Version 2 (April 202
TLP:CLEAR

Projet: PREMIER Code d'éthique et dedéontologie
Les membres des équipes d'intervention et de sécurité en cas d'incident (ci-après désignées sousle terme "Équipes") ont accès à de nombreux systèmes et sources d'information numériques.
Leurs actions peuvent changer la donne à l'échelle mondiale. En tant que membre de cetteprofession, un membre d'Équipe se doit d'assumer ses responsabilités à l'égard des parties
prenantes internes, des autres professionnels de la sécurité et de la société au sens large. Il doitêtre également responsable vis-à-vis de son propre bien-être.
Le présent Code entend inspirer et guider le comportement éthique de tous les membresd'Équipes, y compris les praticiens, les instructeurs, les étudiants et les inﬂuenceurs actuels ou
futurs, ainsi que tous ceux qui utilisent la technologie informatique pour générer un impact. LeCode énonce des principes formulés sous forme de déclarations de responsabilité qui reposent
sur le postulat que le bien public est toujours la considération principale. Chaque principes'accompagne de directives qui fournissent des explications aux informaticiens pour les aider à
mieux comprendre et appliquer le principe en question.
Les responsabilités sont présentées ci-après, sans toutefois être classées par ordre d'importance.
Elles ne doivent pas être considérées comme des exigences absolues, mais plutôt comme despréconisations ou recommandations au titre de la norme IETF RFC2119:"il peut y avoir des raisons valables dans des circonstances particulières de ne pas tenir
compte de l'énoncé considéré, mais il convient cependant de bien mesurer et examiner
toutes les implications d'un tel choix."
Pour de plus amples informations sur la manière de gérer les éventuels dilemmes, se reporter àl'Annexe A.

Devoir de fiabilité
La conﬁance est à la base de nombreuses relations entre les Équipes. Elle est souvent requiseavant de pouvoir procéder à des échanges importants d'informations. La communauté FIRST est
bâtie sur la conﬁance et pourra continuer à opérer ainsi uniquement s'il existe un niveau deconﬁance raisonnable entre les Équipes.
La ﬁabilité signiﬁe que les membres d'Équipes devraient uniquement: 1) prendre desengagements qu'ils peuvent tenir; 2) adopter un comportement prévisible vis-à-vis des autres
membres d'Équipes (par exemple, respecter la norme TLP); et 3) préserver la relation deconﬁance qu'ils entretiennent avec les autres membres d'Équipes.

Projet: PREMIER Code d'éthique et de déontologie t
https://www.ﬁrst.org
1 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR
La relation de conﬁance devrait être implicite et initialement transitive, c'est-à-dire instaurée dès
le premier contact (Trust on First Use – TOFU), et les Équipes bénéﬁciant de la conﬁance d'autres
Équipes devraient être automatiquement considérées comme dignes de conﬁance.

Devoir de divulgation coordonnée des vulnérabilités
Les membres d'Équipes apprenant l'existence d'une vulnérabilité, devraient respecter lesprincipes de divulgation coordonnée des vulnérabilités en coopérant avec les parties prenantes
pour remédier à la faille de sécurité et minimiser les préjudices liés à la divulgation. Les parties
prenantes peuvent inclure, sans toutefois s'y limiter, la personne signalant la vulnérabilité, le ou
les fournisseurs aﬀectés, les coordonnateurs, les défenseurs, et les clients, partenaires etutilisateurs en aval.
Les membres d'Équipes devraient collaborer avec les parties prenantes compétentes pourconvenir d'échéances et d'attentes claires relatives à la divulgation de l'information, tout enfournissant suﬃsamment de détails pour permettre aux utilisateurs d'évaluer les risques etprendre des mesures défensives réalistes.

Devoir de confidentialité
Les membres d'Équipes ont la responsabilité de respecter la conﬁdentialité lorsque la situation
l'exige. La demande de conﬁdentialité concernant certaines informations peut être formulée demanière explicite, par exemple, par le biais du Traﬃc Light Protocol (TLP ou Protocole par feux designalisation). Les membres d'Équipes doivent respecter ce type de demande dans la mesure dupossible. S'il est impossible de préserver la conﬁdentialité d'une information, en raison,
notamment, de conﬂits avec les lois locales, les exigences contractuelles ou le devoir d'informer,
les membres d'Équipes devraient informer immédiatement le propriétaire de l'information de ce
conﬂit.
Certains devoirs de conﬁdentialité s'appuient sur des lois, des règlements ou le droit coutumier.
Si, au cours d'une intervention en cas d'incident, certaines parties sont tenues ou concernées parle devoir de conﬁdentialité en raison de telles considérations, elles doivent s'atteler à faireconnaître explicitement ces attentes de façon anticipée. Toutes les parties doivent alors répondreà cette attente en honorant, dans la mesure du possible, la demande explicite de préserver laconﬁdentialité de l'information.

