NCSC.nl

1. مقدمة

يتجه المجتمع نحو الرقمنة بشكل متزايد. وفي أيامنا هذه تنطوي جميع العمليات تقريباً على استخدام الحواسيب في مرحلة ما، من الهواتف المحمولة إلى البرمجيات المتخصصة. ورغم أن هذا التطور يخلق فرصاً جديدة كثيرة، فإن الثغرات في أنظمة تقنية المعلومات قد يكون لها أثر كبير. ولذلك ينبغي التعامل بفعالية مع المعرفة المتعلقة بهذه الثغرات.

في بداية عام 2013 بدأ عدد من المنظمات بنشر سياسات حول كيفية الإبلاغ عن الثغرات. وبعد التشاور مع هذه الأطراف، لخّص المركز الوطني للأمن السيبراني (National Cyber Security Centre، NCSC) هذه التطورات في صورة «إرشادات لتحقيق ممارسة الإفصاح المسؤول» («Leidraad om te komen tot een praktijk van Responsible Disclosure»؛ «الإرشادات»). وتشير الشركات من خلال هذه السياسة إلى أنها منفتحة على تلقي تقارير الثغرات الخارجية، وتصف شروطها المسبقة وتقدّم تعهدات. وقد وفّرت هذه العملية الوضوح وبيئة آمنة نوعاً ما للأطراف المبلِّغة للتحقيق في الثغرات والإبلاغ عنها دون ارتكاب جريمة بشكل مباشر. وفي الاجتماع الرفيع المستوى للاتحاد الأوروبي حول الأمن السيبراني عام 2016، أكدت 29 منظمة من جديد أهمية وجود سياسة للتعامل مع الثغرات بتوقيعها على بيان الإفصاح المنسّق عن الثغرات¹ الذي بادرت إليه منصة CIO Platform Netherlands ومصرف Rabobank بالتعاون مع NCSC.

لقد ثبتت أهمية الإفصاح المنسّق عن الثغرات (Coordinated Vulnerability Disclosure، CVD) الكبيرة للأطراف العامة والخاصة. فهي تعتمد اعتماداً كبيراً على سير أنظمة المعلومات دون انقطاع في الممارسة اليومية. وقد ساعدت التقارير عن الثغرات في أنظمتها خلال السنوات الأخيرة في تحسين أمن الأنظمة واستمراريتها، من جهة بمعالجة الثغرات ومن جهة أخرى بالإسهام في الوعي العام لدى الشركات الهولندية بأمن تقنية المعلومات.

وقد اتضح في السنوات الأخيرة أن الأطراف المبلِّغة مستعدة للعمل ضمن شروط سياسة CVD التي تضعها المنظمات. وتقدّم الأطراف المبلِّغة التقارير إلى المنظمات بشكل مباشر أو غير مباشر. وقد أظهرت ممارسة الإفصاح المسؤول أن الأطراف المبلِّغة حسنة النية والمنظمات المعرّضة للثغرات تمكنت من التعاون، وبالتالي اتخاذ الخطوة التالية نحو زيادة أمن أنظمة الشبكات والمعلومات.

ولهذه المراجعة تحدثنا مرة أخرى مع مجموعة واسعة ومتنوعة من الأطراف المبلِّغة والأطراف الخاصة والعامة، وكذلك مع النيابة العامة والشرطة الوطنية. وقد أكدت هذه المحادثات الممارسة الحالية، وأدت إلى إضافات وتحسينات. وأهم نقطة جديدة تستدعي الاهتمام هي التواصل بين المبلِّغ عن الثغرة والمنظمة، وكذلك مع الأطراف الأخرى بعد معالجة الثغرة.

تتناول الفصول التالية تعريف CVD، وعناصر البناء لسياسة CVD، وعملية التواصل.

ملاحظة جانبية: استخدمت الإرشادات السابقة مصطلح «الإفصاح المسؤول» (responsible disclosure)، وكان المصطلح الشائع لهذه الممارسة في ذلك الوقت. وقد اتضح في الأثناء أن هذا المصطلح يركّز أكثر مما ينبغي على مسؤولية الطرف المبلِّغ، بينما المبدأ الأساسي هو أن يكون الطرف المبلِّغ والمنظمة التي يحتمل أن تكون معرّضة للثغرة شريكين متساويين في الحوار. وهذا المعنى يعبّر عنه المصطلح الشائع حالياً «الإفصاح المنسّق عن الثغرات» (CVD) على نحو أفضل، وهو أيضاً الاسم المستخدم في معياري ISO 29147 و30111 لهذه العملية.

2. الثغرة المنسّقة

استُخدمت أساليب متنوعة على مدى الثلاثين عاماً الماضية لرفع الوعي بالثغرات في أنظمة تقنية المعلومات. ومن الأمثلة:

• «الإفصاح الكامل» (Full Disclosure)، أي جعل الثغرة علنية بالكامل؛

• «عدم الإفصاح» (Non-disclosure)، أي بيع الثغرة أو استخدامها بنفسك؛

• «الإفصاح المنسّق عن الثغرات» (Coordinated Vulnerability Disclosure، CVD)، أي الإفصاح المنسّق عن الثغرة.

وتُفضَّل الممارسة الأخيرة صراحةً.

لقد أبدى مجتمع تقنية المعلومات استعداداً كبيراً لتبادل المعرفة والخبرة. ولذلك فإن السعي إلى التعاون مع هذا المجتمع يمكن أن يساعد في تحسين الأمن العام للأنظمة.

