الإفصاح المنسّق عن الثغرات لدى Fox-IT

في Fox-IT، نعتبر أمن أنظمتنا وشبكتنا ومنتجاتنا في غاية الأهمية. ورغم العناية الكبيرة التي نوليها للأمن، قد تبقى نقاط ضعف. فإذا وجدت نقطة ضعف كهذه، فنود أن نسمع بها في أقرب وقت ممكن لنتمكن من اتخاذ الإجراءات المناسبة بأسرع ما يمكن.

يمكن اكتشاف نقاط الضعف بطريقتين: قد تصادف شيئاً بالمصادفة أثناء الاستخدام العادي لبيئة رقمية، أو قد تبذل جهدك صراحةً للعثور عليها.

سياسة الإفصاح المسؤول لدينا ليست دعوة إلى فحص شبكة أعمالنا بنشاط لاكتشاف نقاط الضعف. فنحن نراقب شبكة أعمالنا بأنفسنا. وهذا يعني أن هناك احتمالاً كبيراً أن يُكتشف الفحص، وأن يُجري مركز عمليات الأمان (SOC) لدينا تحقيقاً، مما قد يؤدي إلى تكاليف غير ضرورية. ومع ذلك، ندعوك إلى البحث بنشاط عن الثغرات في منتجاتنا في بيئة غير إنتاجية ومنفصلة عن الإنترنت وإلى إبلاغنا بنتائجك. إن مسؤوليتنا تجاه عملائنا تعني أن نيتنا ليست تشجيع محاولات الاختراق لبنيتهم التحتية؛ ومع ذلك نود أن نسمع منك في أسرع وقت ممكن إذا وُجدت ثغرات، حتى نتمكن من حلها على نحو ملائم.

نود العمل معك لنتمكن من حماية عملائنا وأنظمتنا بشكل أفضل.

نطلب منك أن:

• ترسل نتائجك بالبريد الإلكتروني في أسرع وقت ممكن إلى security-alert@fox-it.com.

• لا تسيء استخدام الثغرة؛ مثلاً بتنزيل البيانات أو تحريرها أو حذفها. سنأخذ تقريرك دائماً على محمل الجد ونحقق في أي اشتباه بوجود ثغرة، حتى دون دليل.

• لا تشارك المشكلة مع الآخرين إلى أن تُحل.

• لا تستخدم هجمات على الأمن المادي، أو الهندسة الاجتماعية، أو أدوات القرصنة مثل ماسحات الثغرات.

• تقدّم معلومات كافية لإعادة إنتاج المشكلة حتى نتمكن من حلها في أسرع وقت ممكن. عادةً يكفي عنوان IP أو عنوان URL للنظام المتأثر ووصف للثغرة، مع أنه قد تلزم معلومات أكثر للثغرات الأكثر تعقيداً.

ما نعدك به:

• سنرد على تقريرك خلال ثلاثة أيام عمل، بتقييمنا للتقرير وتاريخ الحل المتوقع.

• سنتعامل مع تقريرك بسرية، ولن نشارك معلوماتك الشخصية مع أطراف ثالثة دون إذنك. ويُستثنى من ذلك الشرطة والقضاء في حالة الملاحقة القضائية أو إذا طُلبت المعلومات.

• سنبقيك على اطلاع بتقدم حل المشكلة.

• في التواصل بشأن المشكلة المُبلَّغ عنها، سنذكر اسمك بوصفك الطرف الذي اكتشف المشكلة، إذا رغبت في ذلك.

• للأسف لا يمكن ضمان ألا تُتخذ إجراءات قانونية ضدك مسبقاً. نأمل أن نتمكن من النظر في كل حالة على حدة. ونعتبر أنفسنا ملزمين أخلاقياً بالإبلاغ عنك إذا اشتبهنا في أن نقطة الضعف أو البيانات يُساء استخدامها، أو أنك شاركت المعرفة بنقطة الضعف مع الآخرين. ويمكنك أن تطمئن إلى أن اكتشافاً عرضياً في بيئتنا على الإنترنت لن يؤدي إلى ملاحقة قضائية.

• شكراً لمساعدتك، نقدّم مكافأة عن كل تقرير بمشكلة أمنية غير معروفة لدينا. ونحدد قيمة المكافأة على أساس خطورة الاختراق وجودة التقرير.

