NCSC.nl

১. ভূমিকা

সমাজ ক্রমশ ডিজিটাল হচ্ছে। আজকাল মোবাইল ফোন থেকে বিশেষায়িত সফটওয়্যার পর্যন্ত প্রায় সব প্রক্রিয়াতেই কোনো না কোনো পর্যায়ে কম্পিউটারের ব্যবহার জড়িত থাকে। এই উন্নয়ন অনেক নতুন সুযোগ সৃষ্টি করলেও আইটি সিস্টেমের দুর্বলতা বড় প্রভাব ফেলতে পারে। ফলে এই দুর্বলতা সম্পর্কিত জ্ঞান কার্যকরভাবে সামলানো উচিত।

২০১৩ সালের শুরুতে বেশ কয়েকটি সংস্থা দুর্বলতা কীভাবে জানাতে হবে সে বিষয়ে নীতি প্রকাশ করতে শুরু করে। এই পক্ষগুলোর সঙ্গে পরামর্শের পর জাতীয় সাইবার নিরাপত্তা কেন্দ্র (NCSC) ‘দায়িত্বশীল প্রকাশের চর্চা অর্জনের নির্দেশিকা’ (ডাচ ভাষায়: ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘নির্দেশিকা’) আকারে এই অগ্রগতিগুলো সংক্ষিপ্ত করে। কোম্পানিগুলো এই নীতির মাধ্যমে জানায় যে তারা বাইরের দুর্বলতা প্রতিবেদন গ্রহণে উন্মুক্ত, তাদের পূর্বশর্ত বর্ণনা করে এবং প্রতিশ্রুতি দেয়। এই প্রক্রিয়া সরাসরি ফৌজদারি অপরাধ না করে দুর্বলতা অনুসন্ধান ও প্রতিবেদনের জন্য প্রতিবেদনকারী পক্ষগুলোর কাছে স্পষ্টতা ও কিছুটা নিরাপদ পরিবেশ তৈরি করেছে। ২০১৬ সালে সাইবার নিরাপত্তা বিষয়ক ইইউ উচ্চস্তরীয় সভায় ২৯টি সংস্থা NCSC-এর সহযোগিতায় CIO Platform Netherlands ও Rabobank-এর উদ্যোগে তৈরি সমন্বিত দুর্বলতা প্রকাশ ইশতেহারে (Coordinated Vulnerability Disclosure Manifesto)১ স্বাক্ষর করে দুর্বলতা মোকাবিলার নীতির গুরুত্ব পুনর্ব্যক্ত করে।

সমন্বিত দুর্বলতা প্রকাশ (CVD) সরকারি ও বেসরকারি পক্ষের কাছে অত্যন্ত গুরুত্বপূর্ণ প্রমাণিত হয়েছে। দৈনন্দিন চর্চায় তারা তথ্য ব্যবস্থার নিরবচ্ছিন্ন কার্যকারিতার ওপর অত্যন্ত নির্ভরশীল। তাদের সিস্টেমের দুর্বলতার প্রতিবেদন সাম্প্রতিক বছরগুলোতে সিস্টেমের নিরাপত্তা ও ধারাবাহিকতা উন্নত করতে সাহায্য করেছে, একদিকে দুর্বলতা সংশোধন করে এবং অন্যদিকে ডাচ কোম্পানিগুলোর আইটি নিরাপত্তা সম্পর্কে সাধারণ সচেতনতায় অবদান রেখে।

সাম্প্রতিক বছরগুলোতে স্পষ্ট হয়েছে যে প্রতিবেদনকারী পক্ষগুলো সংস্থাগুলোর প্রণীত CVD নীতির শর্তের মধ্যে কাজ করতে প্রস্তুত। প্রতিবেদনকারী পক্ষগুলো সংস্থাগুলোর কাছে সরাসরি বা পরোক্ষভাবে প্রতিবেদন করে। দায়িত্বশীল প্রকাশের চর্চা দেখিয়েছে যে সদিচ্ছাসম্পন্ন প্রতিবেদনকারী পক্ষ এবং দুর্বল সংস্থাগুলো সহযোগিতা করতে পেরেছে এবং এভাবে নেটওয়ার্ক ও তথ্য ব্যবস্থার নিরাপত্তা বাড়ানোর পরবর্তী ধাপ নিয়েছে।