هدف الإفصاح المنسّق عن الثغرات

هدف CVD هو الإسهام في أمن أنظمة تقنية المعلومات عبر تبادل المعرفة بالثغرات. وفي CVD تُشارَك المعرفة مع منظمة واحدة أو أكثر يحتمل أن تكون معرّضة للثغرة من أجل التوصل إلى حل مشترك للثغرة التي وُجدت بالتعاون مع الطرف المبلِّغ. ومن المهم أن تتوفر للمنظمات المتأثرة مهلة كافية لمعالجة أي ثغرات أو حماية الأنظمة من أجل الحد من الخسائر أو الأضرار أو منعها قدر الإمكان. وحجر الزاوية في العملية هو الإفصاح عن المعرفة بالثغرات بعد معالجتها.

ومن الضروري في CVD أن تلتزم جميع الأطراف بالاتفاقات حول كيفية الإبلاغ عن الثغرة وكيفية التعامل معها. ومما يساعد أن تنشر المنظمة شروطاً مسبقة مقدماً، مثل أي الأنظمة ضمن النطاق وأي نوع من البحث يمكن إجراؤه. ومن المبادئ المهمة لهذه الشروط المسبقة أن المنظمة لن تبلّغ عن الطرف المبلِّغ من حيث المبدأ ولن تتخذ إجراءات قانونية أخرى إذا أُجري التحقيق والإبلاغ ضمن الشروط الموضوعة. وتوفّر هذه الإرشادات للمنظمات توجيهاً في وضع سياستها الخاصة لتجسيد مبادئ CVD.

وكما يوحي الاسم، فإن المحور في CVD هو أن تنسّق المنظمة والطرف المبلِّغ فيما بينهما. وفي هذا الصدد ينبغي أن يكون عدد الحلقات بين الشخص المبلِّغ عن الثغرة والشخص داخل المنظمة المسؤول عن حل المشكلة أقل ما يمكن.

وقد يكون من المهم إبلاغ عدة أطراف في الوقت نفسه إذا كانت الثغرة تؤثر في أنظمة كثيرة. وفي هذه الحالة يمكن لـ NCSC أو لأطراف أخرى داخل مجتمع الأمن دعم عملية CVD من موقع التنسيق.

3. مجالات المسؤولية

الهدف من اتباع سياسة CVD هو أن تعمل الأطراف المبلِّغة والمنظمة معاً لتقليل الثغرات في أنظمة تقنية المعلومات. وينبغي النظر إلى تنفيذ هذه السياسة بوصفه مكمّلاً للتدابير القائمة بشأن أمن المعلومات. ولكل من الجهات الفاعلة المختلفة دورها ومسؤولياتها. وتُشرح هذه بمزيد من التفصيل أدناه.

المنظمة التي تملك/تدير نظاماً

المنظمة التي تملك أو تدير أو تورّد نظاماً مسؤولة في المقام الأول عن أمن هذا النظام. وبعبارة أخرى، فإن المنظمة مسؤولة أيضاً عن متابعة تقرير الثغرة.

ويجوز للمنظمة أن تختار وضع سياسة CVD الخاصة بها باستخدام هذه الإرشادات وإبلاغ هذه السياسة إلى الأطراف المبلِّغة المحتملة. وبنشر سياسة CVD تُظهر المنظمات استعدادها لتلقي معلومات عن الثغرات.

ويمكن للطرف الذي يضع سياسة CVD أن يلتزم بمبدأ أنه لن يقدّم شكوى إلى الشرطة إذا احتُرمت القواعد المطبقة على السياسة.

وبمجرد أن يبلّغ الطرف المبلِّغ عن ثغرة، تقع المسؤولية على المنظمة. ومن المهم إدراك أن الطرف المبلِّغ كثيراً ما يكون من خارج المنظمة. وليس لهذا الطرف رؤية مباشرة للعمليات الداخلية التي يمكن أن تنطلق بعد الإبلاغ عن ثغرة. ونتيجة لذلك، ستقدّر الأطراف المبلِّغة أن تُطلَع على التطورات في معالجة الثغرة. وهذا التواصل المستمر مهم أيضاً لتكوين التوقعات الصحيحة بشأن المتابعة وحسن توقيت الحل.

الطرف الذي يبلّغ عن ثغرة

بطريقة أو بأخرى تمكّن الطرف المبلِّغ من تحديد ثغرة ويريد الإسهام في أمن أنظمة تقنية المعلومات بمعالجة هذه الثغرة وربما نشرها في مرحلة لاحقة. وربما اكتشف الطرف المبلِّغ شيئاً بالملاحظة السلبية أو باختبار نظام تقنية المعلومات بنشاط. وبالطبع فإن هذا الطرف مسؤول عن أفعاله وعن الطريقة التي اكتشف بها الثغرة. ومن مسؤولية الطرف المبلِّغ نفسه أن يكون على علم بالشروط التي وضعتها منظمة ما في سياسة CVD الخاصة بها. وقد نشرت معظم الحكومات والشركات سياسات CVD الخاصة بها على مواقعها الإلكترونية.

ومع ذلك فقد ينطوي العثور على الثغرات على خرق القانون. وفي سياق CVD يمكن للمنظمة والطرف المبلِّغ الاتفاق على عدم تقديم بلاغ عن أي أفعال جنائية. وفي هذا الصدد فإن سياسة CVD التي تنشرها المنظمة هي المبدأ التوجيهي. ويمكن للأطراف أيضاً الاتفاق على عدم اتخاذ أي إجراء مدني.

