test.

Comment participer : enregistrement préalable

Avant tout test, vous devez :

• Vous enregistrer au moyen du formulaire ci-dessous en indiquant votre identité et vos coordonnées, les systèmes que vous souhaitez tester, la période envisagée et les adresses IP à partir desquelles vous effectuerez vos tests
• Accepter expressément les conditions de la présente politique en cochant la case prévue à cet effet
• Attendre notre confirmation écrite. Nous vous l’adressons dans un délai de 5 jours ouvrables, avec une référence d’enregistrement et une copie de la version de la politique que vous avez acceptée. Nous conservons la preuve de votre acceptation.

Votre autorisation est personnelle et valable 30 jours calendrier à compter de notre confirmation. Elle peut être renouvelée sur demande. Chaque personne qui effectue des tests doit s’enregistrer individuellement. La Citadelle peut refuser, suspendre ou retirer un enregistrement à tout moment, notamment pour des raisons de sécurité des patients. Vous devez alors cesser immédiatement vos tests.

Les signalements anonymes ne sont pas acceptés dans le cadre de cette politique. Si vous souhaitez rester anonyme, vous pouvez adresser votre signalement directement au Centre pour la Cybersécurité Belgique (voir « Coordination avec le CCB »). Vous ne bénéficiez alors pas de l’autorisation prévue par la présente politique.

Si vous avez découvert une vulnérabilité de manière fortuite, sans effectuer de test (par exemple lors d’une utilisation normale de nos services), vous pouvez nous la signaler au moyen du même formulaire, sans enregistrement préalable, en vous identifiant. N’effectuez aucune vérification complémentaire.

Ce qu’il faut respecter

Pendant vos tests, vous vous engagez à :

• Limiter vos actions au strict nécessaire pour démontrer l’existence de la vulnérabilité, sans aller plus loin
• Agir de bonne foi, sans intention frauduleuse ni dessein de nuire
• Ne pas consulter, copier, modifier ou supprimer des données qui ne vous appartiennent pas, et n’utiliser que vos propres comptes
• Ne jamais interagir avec un dispositif médical ou un système connecté à un patient
• Ne pas perturber la disponibilité des services de la Citadelle, en particulier ceux utilisés pour les soins : aucune attaque par déni de service ni aucun test automatisé à haut volume. Si vous constatez une dégradation d’un service, arrêtez immédiatement et prévenez-nous
• Ne pas installer de logiciel malveillant, de porte dérobée ou de mécanisme de persistance, ni modifier la configuration des systèmes
• Ne pas tenter d’obtenir des mots de passe (force brute, réutilisation d’identifiants divulgués, etc.)
• Ne pas intercepter, enregistrer ou prendre connaissance de communications qui ne vous sont pas destinées
• Ne pas utiliser un système de la Citadelle pour accéder à d’autres systèmes, de la Citadelle ou de tiers
• Ne pas recourir à l’ingénierie sociale, à l’hameçonnage ou à toute manipulation visant le personnel et les patients de la Citadelle, ainsi que leurs proches
• Ne pas tenter d’accéder physiquement à nos bâtiments, salles techniques ou équipements
• Préserver la confidentialité de toute information relative à la vulnérabilité et ne la communiquer à aucun tiers, à l’exception du CCB
• Ne demander aucune contrepartie en échange de votre signalement

Comment signaler une vulnérabilité

Signalez toute vulnérabilité au moyen du formulaire ci-dessous, en deux temps :

• Sans délai et au plus tard 24 heures après sa découverte : une notification simplifiée identifiant le système concerné et décrivant la vulnérabilité potentielle
• Au plus tard 72 heures après sa découverte : un rapport complet

Le rapport complet précise :

• Votre référence d’enregistrement
• Le système concerné, son adresse URL ou IP et l’endroit précis où vous avez identifié le problème
• Le type de vulnérabilité et les étapes permettant de la reproduire
• La date et l’heure de vos tests, les adresses IP utilisées et les outils employés
• L’impact que vous estimez possible
• Les éléments de preuve, à l’exclusion de toute donnée à caractère personnel
• Le cas échéant, les autres organisations auxquelles vous avez signalé ce problème

Conformément à l’article 23 de la loi du 26 avril 2024 (loi NIS2), vous devez également notifier la vulnérabilité au CCB dans les mêmes délais (voir « Coordination avec le CCB »).

N’envoyez aucune donnée à caractère personnel. Si un échange de fichiers sensibles s’avère nécessaire, nous vous indiquerons un canal sécurisé.

Données à caractère personnel et données de santé

La Citadelle traite des données de santé, une catégorie particulière de données au sens du RGPD. Il est strictement interdit de consulter intentionnellement des données à caractère personnel, en particulier des données de santé (dossiers, résultats, rendez-vous, identité de patients ou de membres du personnel).

Si votre démarche vous conduit, même par accident, à accéder à de telles données :

• Arrêtez immédiatement toute action
• Ne les consultez pas davantage, ne les copiez pas et ne réalisez aucune capture d’écran
• Informez-nous sans délai au moyen du formulaire ci-dessous, au plus tard dans les 24 heures
• Supprimez toute donnée éventuellement obtenue et confirmez-nous cette suppression par écrit

La Citadelle doit, le cas échéant, notifier une violation de données à l’Autorité de protection des données au plus tard 72 heures après en avoir pris connaissance et un incident significatif au CCB dans les 24 heures. C’est pourquoi votre signalement immédiat est indispensable. Ces notifications relèvent exclusivement de la Citadelle : vous ne devez notifier vous-même ni l’Autorité de protection des données, ni les personnes concernées, ni aucun tiers.