Devoir de confirmation de reception
Les Équipes reçoivent des informations de nombreuses sources distinctes, à savoir deschercheurs, des clients, d'autres Équipes, des entités gouvernementales, etc. Les membresd'Équipes devraient répondre aux demandes en temps voulu, même s'ils ne font qu'accuserréception de la requête dans un premier temps. Le cas échéant, les membres d'Équipes
devraient se ﬁxer des objectifs de délai avant la prochaine réponse.

Devoir d'autorisation
Les membres d'Équipes ont le droit (et un besoin légitime) de connaître leurs domaines deresponsabilité, aﬁn d'agir uniquement dans le cadre des systèmes pour lesquels ils bénéﬁcientd'une autorisation d'accès. Les membres d'Équipes doivent prendre conscience de l'impact deProjet: PREMIER Code d'éthique et de déontologie
https://www.ﬁrst.org
2 of 6TLP:CLEAR

Version 1.1

TLP:CLEAR
leurs actions sur les parties prenantes et s'assurer qu'ils ne causent pas de dommage
supplémentaire en exécutant leurs fonctions. Les conséquences éventuelles de ces actions
devraient être expliquées aux parties prenantes concernées. Dans la mesure du possible, lesparties prenantes devraient être consultées avant que des modiﬁcations soient apportées à leurssystèmes.

Devoir d'informer
Les membres d'Équipes devraient considérer qu'il est de leur devoir d'informer les parties
prenantes des menaces et des risques de sécurité en cours. Lorsque les membres d'Équipes ont
en leur possession des informations pouvant mettre à mal ou, au contraire améliorer, la sûretéet la sécurité, ils ont le devoir d'informer les parties prenantes concernées, ou d'autresintervenants d'appui, tout en tenant dûment compte des règles de conﬁdentialité, des lois etréglementations sur la protection de la vie privée et d'autres obligations.

Devoir de respecter les droits humains
Les membres d'Équipes devraient être conscients que leurs actions peuvent entraver les droits
fondamentaux de certaines personnes, du fait du partage d'informations, des éventuels préjugés
guidant leurs actions ou de la violation des droits de propriété. Les membres d'Équipes ont accès
à un large éventail d'informations personnelles, sensibles et conﬁdentielles au cours dutraitement des incidents. Ces informations doivent être traitées de manière à respecter les droits
humains.
Au cours du traitement des incidents, les responsables de la riposte ne devraient pas agir defaçon biaisée et devraient s'atteler à éliminer tout parti pris de leurs processus et de leur prise dedécisions, que le traitement soit le fait des intervenants ou de certains algorithmes intégrés.
Dans le cadre de ce principe, la notion de "propriété" (Déclaration universelle des droits del'homme: article 17) englobe les actifs incorporels, tels que la propriété intellectuelle, ainsi que
les idées et concepts en général, qu'ils soient légalement protégés (par exemple, brevetés) ounon.

Devoir de veiller à la santé de l'équipeLes Équipes ont la responsabilité de poursuivre la prestation des services en honorant leursengagements auprès des parties prenantes. La responsabilité englobe par là même lapréservation de la santé physique et émotionnelle de l'Équipe.
Aﬁn de respecter les membres qui composent l'Équipe et de maintenir un niveau de service
adéquat sur le long terme, une Équipe doit s'eﬀorcer de maintenir un environnement de travailsain, sûr et positif qui soutienne la santé physique et émotionnelle de (tous) ses membres. Pourrépondre à une situation de crise, les opérations "normales" devraient prendre en charge lasanté émotionnelle et diminuer le niveau de stress.

Devoir de renforcer les capacités de l'équipe
La gestion des incidents est un sujet en perpétuelle évolution que les membres d'Équipes
devraient étudier continuellement. Une Équipe devrait fournir à ses membres des ressources
Projet: PREMIER Code d'éthique et de déontologie
https://www.ﬁrst.org
3 of 6TLP:CLEAR

Version 1.1

TLP:CLEAR
leur permettant d'acquérir des connaissances technologiques et scientiﬁques dans leur(s)domaine(s) de responsabilité, de les appliquer et de les approfondir. Les crédits de formation
CPE/CEU peuvent faciliter cette mise à niveau; de simples exercices de conformité ne sont, quantà eux, pas suﬃsants pour honorer cette responsabilité. Une Équipe devrait maintenir desinfrastructures technologiques suﬃsantes pour soutenir ses services, et prendre des mesuresadéquates pour protéger ces infrastructures de l'ingérence de parties extérieures.