وإذا كان هناك اشتباه في أن الطرف المبلِّغ قد خرق القانون، فيمكن لسياسة CVD أولاً أن تساعد في منع الإبلاغ عن المبلِّغ إلى السلطات. ويعتمد هذا الإجراء كلياً على الشروط المسبقة للسياسة التي تطلب المنظمة من الطرف المبلِّغ الامتثال لها وعلى ما إذا تحقق هذا الامتثال، ربما مع وعد مقابل بعدم تقديم شكوى جنائية ما دام الطرف يعمل ضمن شروط السياسة. وإذا قُدّم بلاغ إلى الشرطة، فإن وجود سياسة CVD والامتثال لها ظرف ذو صلة في هولندا، يأخذه المدعي العام في الاعتبار عند البت في بدء تحقيق جنائي و/أو الملاحقة القضائية. ومن حيث المبدأ لن تبدأ الشرطة والنيابة العامة (OM) تحقيقاً جنائياً إذا امتثل الطرف المبلِّغ بوضوح لقواعد سياسة CVD الخاصة بالمنظمة المعنية. غير أن النيابة العامة والشرطة يمكنهما مواصلة التحقيق في القضية إذا وُجدت مؤشرات على أن الطرف المبلِّغ تجاوز الحد في أفعاله عن علم أو عن غير علم و/أو أخل بالامتثال لسياسة CVD. وبناءً على هذا التحقيق يمكن للنيابة العامة أن تقرر ما إذا كانت ستلاحق قضائياً.

وقد نشرت النيابة العامة رسالة سياسة تتناول فيها بمزيد من التحديد الجوانب المهمة للتوصل إلى قرار بالتحقيق و/أو الملاحقة. فمثلاً، هل خدمت أفعال الطرف المبلِّغ مصلحة عامة مهمة، وهل تصرف الطرف بشكل غير متناسب، وهل كان بإمكان الطرف ربما أن يتصرف بطريقة أخرى أقل حدة. وتتوسع رسالة السياسة ذات الصلة في هذه الجوانب.² وتبيّن السوابق القضائية ذات الصلة منذ 2013³ أن هذه الجوانب تؤخذ في الاعتبار أيضاً أمام المحكمة إذا لم تكن لدى المنظمة سياسة CVD.

4. عناصر بناء عملية الإفصاح المنسّق عن الثغرات

فيما يلي عناصر البناء لتشكيل عملية CVD للمنظمة والمبلِّغ و NCSC.

المنظمة

يبدأ تعزيز CVD بمنظمة تملك أنظمة تقنية معلومات أو تورّد منتجاً/نظاماً لتقنية المعلومات. فهذه المنظمة، في نهاية المطاف، مسؤولة في المقام الأول عن أمن المعلومات لأنظمة تقنية المعلومات هذه. ومن أجل العمل بفعالية مع أطراف مختلفة لحل الثغرات، يمكن للمنظمة أن تقرر وضع سياسة CVD ونشرها. ويتيح وضع سياسة CVD الخاصة بها للمنظمة أن تبيّن كيف تتعامل مع تقارير الثغرات. وبهذه الطريقة يمكن للمنظمة أيضاً أن تحدد الكيفية التي ترغب بها في تلقي الإخطارات. ويمكن تنظيم عملية كهذه على النحو التالي:

• تضع المنظمة سياسة CVD وتنشرها.

• تضع المنظمة في هذه السياسة قواعد واضحة للبحث الذي يمكن للأطراف المبلِّغة إجراؤه، مثل التقنيات المسموح بها والأنظمة الواقعة ضمن النطاق أو خارجه.

• تجعل المنظمة تقديم التقرير سهلاً على الطرف المبلِّغ. أحد الخيارات استخدام طريقة إبلاغ موحدة؛ مثل عنوان بريد إلكتروني محدد أو نموذج عبر الإنترنت. وبالإضافة إلى ذلك يمكن للمنظمة أن تقرر ما إذا كانت ستقبل التقارير المجهولة.

• تخصص المنظمة طاقة داخلية وتنشئ عملية للاستجابة للتقارير بشكل ملائم. ومن المستحسن إنشاء عملية يمكن بها معالجة أي ثغرات تُكتشف بشكل ملائم. وفي هذا الصدد فإن مصدر التقرير غير ذي صلة. فقد تكون الثغرة قد حدّدها موظف داخلي أو أثناء اختبار، مثلاً.

• تُظهر الخبرة العملية أنه سيكون هناك اهتمام أكبر بالإبلاغ عن الثغرات إلى المنظمة بعد النشر الأولي لسياسة CVD. وينبغي للمنظمة أن تأخذ ذلك في الاعتبار عند تخطيط الطاقة (الإضافية).

• عندما تتلقى المنظمة تقرير الثغرة، تتأكد من وصول التقرير في أقرب وقت ممكن إلى القسم الأنسب لتقييم التقرير والتعامل معه.

• ترسل المنظمة إقراراً باستلام التقرير إلى الطرف المبلِّغ، ويُفضَّل أن يكون موقَّعاً رقمياً للتأكيد على الأولوية.

• بعد ذلك ستتشاور المنظمة مع الطرف المبلِّغ لتحديد المدة التي سيجري فيها أي نشر. وستعتمد هذه المدة بدرجة كبيرة على طبيعة الثغرة ونوع النظام.

• كمبدأ إرشادي، تُستخدم غالباً مدة نحو 60 يوماً لثغرات البرمجيات. ومعالجة الثغرات في العتاد أصعب تحقيقاً؛ ويمكن استخدام مدة إرشادية قدرها 6 أشهر.

• قد يكون من المرغوب فيه تمديد هذه المدة أو تقصيرها باتفاق الطرفين وفق عدد أنظمة تقنية المعلومات التي تعتمد على النظام الذي أُبلغ عن الثغرة فيه، أو إذا كانت الثغرة أسهل أو أصعب في الحل.

• قد تتبين صعوبة حل الثغرة أو استحالته، أو قد تكون هناك تكاليف عالية في حلها. وفي مثل هذه الحالات يجوز للمنظمة الاتفاق على اعتبار الثغرة خطراً مقبولاً وعدم معالجتها، وربما بالتشاور مع الطرف المبلِّغ.

• ستبقي المنظمة الطرف المبلِّغ على اطلاع بتطور العملية.

• بالإضافة إلى ذلك، يمكن للمنظمة أن تعرض الإشادة علناً بالطرف المبلِّغ لنشره الثغرة. ومن الممكن أيضاً اختيار إفصاح مشترك للعالم الخارجي.