Pour tout traitement de données à caractère personnel, même fortuit, effectué dans le cadre de vos tests, vous vous engagez à :

• Ne traiter ces données que dans la mesure strictement nécessaire à la détection de la vulnérabilité, conformément à la présente politique, et à aucune autre fin
• En garantir la confidentialité, ne les communiquer à aucun tiers et ne faire intervenir aucune autre personne dans leur traitement
• Les protéger par des mesures de sécurité appropriées, notamment le chiffrement, tant qu’elles sont en votre possession
• Nous informer sans délai de toute violation de données dont vous avez connaissance
• Nous assister, dans la mesure du possible, dans le respect de nos obligations et nous fournir, sur demande, les informations nécessaires pour démontrer le respect de ces engagements
• Supprimer toutes ces données, ainsi que leurs copies, au plus tard à la fin de votre participation

Nos engagements envers vous

Lorsque vous respectez les conditions de la présente politique, la Citadelle s’engage à :

• Accuser réception de votre signalement dans un délai de 5 jours ouvrables
• Vous tenir informé de l’avancement de son traitement aux étapes importantes
• Évaluer et traiter chaque vulnérabilité en fonction de sa gravité, de son niveau de risque et de son impact potentiel, notamment sur la continuité et la sécurité des soins ainsi que sur la confidentialité, l’intégrité et la disponibilité des données
• Viser une correction des vulnérabilités confirmées dans un délai de 90 jours calendrier à compter de votre rapport complet, délai réduit en cas de risque pour les patients ou pour leurs données
• Traiter votre identité de manière confidentielle et ne pas la communiquer à des tiers sans votre accord, sauf au CCB ou lorsque la loi l’impose
• Ne pas déposer plainte ni introduire d’action civile à votre encontre si vous avez respecté de bonne foi l’ensemble des conditions de la présente politique. Cet engagement ne lie ni le ministère public ni les tiers.

Divulgation publique

Ne divulguez publiquement aucune information relative à une vulnérabilité sans l’accord écrit préalable de la Citadelle et du CCB. Une éventuelle divulgation intervient après la correction de la vulnérabilité, selon des modalités et à une date convenue avec vous.

Si la vulnérabilité n’a pas pu être corrigée dans un délai de 90 jours calendrier après votre rapport complet, nous nous concerterons avec vous et avec le CCB sur la suite à donner.

Si vous rencontrez des difficultés pour nous contacter ou obtenir une réponse, le CCB peut intervenir en qualité de coordinateur (voir « Coordination avec le CCB »).

Absence de récompense

Aucune récompense, financière ou autre, n’est accordée pour les signalements effectués dans le cadre de cette politique, et aucune contrepartie ne peut être exigée. Toute demande de contrepartie est contraire à la présente politique.

Si la Citadelle décidait à l’avenir de mettre en place un programme de récompense, celui-ci ferait l’objet de conditions distinctes, publiées séparément, et ne s’appliquerait pas rétroactivement.

Coordination avec le CCB

Le Centre pour la Cybersécurité Belgique (CCB) est le CSIRT national et le coordinateur belge en matière de divulgation coordonnée des vulnérabilités. La procédure et les formulaires de notification simplifiée et complète sont disponibles sur sa page « Signalement des vulnérabilités au CCB ». Les notifications sont adressées à Cliquez pour voir l’email.

Vous pouvez également contacter le CCB si vous estimez qu’une vulnérabilité affecte plusieurs organisations, si vous souhaitez effectuer un signalement anonyme ou si vous rencontrez des difficultés dans vos échanges avec la Citadelle.

Protection de vos données personnelles

La Citadelle traite les données que vous lui communiquez (identité, coordonnées, adresses IP, preuve de votre acceptation et contenu de vos signalements) afin de gérer votre enregistrement et vos signalements, de prouver votre acceptation des conditions et de respecter ses obligations légales en matière de cybersécurité. Ce traitement est nécessaire à l’exécution des conditions de la présente politique, que vous acceptez, et au respect de nos obligations légales.

Ces données sont accessibles uniquement aux personnes chargées du traitement des signalements, au délégué à la protection des données et, si nécessaire, au service juridique, au CCB et aux autorités compétentes. Elles sont conservées pendant 5 ans après la clôture de votre dernier signalement ou, à défaut, après l’expiration de votre autorisation.

Vous pouvez exercer vos droits (accès, rectification, effacement, limitation, opposition) et contacter notre délégué à la protection des données selon les modalités décrites dans notre politique de protection de la vie privée. Vous avez également le droit d’introduire une réclamation auprès de l’Autorité de protection des données.

Mise à jour

Cette politique est revue au moins une fois par an. La version applicable à votre participation est celle que vous avez acceptée lors de votre enregistrement, pour la durée de votre autorisation. Toute nouvelle version s’applique aux enregistrements et renouvellements effectués après sa publication.