এই সংশোধনের জন্য আমরা আবারও প্রতিবেদনকারী পক্ষ, বেসরকারি ও সরকারি পক্ষ, পাশাপাশি পাবলিক প্রসিকিউশন সার্ভিস ও জাতীয় পুলিশের একটি বিস্তৃত ও বৈচিত্র্যময় গোষ্ঠীর সঙ্গে কথা বলেছি। এই আলোচনাগুলো বর্তমান চর্চা নিশ্চিত করেছে এবং সংযোজন ও উন্নতির দিকে নিয়ে গেছে। সবচেয়ে গুরুত্বপূর্ণ নতুন মনোযোগের বিষয় হলো দুর্বলতা প্রতিবেদক ও সংস্থার মধ্যে, এবং দুর্বলতা সংশোধনের পর অন্য পক্ষগুলোর সঙ্গে যোগাযোগ।

পরবর্তী অধ্যায়গুলোতে CVD-এর সংজ্ঞা, CVD নীতির মূল উপাদান এবং যোগাযোগ প্রক্রিয়া আলোচনা করা হয়েছে।

পার্শ্বটীকা: পূর্ববর্তী নির্দেশিকায় ‘দায়িত্বশীল প্রকাশ’ (responsible disclosure) পরিভাষা ব্যবহৃত হয়েছিল, যা তখন এই চর্চার প্রচলিত পরিভাষা ছিল। ইতোমধ্যে স্পষ্ট হয়েছে যে এই পরিভাষা প্রতিবেদনকারী পক্ষের দায়িত্বের ওপর অতিরিক্ত জোর দেয়, অথচ মূল নীতি হলো প্রতিবেদনকারী পক্ষ এবং সম্ভাব্য দুর্বল সংস্থা সংলাপে সমান অংশীদার হবে। এই অনুভূতি বর্তমানে প্রচলিত ‘সমন্বিত দুর্বলতা প্রকাশ’ (Coordinated Vulnerability Disclosure, CVD) পরিভাষায় আরও ভালোভাবে ধরা পড়ে, যা এই প্রক্রিয়া সম্পর্কিত ISO 29147 ও 30111 মানদণ্ডেও ব্যবহৃত নাম।

২. সমন্বিত দুর্বলতা

আইটি সিস্টেমের দুর্বলতা সম্পর্কে সচেতনতা বাড়াতে গত ৩০ বছরে বিভিন্ন পদ্ধতি ব্যবহৃত হয়েছে। উদাহরণ:

• ‘পূর্ণ প্রকাশ’ (Full Disclosure), একটি দুর্বলতা সম্পূর্ণ প্রকাশ্যে আনা;

• ‘অপ্রকাশ’ (Non-disclosure), একটি দুর্বলতা বিক্রি করা বা নিজে ব্যবহার করা;

• ‘সমন্বিত দুর্বলতা প্রকাশ’ (CVD), একটি দুর্বলতার সমন্বিত প্রকাশ।

শেষোক্ত চর্চাটি স্পষ্টভাবে পছন্দনীয়।

আইটি সম্প্রদায় জ্ঞান ও অভিজ্ঞতা ভাগ করে নিতে প্রবল ইচ্ছা দেখিয়েছে। তাই এই সম্প্রদায়ের সঙ্গে সহযোগিতা চাওয়া সিস্টেমের সামগ্রিক নিরাপত্তা উন্নত করতে সাহায্য করতে পারে।