• يُفضَّل مكافأة الطرف المبلِّغ على الإبلاغ عن ثغرات في الأنظمة إذا امتثل الطرف لقواعد سياسة CVD. وقد يعتمد مبلغ المكافأة على جودة التقرير. ومكافأة الطرف المبلِّغ يمكن أن تخلق علاقة أفضل بين ذلك الطرف والمنظمة، فضلاً عن زيادة استعداد الناس لتقديم تقارير جديدة وفقاً لسياسة CVD.

• بالتشاور مع الطرف المبلِّغ يمكن للمنظمة الاتفاق على إبلاغ مجتمع تقنية المعلومات الأوسع بالثغرة إذا كان من المعقول أن الثغرة موجودة في أماكن أخرى أيضاً.

• يمكن للمنظمة في سياسة CVD الخاصة بها أن تلتزم بمبدأ أنها لن تقدّم شكوى إلى الشرطة إذا امتثل الطرف المبلِّغ للقواعد المبيّنة في السياسة.

الطرف المبلِّغ

الطرف المبلِّغ هو مفتاح نجاح عملية CVD. فبطريقة أو بأخرى تمكّن هذا الطرف من تحديد ثغرة، ويريد الإسهام في أمن أنظمة تقنية المعلومات بجعل منظمة تعالج هذه الثغرة وتنشرها. وبذلك تقرّ الأطراف المبلِّغة بأن بإمكانها تقديم مساهمة مهمة للمجتمع بالكشف عن الثغرات بطريقة منسّقة. ومن أجل تحقيق عملية CVD ناجحة، تكون عناصر البناء التالية مهمة للطرف المبلِّغ:

• الطرف المبلِّغ مسؤول عن أفعاله ويجب أن يراعي مبدأي التناسب والتبعية عند التحقيق في الثغرات والإبلاغ عنها. وبعبارة أخرى، لا ينبغي للطرف المبلِّغ أن يفعل أكثر مما هو ضروري لإثبات الثغرة، وينبغي أن يبلّغ دائماً عن الثغرة إلى مالك النظام/المعلومات أولاً.

• يجب على الطرف المبلِّغ أن يبلّغ عن المشكلة في أقرب وقت ممكن لمنع الأطراف الخبيثة من اكتشاف الثغرة واستغلالها.

• يجب على الطرف المبلِّغ أن يقدّم التقرير إلى المنظمة بطريقة سرية لمنع الآخرين من الوصول إلى هذه المعلومات.

• لا يجوز للطرف المبلِّغ أن يجعل تقديم التقرير أو مواصلة تقديم المعلومات مشروطاً بالمكافأة. فالمبادرة بمنح مكافأة في حالة التقرير تعود إلى المنظمة المتلقية، التي يمكنها أن تحدد شروطاً مسبقة في سياستها المنشورة.

• يضع الطرف المبلِّغ والمنظمة اتفاقات واضحة حول الإفصاح عن الثغرة. وإذا كانت هناك أكثر من منظمة معنية، فالمبدأ الأساسي أنه لا يمكن نشر الثغرات إلا إذا وافقت جميع المنظمات على ذلك. ويُنصح بإبرام هذه الاتفاقات في مرحلة مبكرة.

• يمكن للطرف المبلِّغ والمنظمة المعنية إبرام اتفاقات بشأن إبلاغ مجتمع تقنية المعلومات الأوسع. فعلى سبيل المثال قد تنطبق هذه الحالة على ثغرة (سواء كانت معروفة بالفعل أم لا) من المعروف أنها موجودة في أكثر من موضع. ويمكن إشراك المركز الوطني للأمن السيبراني (NCSC) في هذه العملية لدعم الفئات المستهدفة في الحكومة المركزية والبنية التحتية الحرجة أو لإبلاغ عدة أطراف في حالة وجود ثغرة تؤثر في أنظمة كثيرة.

NCSC

عملية CVD شأن المنظمات والأطراف المبلِّغة في المقام الأول. ومع ذلك سيشجع NCSC استخدام عملية CVD. وبالتشاور مع الطرف المبلِّغ والمنظمة، يمكن لـ NCSC أيضاً أن يشارك في تبادل المعلومات عن الثغرة مع الجهات التي يخدمها للحد من المخاطر الأمنية الأخرى الناشئة عن الثغرة.

وإذا لم يسِر الإبلاغ عن الثغرة كما يتوقع الطرف المبلِّغ، أو إذا فضّل عدم الإبلاغ عن الثغرة مباشرةً إلى المنظمة، فيمكنه الاتصال بـ NCSC.⁴ وفي هذه الحالة يمكن لـ NCSC أن يعمل وسيطاً عند الضرورة.

ومالك نظام تقنية المعلومات مسؤول في جميع الأوقات عن أمن النظام. ولا يستطيع NCSC إجبار مالك النظام على معالجة ثغرة، ولا يستطيع ضمان ألا يتخذ المالك إجراء قانونياً ضد الطرف المبلِّغ. ونتيجة لذلك، يجب على الطرف المبلِّغ أن يأخذ في الحسبان عناصر البناء المذكورة آنفاً للمنظمات والأطراف المبلِّغة عند البحث عن ثغرة والإبلاغ عنها. ويمكن للطرف المبلِّغ أن يتوقع من NCSC أن يبذل قصارى جهده لمعالجة الثغرة وأن يتعامل مع التقرير بسرية. ولا يشارك NCSC أي بيانات شخصية ما لم يكن ملزماً قانوناً بذلك.

وإذا أمكن، سيستخدم NCSC المعلومات المتحصلة عن الثغرات بالتشاور مع المنظمات والأطراف المبلِّغة لمواصلة تبادل المعرفة مع مجتمع تقنية المعلومات. فمثلاً، يمكنه فعل ذلك بنشر جزء من المعلومات، أو كتابة أو تحديث نشرة معلومات أو ورقة بيضاء، أو بإبلاغ منظمات محددة.