Devoir de promouvoir une collecte des données responsible
La collecte de données est nécessaire à l'intervention en cas d'incident, mais un équilibre doitêtre trouvé entre l'objectif de l'intervention en cas d'incident et le respect des données desparties prenantes.
Lors d'une investigation, la quantité d'informations devant être collectées est susceptible devarier. Au cours de l'intervention en cas d'incident, les membres d'Équipes devraient adapter lesdonnées collectées à l'évolution des besoins.
Les données n'étant pas directement pertinentes pour l'événement en question ou sa résolution
devraient ne pas être prises en compte dans les rapports.
Les données collectées et extraites doivent être traitées dans le respect des lois en vigueur et dela vie privée des utilisateurs. Une permission devrait être obtenue avant de collecter et traiter desdonnées sous la supervision d'un propriétaire des données. Les lois et réglementations envigueur concernant le traitement des données devraient être respectées.
Les données pouvant aider d'autres Équipes d'intervention aﬀectées à d'autres incidents
devraient leur être transmises, de préférence dans une version expurgée. Les informations
conﬁdentielles et propriétaires ne devraient être transmises qu'une fois dûment protégées.
Avant de partager des données avec des tiers dans un but d'atténuation, les risques devraientêtre évalués par rapport aux bénéﬁces. Les données devraient être partagées uniquement
lorsque les bénéﬁces l'emportent nettement sur les risques. Les données sensibles devraientêtre stockées de manière à pouvoir les supprimer facilement après la clôture d'un incident. Lesdonnées collectées devraient être supprimées en toute sécurité, conformément aux politiquesde conservation des données.

Projet: PREMIER Code d'éthique et de déontologie
https://www.ﬁrst.org
4 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR

Devoir de reconnaissance des frontières juridictionnelles
Les membres d'Équipes devraient reconnaître et respecter les frontières juridictionnelles, lesdroits légaux, les règlements et les autorités compétentes régissant les missions des parties
impliquées dans les activités relatives à l'intervention en cas d'incident.
Les lois, réglementations et autres mécanismes légaux, tels que ceux relatifs à la protection de lavie privée ou aux notiﬁcations en cas de violation des données, peuvent varier entre lesdiﬀérentes juridictions impliquées. Des frontières juridictionnelles peuvent donc êtresubordonnées à la zone géographique des parties impliquées, telles que leur pays ou leurdomicile, ainsi qu'à d'autres facteurs. Même au sein d'un même pays, les lois et réglementations
peuvent diﬀérer d'une circonscription à une autre (par exemple, entre les diﬀérents États desÉtats-Unis) ou selon les entreprises, secteurs ou sous-secteurs nationaux (par exemple, soins desanté, services ﬁnanciers, équipements publics). Il est possible que les équipes d'intervention encas d'incident informatique (CSIRT) nationales aient déﬁni des responsabilités ou désigné desautorités pour les activités impliquant des parties prenantes dans leur propre juridiction, etqu'elles aient collaboré avec d'autres entités compétentes dans les juridictions transfrontalières
ou qu'elles leur aient transmis des informations ou missions.
Les membres d'Équipes devraient être informés des principales problématiques aﬀectant lesjuridictions impliquées, y compris, sans toutefois s'y limiter, la réglementation relative à laconﬁdentialité des données ou les exigences de notiﬁcation en cas de violation des données. La
cybersécurité et les lois et réglementations sur la protection de la vie privée évoluent et sontconstamment mises à jour à l'échelle mondiale. Il est donc recommandé de consulter unconseiller juridique aguerri pour être guidé lorsque les problématiques couvrent diﬀérentes
sphères juridictionnelles.

Devoir de raisonnement fondé sur des données probantes
Les Équipes doivent appuyer leurs opérations sur des données vériﬁables. Lors du partage
d'informations, telles que des indicateurs de compromission ou des descriptions d'incident, lesmembres d'Équipes devraient fournir, en toute transparence, des données probantes et desindications sur leur portée. À défaut de pouvoir les produire, les raisons justiﬁant le non-partage
devraient être indiquées.
Les membres d'Équipes devraient s'abstenir de répandre des rumeurs. Toute donnée relevantd'une hypothèse devrait être clairement indiquée comme telle.
La transparence des données probantes et des processus de raisonnement est capitale, mêmedans le cas de partage automatisé, concernant par exemple, de larges volumes d'informations.
Dans ce cas, une description précise et intelligible du processus d'extraction des données devraitêtre fournie.

Projet: PREMIER Code d'éthique et de déontologie
https://www.ﬁrst.org
5 of 6

TLP:CLEAR

Version 1.1

TLP:CLEAR

Annexe AGestion des dilemmes
Les membres d'Équipes peuvent être régulièrement confrontés à des situations dans lesquelles
aucune action ne semble répondre à l'ensemble des principes éthiques. Dans de tels cas, unchoix doit être arrêté quant aux principes à prioriser. Les responsables de la gestion de l'incident
sont alors encouragés à identiﬁer d'une part, les parties prenantes potentiellement aﬀectées parles actions mises en œuvre et d'autre part, les circonstances dans lesquelles elles sont ainsi
aﬀectées, de préférence dans le cadre d'une discussion avec un collègue. En règle générale, lasolution limitant le plus possible l'infraction au présent Code doit être choisie. Il se peut que celasoit impossible, en raison notamment de pressions extérieures. Il est alors recommandé depoursuivre l'action, tout en mentionnant la présence d'un dilemme éthique, éventuellementcontesté.

Projet: PREMIER Code d'éthique et de déontologie
https://www.ﬁrst.org
6 of 6TLP:CLEAR