সমন্বিত দুর্বলতা প্রকাশের লক্ষ্য

CVD-এর লক্ষ্য হলো দুর্বলতা সম্পর্কে জ্ঞান ভাগ করে নিয়ে আইটি সিস্টেমের নিরাপত্তায় অবদান রাখা। CVD-তে প্রতিবেদনকারী পক্ষের সহযোগিতায় পাওয়া দুর্বলতার একটি যৌথ সমাধানে পৌঁছাতে জ্ঞান এক বা একাধিক সম্ভাব্য দুর্বল সংস্থার সঙ্গে ভাগ করা হয়। ক্ষয়ক্ষতি যথাসম্ভব সীমিত বা প্রতিরোধ করতে প্রভাবিত সংস্থাগুলোর কাছে যেকোনো দুর্বলতা সংশোধন বা সিস্টেম সুরক্ষার জন্য পর্যাপ্ত সময় থাকা গুরুত্বপূর্ণ। প্রক্রিয়ার ভিত্তিপ্রস্তর হলো সংশোধনের পর দুর্বলতা সম্পর্কিত জ্ঞান প্রকাশ।

CVD-তে অপরিহার্য হলো একটি দুর্বলতা কীভাবে জানাতে হবে এবং কীভাবে সামলাতে হবে সে বিষয়ে সব পক্ষ চুক্তি মেনে চলবে। সংস্থা আগেভাগে পূর্বশর্ত প্রকাশ করলে সাহায্য হয়, যেমন কোন সিস্টেম পরিধির মধ্যে এবং কী ধরনের গবেষণা চালানো যাবে। এই পূর্বশর্তগুলোর জন্য একটি গুরুত্বপূর্ণ নীতি হলো, নির্ধারিত শর্তের মধ্যে তদন্ত ও প্রতিবেদন করা হলে সংস্থা নীতিগতভাবে প্রতিবেদনকারী পক্ষকে অভিযুক্ত করবে না বা অন্য আইনি পদক্ষেপ নেবে না। এই নির্দেশিকা CVD-র নীতিগুলো বাস্তবায়নে সংস্থাগুলোকে নিজস্ব নীতি প্রণয়নে দিকনির্দেশনা দেয়।

নাম থেকেই বোঝা যায়, CVD-র কেন্দ্রে রয়েছে সংস্থা ও প্রতিবেদনকারী পক্ষের পারস্পরিক সমন্বয়। এ ক্ষেত্রে দুর্বলতা জানানো ব্যক্তি এবং সংস্থার ভেতরে সমস্যা সমাধানের দায়িত্বপ্রাপ্ত ব্যক্তির মধ্যে যোগসূত্র যতটা সম্ভব কম থাকা উচিত।

কোনো দুর্বলতা অনেক সিস্টেমকে প্রভাবিত করলে একই সময়ে একাধিক পক্ষকে জানানো গুরুত্বপূর্ণ হতে পারে। সেক্ষেত্রে NCSC বা নিরাপত্তা সম্প্রদায়ের অন্য পক্ষগুলো সমন্বয়কারীর ভূমিকা থেকে CVD প্রক্রিয়াকে সমর্থন করতে পারে।

৩. দায়িত্বের ক্ষেত্র

CVD নীতি অনুসরণের লক্ষ্য হলো আইটি সিস্টেমের দুর্বলতা কমাতে প্রতিবেদনকারী পক্ষ ও সংস্থা একসঙ্গে কাজ করবে। এই নীতির বাস্তবায়নকে তথ্য নিরাপত্তা সংক্রান্ত বিদ্যমান ব্যবস্থার পরিপূরক হিসেবে দেখা উচিত। বিভিন্ন কুশীলবের প্রত্যেকের নিজস্ব ভূমিকা ও দায়িত্ব আছে। এগুলো নিচে আরও বিস্তারিত ব্যাখ্যা করা হলো।

যে সংস্থা একটি সিস্টেমের মালিক/ব্যবস্থাপক

যে সংস্থা একটি সিস্টেমের মালিক/ব্যবস্থাপক বা সরবরাহকারী, এই সিস্টেমের নিরাপত্তার জন্য প্রাথমিকভাবে সেই সংস্থাই দায়ী। অর্থাৎ দুর্বলতা প্রতিবেদনের অনুসরণের জন্যও সংস্থা দায়ী।

সংস্থা এই নির্দেশিকা ব্যবহার করে নিজস্ব CVD নীতি প্রণয়ন করতে এবং এই নীতি সম্ভাব্য প্রতিবেদনকারী পক্ষগুলোকে জানাতে বেছে নিতে পারে। CVD নীতি প্রকাশ করে সংস্থাগুলো দুর্বলতা সম্পর্কিত তথ্য গ্রহণে তাদের ইচ্ছা দেখায়।