• بحسب المنظمة المعنية وطبيعة الثغرة المثبتة، سيبذل NCSC جهداً للفت انتباه المنظمة المعنية إلى الثغرة. ومع ذلك يظل مالك نظام تقنية المعلومات المعني مسؤولاً عن النظام.

• حيثما كان ذلك ممكناً وضرورياً، سيقدّم NCSC للمنظمة المعنية المشورة حول كيفية معالجة الثغرة.

• سيتعامل NCSC مع التقارير بسرية ولن يشارك البيانات الشخصية للأطراف المبلِّغة أو المنظمة المتلقية دون موافقة، ما لم ينتج ذلك عن التزام قانوني.

• حيثما أمكن، سيبقي NCSC الطرف المبلِّغ على اطلاع بالتطورات في الاتصال بالمنظمة ومعالجة الثغرة.

• في الحالات التي يُقدَّم فيها تقرير إلى NCSC، سيحاول NCSC أن يضع الطرف المبلِّغ أو الطرف المبلِّغ المحتمل والمنظمة في اتصال ببعضهما.

وإذا وجد طرف مبلِّغ ثغرة في منتج برمجي أو ثغرة تؤثر في أنظمة كثيرة مختلفة مثلاً، فيمكن للطرف المبلِّغ أن يطلب من NCSC تنسيق معالجة الثغرة والإفصاح عنها.

وبالتعاون مع الطرف المبلِّغ والشركاء والمطوّرين و/أو مطوّري البرمجيات وفرق الأمن الأخرى، سيساعد NCSC في تحليل الثغرة ومعالجتها أو إتاحة معالجتها وتنسيقها والإفصاح عنها بطريقة مضبوطة. وتجري هذه العملية كلها بالتشاور الوثيق مع الطرف المبلِّغ الذي وجد الثغرة.

وتحاول سياسة CVD تحقيق توازن بين أهمية الإفصاح عن الثغرات في أسرع وقت ممكن لكي يمكن اتخاذ التدابير، وأهمية أن تتوفر للمطوّرين وكذلك للموردين مهلة كافية لمعالجة الثغرة. وفي هذه العملية يستخدم NCSC مدة قياسية قدرها 60 يوماً بين التقرير والإفصاح العلني. ومع ذلك قد توجد ظروف يمكن أن يُقرَّر فيها تمديد هذه المدة أو تقصيرها.

ولن يشارك NCSC معلومات عن الثغرة مع أطراف ثالثة إلا بعد التشاور مع الطرف المبلِّغ. ومن الضروري في هذا السياق أن يتعاون NCSC وبالتالي أن يشارك المعلومات عن الثغرة مع أصحاب المصلحة من أجل الإفصاح عن ثغرة بطريقة منسّقة. وسيضمن NCSC في ذلك أن تتمكن الأطراف المناسبة من العمل على معالجة الثغرة، وسيساعد في الحد من أي خسارة أو ضرر، وفي لفت الانتباه إلى الثغرة التي وُجدت.

5. التواصل وعملية الإفصاح

أظهرت خمس سنوات من الممارسة أن التواصل الواضح هو حجر الزاوية في عملية CVD الناجحة. وهناك نقاط تستدعي الانتباه عند عملية CVD وأثناءها وبعدها.

التواصل حول عملية الإفصاح

نشر سياسة CVD هو خطوة أولى في التواصل حول العملية. وبنشر سياسة علناً، تُدعى الأطراف المبلِّغة إلى إخطار المنظمة بأي ثغرات تُكتشف.

فمن ناحية، يمكن للمنظمة أن تضع شروطاً للبحث الذي يُجرى لاكتشاف الثغرات وللطريقة التي يُلتمس بها الاتصال. ومن ناحية أخرى، يمكن للمنظمة أن تلتزم بمبدأ أنها لن تقدّم شكوى إلى الشرطة إذا احتُرمت قواعد السياسة. وهذا النهج يحمي موقف الطرف المبلِّغ.

ويجوز تغيير سياسة CVD أو تحديثها في تاريخ لاحق. ومن المهم أن تكون التغييرات واضحة في هذا الصدد. فللأطراف المبلِّغة مصلحة في معرفة ما الذي تغيّر ومتى. فعلى سبيل المثال، يمكن توضيح التغييرات بإدراج تاريخ نشر في بداية سياسة CVD، أو بوصف ملخص للتغييرات أسفل سياسة CVD، أو بالاحتفاظ بأرشيف للإصدارات القديمة من سياسة CVD.

ويمكن لسياسة CVD أن توفّر إرشادات حول كيفية التواصل أثناء العملية، كالإشارة إلى تحديثات منتظمة عبر البريد الإلكتروني أو بوابة ويب. وبالإضافة إلى ذلك، يمكن لسياسة CVD أن تصف كيف يمكن تقدير المبلِّغ بذكره عند صدور تحديث، أو بإدخاله إلى قاعة الشرف، أو بأي شكل آخر من أشكال المكافأة.

التواصل أثناء عملية الإفصاح

يبدأ الطرف المبلِّغ عملية CVD بإرسال رسالة إلى المنظمة. وفي هذه الرسالة يقدّم الطرف المبلِّغ وصفاً واضحاً للثغرة المكتشفة. والعناصر المهمة هي عنوان IP أو عنوان URL للنظام المتأثر والخطوات اللازمة لإعادة إنتاج الثغرة.

ومن المهم للمنظمة أن تتواصل بوضوح مع الطرف المبلِّغ كي تكون التوقعات حول العملية واضحة.

ويمكنها فعل ذلك مبكراً بإرسال إقرار بالاستلام (آلي أو غيره) يتضمن إشارة إلى المدة التي سيُرسَل فيها رد موضوعي أولي أو لاحق.

