La coordination couvre le signalement, l'analyse, la remédiation ou la mitigation, la publication et les mises à jour ; c'est un processus de réduction du risque, pas une promesse de secret ni de contrôle du fournisseur sur la divulgation.
Les participants, les produits, les juridictions et l'urgence varient d'un cas à l'autre. Des canaux de signalement clairs, un accusé de réception, un traitement sûr des informations, une communication d'état, des chemins d'escalade et des critères de divulgation publique aident les parties à travailler malgré des preuves incomplètes ou des responsabilités concurrentes.
Points clés
Réception et validationCapturer des preuves reproductibles sans demander de données sensibles inutiles, accuser réception, établir un chemin de contact sûr, évaluer les versions affectées et l'impact, et identifier les autres parties concernées.
Travail de coordinationPartager assez d'informations pour l'analyse, la remédiation, la mitigation, les tests et la préparation en aval ; convenir des rôles et des dates cibles lorsque c'est possible, et revoir le plan quand le risque ou l'avancement change.
Communication publiqueLes avis doivent aider les utilisateurs à identifier les produits affectés et à entreprendre une action de protection, créditer les contributeurs lorsque c'est convenu, distinguer les corrections des contournements et fournir des références et des mises à jour durables.
Limite importanteLa CVD ne peut garantir ni un correctif, ni un consensus, ni la confidentialité, ni un calendrier particulier. Une politique de divulgation ou une déclaration de safe harbor ne s'applique que telle qu'écrite et dans son périmètre et sa juridiction ; ce n'est pas une immunité universelle contre les actions juridiques ou des tiers.