CVD নীতি প্রতিষ্ঠাকারী পক্ষ এই নীতিতে প্রতিশ্রুতিবদ্ধ হতে পারে যে নীতির নিয়মাবলি মানা হলে তারা পুলিশের কাছে অভিযোগ করবে না।

প্রতিবেদনকারী পক্ষ একটি দুর্বলতা জানানোর পর দায়িত্ব সংস্থার ওপর বর্তায়। এটি উপলব্ধি করা গুরুত্বপূর্ণ যে প্রতিবেদনকারী পক্ষ প্রায়ই সংস্থার বাইরের কেউ। দুর্বলতা জানানোর পর যে অভ্যন্তরীণ প্রক্রিয়া শুরু হতে পারে তার সরাসরি দৃশ্য এই পক্ষের নেই। ফলে দুর্বলতা সমাধানের অগ্রগতি সম্পর্কে অবহিত হলে প্রতিবেদনকারী পক্ষ কৃতজ্ঞ থাকবে। অনুসরণ ও সমাধানের সময়োপযোগিতা সম্পর্কে সঠিক প্রত্যাশা তৈরির জন্যও এই চলমান যোগাযোগ গুরুত্বপূর্ণ।

দুর্বলতা প্রতিবেদনকারী পক্ষ

কোনো না কোনোভাবে প্রতিবেদনকারী পক্ষ একটি দুর্বলতা শনাক্ত করতে পেরেছে এবং এই দুর্বলতা সংশোধন করিয়ে এবং সম্ভবত পরবর্তী পর্যায়ে প্রকাশ্য করিয়ে আইটি সিস্টেমের নিরাপত্তায় অবদান রাখতে চায়। প্রতিবেদনকারী পক্ষ নিষ্ক্রিয় পর্যবেক্ষণের মাধ্যমে বা আইটি সিস্টেম সক্রিয়ভাবে পরীক্ষা করে কিছু আবিষ্কার করে থাকতে পারে। অবশ্যই এই পক্ষ নিজের কাজ এবং কীভাবে দুর্বলতা আবিষ্কার করেছে তার জন্য দায়ী। একটি সংস্থা তার CVD নীতিতে যে শর্ত নির্ধারণ করেছে তা সম্পর্কে সচেতন থাকা প্রতিবেদনকারী পক্ষের নিজের দায়িত্ব। বেশিরভাগ সরকার ও কোম্পানি তাদের ওয়েবসাইটে CVD নীতি প্রকাশ করেছে।

তবুও দুর্বলতা খোঁজার মধ্যে আইন ভাঙা জড়িত থাকতে পারে। CVD-র প্রেক্ষাপটে সংস্থা ও প্রতিবেদনকারী পক্ষ একমত হতে পারে যে কোনো অপরাধমূলক কাজের জন্য তারা অভিযোগ করবে না। এ ক্ষেত্রে সংস্থার প্রকাশিত CVD নীতি হলো নির্দেশক নীতি। পক্ষগুলো এও একমত হতে পারে যে কোনো দেওয়ানি পদক্ষেপ নেওয়া হবে না।