ومن الممكن أيضاً ترك هذه المدة مفتوحة وإعطاء إشارة أولية إلى المدة بعد تقييم محتوى التقرير. ومن المستحسن أن يُوضَّح في أقرب وقت ممكن المدة التي يمكن التوصل إلى حل ضمنها. وبهذه الطريقة يعرف المبلِّغ متى يمكن توقع نتيجة.

وقد يحدث في بعض الحالات أن يكون تاريخ النشر واضحاً للطرف المبلِّغ؛ مثلاً بسبب عرض تقديمي في مؤتمر أو لأن الطرف المبلِّغ حدد مدته الخاصة. وفي هذه الحالة يظل من المهم أن يبلّغ الطرف المبلِّغ بهذا الجدول الزمني بوضوح، وأن يذكره في أقرب وقت ممكن، وأن يكون واضحاً بشأن إمكانية/استحالة تأجيل هذا التاريخ.

وكثيراً ما يكون الطرف المبلِّغ شخصاً من خارج المنظمة، ليس لديه أي اطلاع على العمليات الداخلية التي قد يطلقها التقرير. ويمكن للمنظمات أن تُبقي الطرف المبلِّغ على اطلاع بالتطورات في العملية عبر تحديثات منتظمة. وهذا النهج يوضح للطرف المبلِّغ أن العمل جارٍ على حل. وعند الضرورة، يمكن للمنظمة أن تطلب توضيحاً أو أن تطلب اختبار حل أثناء العملية.

وإذا لم تتمكن المنظمة من الوفاء بالموعد النهائي الأولي للحل، فيمكن التباحث مع المبلِّغ حول تأجيله. ويمكن للتواصل المنتظم أن يوضح هذا الوضع للمبلِّغ في مرحلة أبكر.

والقصد الرئيسي من CVD هو تخفيف الثغرة، لكن «الإفصاح الكامل» عن الثغرة يظل دائماً خياراً أمام الطرف المبلِّغ إذا شعر أن العملية ستستغرق وقتاً طويلاً. وهذا الإجراء هو «العصا الغليظة» المضروب بها المثل المتاحة للطرف المبلِّغ. وبطبيعة الحال يجب منع هذا الوضع قدر الإمكان.

التواصل بعد عملية الإفصاح

توجد أسباب محتملة كثيرة قد تدفع الطرف المبلِّغ إلى البحث عن ثغرات ثم الإبلاغ عنها إلى المنظمات عبر عملية CVD. وبالنسبة لعدد كبير من الأطراف المبلِّغة فإن الحافز المهم هو التقدير (العلني).

وتحصل الأطراف المبلِّغة على تقدير علني عبر شكر في تحديث أو إدراج في قاعة الشرف. غير أن الحاجة إلى التقدير العلني لا تنطبق على جميع الأطراف المبلِّغة؛ فبعضها لا يريد في الواقع أن يعرفه الجمهور. ولذلك يُنصح، في حالة تواصل المنظمة، بالحصول على موافقة الطرف المبلِّغ على ذكر اسمه.

وبالإضافة إلى ذلك، يمكن للأطراف المبلِّغة أيضاً أن تقرر التواصل بشأن تقرير بعد اكتمال عملية CVD. فمثلاً، يمكن للطرف المبلِّغ أن يصف عملية الاكتشاف أو أن يحذّر الآخرين من الثغرة. ويجوز للمبلِّغ أن يقرر تقديم المنشور إلى منظمة للعلم. وبما أن عملية CVD تكتمل من حيث المبدأ بعد إزالة الثغرة، فإن الطرف المبلِّغ حرٌّ بعد ذلك في التواصل بشأنها، ما لم تُبرَم اتفاقات إضافية في السياسة أو أثناء العملية.

القائمة

التواصل حول عملية الإفصاح

• نشر سياسة CVD على الموقع الإلكتروني

• الوضوح بشأن القيود (انظر الفصل 6 لمعرفة النُّهج المختلفة)

• القيود على أساليب التحقيق

• إرشادات حول التواصل

• إرشادات حول المكافآت المحتملة: قاعة الشرف، مكافأة مالية، قميص، وغير ذلك

• الوضوح بشأن أي تحديثات لسياسة CVD، بما في ذلك تاريخ التغييرات

التواصل أثناء عملية الإفصاح

• يتصل المبلِّغ بالمنظمة بشأن ثغرة مكتشفة.

• تدير المنظمة التوقعات، مثل وقت الاستجابة للرد التقني الأول

• توضح المنظمة والمبلِّغ لبعضهما مدة الحل المتوقعة

• تقدّم المنظمة تحديثاً (للعملية) بشكل متكرر

• عند الضرورة، يناقش المبلِّغ والمنظمة الاتصال بمنظمات أخرى ذات صلة

التواصل بعد عملية الإفصاح

• مناقشة التقدير (العلني) للمبلِّغ ومكافأته

• ترتيب كيفية نشر المعلومات عن الثغرة، مثل مرحلة البحث أو إبلاغ منظمات أخرى

6. أمثلة على سياسة الإفصاح المنسّق عن الثغرات

توجد أشكال مختلفة كثيرة من نصوص السياسات حول الإفصاح المنسّق عن الثغرات. وبما أن سياسة CVD المنشورة تعمل بمثابة لافتة إرشادية للأطراف المبلِّغة المحتملة، فتأكد من أن شكل هذه السياسة يتماشى مع سياسة المنظمة واستراتيجيتها.

العناصر التالية مهمة في سياسة CVD:

• طريقة اتصال للتواصل الآمن؛

• شروط مسبقة للأطراف المبلِّغة؛

• توقعات واضحة للتعامل مع تقرير؛

• طريقة لمكافأة تقرير؛

• رقم الإصدار وتاريخ آخر مراجعة.