نسعى إلى حل جميع المشكلات في أسرع وقت ممكن، وإبقاء جميع الأطراف المعنية على اطلاع، ونود المشاركة في أي نشر حول المشكلة بعد حلها.

مثال: Bits of Freedom

يتزايد اعتمادنا على البنية التحتية الرقمية باستمرار. وينطبق هذا على المجتمع ككل، لكنه ينطبق علينا نحن أيضاً. ولذلك نرى أنه ينبغي للحكومات والمنظمات (بما فيها منظمتنا) أن تلتزم التزاماً قوياً بتأمين بنيتنا التحتية الرقمية. ندرك أنه رغم أفضل نوايانا وأقصى عنايتنا قد توجد ثغرات في أنظمتنا. فإذا صادفت إحدى نقاط الضعف هذه، فسنسعد بسماع ذلك منك لنتمكن من حل المشكلة.

ما نتوقعه منك

• عند فحص أحد أنظمتنا، ضع في اعتبارك تناسب الهجوم. لا حاجة إلى إثبات أنه عندما تعرّض موقعنا لأكبر هجوم DDoS في تاريخ الإنترنت قد يصبح الموقع غير متاح. نحن نعرف ذلك. كما ندرك أنك إذا قدت جرّافة إلى مكتبنا فستتمكن غالباً من خطف أحد حواسيبنا المحمولة.

• ينطبق مبدأ التناسب هذا أيضاً عند إظهار الثغرة نفسها. يجب ألا تفحص أو تعدّل بيانات أكثر مما هو ضروري تماماً لتأكيد صحة اكتشافك. فمثلاً، إذا كان بإمكانك تعديل صفحتنا الرئيسية، فأضف إليها كلمة واحدة غير مثيرة للجدل بدلاً من الاستيلاء على الصفحة كلها. وإذا استطعت الوصول إلى قاعدة بيانات، فيكفي أن تُرينا قائمة الجداول الموجودة فيها، أو ربما أول سجل في أحد هذه الجداول.

• ينبغي الإبلاغ عن الثغرة في أحد أنظمتنا في أقرب وقت ممكن بإرسال بريد إلكتروني إلى security@bof.nl. ويُفضَّل أن تشفّر رسالتك باستخدام OpenPGP. يرجى تقديم معلومات كافية لنتمكن من إعادة إنتاج المشكلة والتحقيق فيها.

• مفتاح OpenPGP العام لـ security@bof.nl

• لن تشارك معرفتك بالثغرة مع أطراف أخرى ما دمنا لم نعالج المشكلة وما زلنا ضمن إطار زمني معقول منذ أبلغت عنها.

• ستحذف جميع المعلومات السرية التي حصلت عليها أثناء تحقيقك فور أن نحل الثغرة.

ما يمكنك توقعه منا

• سنرد على تقريرك خلال ثلاثة أيام بشكل مفصل. وسنضمّنه تقديراً للوقت الذي سنحتاجه لمعالجة المشكلة. وبالطبع سنبقيك على اطلاع منتظم بتقدمنا.

• سنحل الثغرة في أقرب وقت ممكن. وهنا أيضاً التناسب مهم: فالوقت اللازم لإصلاح ثغرة يعتمد على عدة عوامل، منها خطورة المسألة المعنية وتعقيدها.

• عندما تتبع الإرشادات الموضحة هنا، لن نتخذ إجراءً قانونياً ضدك فيما يتعلق بتقريرك.

• من المهم لنا أن ننسب إليك الفضل فيما فعلت - إن رغبت. وسنذكر اسمك في أي منشور بشأن الثغرة فقط إذا وافقت على ذلك.

• شكراً لك على مساعدتنا في حماية أنظمتنا بشكل أفضل، نود أن نكافئ كل تقرير بثغرة لم نكن نعرفها في ذلك الوقت. وستعتمد المكافأة على خطورة الثغرة وجودة التقرير.

إذا وجدت ثغرة في برمجيات طرف ثالث نستخدمها وكانت تلك الثغرة مشمولة ببرنامج مكافآت أخطاء، فلن نحاول المطالبة بهذه المكافأة؛ بل ينبغي لك أنت أن تفعل.