فيما يلي ثلاثة أمثلة: استفادت منظمات كثيرة في هولندا من المثال الأساسي لـ ResponsibleDisclosure.nl. وتضمّن منظمات أخرى شروطاً مسبقة إضافية، انظر سياسة Fox IT. وتطبّق منظمات أخرى أيضاً صيغة أكثر حرية لتتواءم مع جمهورها المستهدف، انظر سياسة Bits of Freedom.

مثال: ResponsibleDisclosure.nl

كتب هذا النص Floor Terra وهو منشور بموجب ترخيص Creative Commons Attribution 3.0 Unported.

في شركة Acme Corporation، نعتبر أمن أنظمتنا أولوية قصوى. ولكن مهما بذلنا من جهد في أمن الأنظمة، قد تبقى ثغرات موجودة.

إذا اكتشفت ثغرة، فنود أن نعلم بها لنتمكن من اتخاذ خطوات لمعالجتها في أسرع وقت ممكن.

نرجو منك أن تساعدنا على حماية عملائنا وأنظمتنا بشكل أفضل.

يرجى القيام بما يلي:

• أرسل نتائجك بالبريد الإلكتروني إلى cert@example.com. شفّر نتائجك باستخدام مفتاح PGP الخاص بنا لمنع وقوع هذه المعلومات الحرجة في أيدٍ خاطئة،

• لا تستغل الثغرة أو المشكلة التي اكتشفتها، مثلاً بتنزيل بيانات أكثر مما يلزم لإثبات الثغرة أو بحذف بيانات الآخرين أو تعديلها،

• لا تكشف المشكلة للآخرين إلى أن تُحل،

• لا تستخدم هجمات على الأمن المادي، أو الهندسة الاجتماعية، أو حجب الخدمة الموزَّع، أو الرسائل المزعجة، أو تطبيقات الأطراف الثالثة، و

• قدّم معلومات كافية لإعادة إنتاج المشكلة، حتى نتمكن من حلها في أسرع وقت ممكن. عادةً يكفي عنوان IP أو عنوان URL للنظام المتأثر ووصف للثغرة، لكن الثغرات المعقدة قد تتطلب مزيداً من الشرح.

ما نعدك به:

• سنرد على تقريرك خلال 3 أيام عمل بتقييمنا للتقرير وتاريخ الحل المتوقع،

• إذا اتبعت التعليمات أعلاه، فلن نتخذ أي إجراء قانوني ضدك فيما يتعلق بالتقرير،

• سنتعامل مع تقريرك بسرية تامة، ولن نمرّر بياناتك الشخصية إلى أطراف ثالثة دون إذنك،

• سنبقيك على اطلاع بالتقدم نحو حل المشكلة،

• في المعلومات العامة المتعلقة بالمشكلة المُبلَّغ عنها، سنذكر اسمك بوصفك مكتشف المشكلة (ما لم تَرغب خلاف ذلك)، و

• تعبيراً عن امتناننا لمساعدتك، نقدّم مكافأة عن كل تقرير بمشكلة أمنية لم تكن معروفة لدينا بعد. وسيُحدَّد مبلغ المكافأة بناءً على خطورة التسرب وجودة التقرير. وستكون المكافأة الدنيا قسيمة هدايا بقيمة 50 يورو.

نسعى إلى حل جميع المشكلات في أسرع وقت ممكن، ونود أن نؤدي دوراً نشطاً في النشر النهائي حول المشكلة بعد حلها.

مثال: Fox-IT

في Fox-IT، نعتبر أمن أنظمتنا وشبكتنا ومنتجاتنا في غاية الأهمية. ورغم العناية الكبيرة التي نوليها للأمن، قد تبقى نقاط ضعف. فإذا وجدت نقطة ضعف كهذه، فنود أن نسمع بها في أقرب وقت ممكن لنتمكن من اتخاذ الإجراءات المناسبة بأسرع ما يمكن.

يمكن اكتشاف نقاط الضعف بطريقتين: قد تصادف شيئاً بالمصادفة أثناء الاستخدام العادي لبيئة رقمية، أو قد تبذل جهدك صراحةً للعثور عليها.

سياسة الإفصاح المسؤول لدينا ليست دعوة إلى فحص شبكة أعمالنا بنشاط لاكتشاف نقاط الضعف. فنحن نراقب شبكة أعمالنا بأنفسنا. وهذا يعني أن هناك احتمالاً كبيراً أن يُكتشف الفحص، وأن يُجري مركز عمليات الأمان (SOC) لدينا تحقيقاً، مما قد يؤدي إلى تكاليف غير ضرورية. ومع ذلك، ندعوك إلى البحث بنشاط عن الثغرات في منتجاتنا في بيئة غير إنتاجية ومنفصلة عن الإنترنت وإلى إبلاغنا بنتائجك. إن مسؤوليتنا تجاه عملائنا تعني أن نيتنا ليست تشجيع محاولات الاختراق لبنيتهم التحتية؛ ومع ذلك نود أن نسمع منك في أسرع وقت ممكن إذا وُجدت ثغرات، حتى نتمكن من حلها على نحو ملائم.

نود العمل معك لنتمكن من حماية عملائنا وأنظمتنا بشكل أفضل.

نطلب منك أن:

• ترسل نتائجك بالبريد الإلكتروني في أسرع وقت ممكن إلى security-alert@fox-it.com.

• لا تسيء استخدام الثغرة؛ مثلاً بتنزيل البيانات أو تحريرها أو حذفها. سنأخذ تقريرك دائماً على محمل الجد ونحقق في أي اشتباه بوجود ثغرة، حتى دون دليل.

• لا تشارك المشكلة مع الآخرين إلى أن تُحل.

• لا تستخدم هجمات على الأمن المادي، أو الهندسة الاجتماعية، أو أدوات القرصنة مثل ماسحات الثغرات.

• تقدّم معلومات كافية لإعادة إنتاج المشكلة حتى نتمكن من حلها في أسرع وقت ممكن. عادةً يكفي عنوان IP أو عنوان URL للنظام المتأثر ووصف للثغرة، مع أنه قد تلزم معلومات أكثر للثغرات الأكثر تعقيداً.

ما نعدك به:

• سنرد على تقريرك خلال ثلاثة أيام عمل، بتقييمنا للتقرير وتاريخ الحل المتوقع.

• سنتعامل مع تقريرك بسرية، ولن نشارك معلوماتك الشخصية مع أطراف ثالثة دون إذنك. ويُستثنى من ذلك الشرطة والقضاء في حالة الملاحقة القضائية أو إذا طُلبت المعلومات.

• سنبقيك على اطلاع بتقدم حل المشكلة.

• في التواصل بشأن المشكلة المُبلَّغ عنها، سنذكر اسمك بوصفك الطرف الذي اكتشف المشكلة، إذا رغبت في ذلك.

• للأسف لا يمكن ضمان ألا تُتخذ إجراءات قانونية ضدك مسبقاً. نأمل أن نتمكن من النظر في كل حالة على حدة. ونعتبر أنفسنا ملزمين أخلاقياً بالإبلاغ عنك إذا اشتبهنا في أن نقطة الضعف أو البيانات يُساء استخدامها، أو أنك شاركت المعرفة بنقطة الضعف مع الآخرين. ويمكنك أن تطمئن إلى أن اكتشافاً عرضياً في بيئتنا على الإنترنت لن يؤدي إلى ملاحقة قضائية.

• شكراً لمساعدتك، نقدّم مكافأة عن كل تقرير بمشكلة أمنية غير معروفة لدينا. ونحدد قيمة المكافأة على أساس خطورة الاختراق وجودة التقرير.

نسعى إلى حل جميع المشكلات في أسرع وقت ممكن، وإبقاء جميع الأطراف المعنية على اطلاع، ونود المشاركة في أي نشر حول المشكلة بعد حلها.

مثال: Bits of Freedom

يتزايد اعتمادنا على البنية التحتية الرقمية باستمرار. وينطبق هذا على المجتمع ككل، لكنه ينطبق علينا نحن أيضاً. ولذلك نرى أنه ينبغي للحكومات والمنظمات (بما فيها منظمتنا) أن تلتزم التزاماً قوياً بتأمين بنيتنا التحتية الرقمية. ندرك أنه رغم أفضل نوايانا وأقصى عنايتنا قد توجد ثغرات في أنظمتنا. فإذا صادفت إحدى نقاط الضعف هذه، فسنسعد بسماع ذلك منك لنتمكن من حل المشكلة.

ما نتوقعه منك

• عند فحص أحد أنظمتنا، ضع في اعتبارك تناسب الهجوم. لا حاجة إلى إثبات أنه عندما تعرّض موقعنا لأكبر هجوم DDoS في تاريخ الإنترنت قد يصبح الموقع غير متاح. نحن نعرف ذلك. كما ندرك أنك إذا قدت جرّافة إلى مكتبنا فستتمكن غالباً من خطف أحد حواسيبنا المحمولة.

• ينطبق مبدأ التناسب هذا أيضاً عند إظهار الثغرة نفسها. يجب ألا تفحص أو تعدّل بيانات أكثر مما هو ضروري تماماً لتأكيد صحة اكتشافك. فمثلاً، إذا كان بإمكانك تعديل صفحتنا الرئيسية، فأضف إليها كلمة واحدة غير مثيرة للجدل بدلاً من الاستيلاء على الصفحة كلها. وإذا استطعت الوصول إلى قاعدة بيانات، فيكفي أن تُرينا قائمة الجداول الموجودة فيها، أو ربما أول سجل في أحد هذه الجداول.

• ينبغي الإبلاغ عن الثغرة في أحد أنظمتنا في أقرب وقت ممكن بإرسال بريد إلكتروني إلى security@bof.nl. ويُفضَّل أن تشفّر رسالتك باستخدام OpenPGP. يرجى تقديم معلومات كافية لنتمكن من إعادة إنتاج المشكلة والتحقيق فيها.

• مفتاح OpenPGP العام لـ security@bof.nl

• لن تشارك معرفتك بالثغرة مع أطراف أخرى ما دمنا لم نعالج المشكلة وما زلنا ضمن إطار زمني معقول منذ أبلغت عنها.

• ستحذف جميع المعلومات السرية التي حصلت عليها أثناء تحقيقك فور أن نحل الثغرة.

ما يمكنك توقعه منا

• سنرد على تقريرك خلال ثلاثة أيام بشكل مفصل. وسنضمّنه تقديراً للوقت الذي سنحتاجه لمعالجة المشكلة. وبالطبع سنبقيك على اطلاع منتظم بتقدمنا.

• سنحل الثغرة في أقرب وقت ممكن. وهنا أيضاً التناسب مهم: فالوقت اللازم لإصلاح ثغرة يعتمد على عدة عوامل، منها خطورة المسألة المعنية وتعقيدها.

• عندما تتبع الإرشادات الموضحة هنا، لن نتخذ إجراءً قانونياً ضدك فيما يتعلق بتقريرك.

• من المهم لنا أن ننسب إليك الفضل فيما فعلت - إن رغبت. وسنذكر اسمك في أي منشور بشأن الثغرة فقط إذا وافقت على ذلك.

• شكراً لك على مساعدتنا في حماية أنظمتنا بشكل أفضل، نود أن نكافئ كل تقرير بثغرة لم نكن نعرفها في ذلك الوقت. وستعتمد المكافأة على خطورة الثغرة وجودة التقرير.

• إذا وجدت ثغرة في برمجيات طرف ثالث نستخدمها وكانت تلك الثغرة مشمولة ببرنامج مكافآت أخطاء، فلن نحاول المطالبة بهذه المكافأة؛ بل ينبغي لك أنت أن تفعل.