প্রতিবেদনকারী পক্ষ আইন ভেঙেছে এমন সন্দেহ থাকলে, CVD নীতি প্রথমত প্রতিবেদককে কর্তৃপক্ষের কাছে অভিযুক্ত হওয়া থেকে রক্ষা করতে সাহায্য করতে পারে। এই পদ্ধতি সম্পূর্ণ নির্ভর করে নীতির সেই পূর্বশর্তের ওপর যা মানতে সংস্থা প্রতিবেদনকারী পক্ষকে বাধ্য করে এবং এই সম্মতি অর্জিত হয়েছে কি না তার ওপর, সম্ভবত সংশ্লিষ্ট প্রতিশ্রুতিসহ যে পক্ষটি নীতির শর্তের মধ্যে কাজ করলে ফৌজদারি অভিযোগ দায়ের করা হবে না। পুলিশে প্রতিবেদন করা হলে, নেদারল্যান্ডসে CVD নীতির অস্তিত্ব এবং তা মানা একটি প্রাসঙ্গিক পরিস্থিতি, যা ফৌজদারি তদন্ত শুরু এবং/অথবা বিচার শুরু করবে কি না তা ঠিক করার সময় পাবলিক প্রসিকিউটর বিবেচনা করবেন। নীতিগতভাবে, প্রতিবেদনকারী পক্ষ সংশ্লিষ্ট সংস্থার CVD নীতির নিয়ম স্পষ্টভাবে মেনে চললে পুলিশ এবং পাবলিক প্রসিকিউশন সার্ভিস (OM) ফৌজদারি তদন্ত শুরু করবে না। তবে প্রতিবেদনকারী পক্ষ সচেতনভাবে বা অচেতনভাবে তার কাজে সীমা ছাড়িয়ে গেছে এবং/অথবা CVD নীতি মানতে ব্যর্থ হয়েছে এমন ইঙ্গিত থাকলে পাবলিক প্রসিকিউশন সার্ভিস ও পুলিশ মামলাটি আরও তদন্ত করতে পারে। এই তদন্তের ভিত্তিতে পাবলিক প্রসিকিউশন সার্ভিস বিচার শুরু করবে কি না তা সিদ্ধান্ত নিতে পারে।

পাবলিক প্রসিকিউশন সার্ভিস একটি নীতিপত্র প্রকাশ করেছে, যাতে তদন্ত এবং/অথবা বিচারের সিদ্ধান্তে পৌঁছাতে গুরুত্বপূর্ণ বিষয়গুলো আরও নির্দিষ্টভাবে আলোচিত হয়েছে। উদাহরণস্বরূপ, প্রতিবেদনকারী পক্ষের কাজ কোনো গুরুত্বপূর্ণ জনস্বার্থে ছিল কি না, পক্ষটি অসামঞ্জস্যপূর্ণভাবে কাজ করেছে কি না, এবং পক্ষটি সম্ভবত অন্য কোনো কম কঠোর উপায়ে কাজ করতে পারত কি না। প্রাসঙ্গিক নীতিপত্র এই বিষয়গুলো আরও বিশদে ব্যাখ্যা করে।২ ২০১৩ সাল থেকে প্রাসঙ্গিক মামলার নজির৩ দেখায় যে কোনো সংস্থার CVD নীতি না থাকলেও আদালতে এই বিষয়গুলো বিবেচনা করা হয়।

৪. সমন্বিত দুর্বলতা প্রকাশ প্রক্রিয়ার মূল উপাদান

সংস্থা, প্রতিবেদক এবং NCSC-র জন্য CVD প্রক্রিয়া গঠনের মূল উপাদানগুলো নিচে দেওয়া হলো।

সংস্থা

CVD প্রচারের শুরু হয় এমন সংস্থা থেকে, যার আইটি সিস্টেম আছে বা যে কোনো আইটি পণ্য/সিস্টেম সরবরাহ করে। সর্বোপরি, এই আইটি সিস্টেমগুলোর তথ্য নিরাপত্তার জন্য প্রাথমিকভাবে এই সংস্থাই দায়ী। দুর্বলতা সমাধানে বিভিন্ন পক্ষের সঙ্গে কার্যকরভাবে কাজ করতে সংস্থা একটি CVD নীতি প্রণয়ন ও প্রকাশ করার সিদ্ধান্ত নিতে পারে। নিজস্ব CVD নীতি প্রণয়ন সংস্থাকে দেখাতে দেয় যে সে দুর্বলতার প্রতিবেদন কীভাবে সামলায়। এভাবে একটি সংস্থা কীভাবে বিজ্ঞপ্তি গ্রহণ করতে চায় তারও রূপ দিতে পারে। এমন একটি প্রক্রিয়া নিম্নরূপে সাজানো যেতে পারে:

• সংস্থা একটি CVD নীতি প্রতিষ্ঠা ও প্রকাশ করে।

• এই নীতিতে সংস্থা প্রতিবেদনকারী পক্ষগুলো যে গবেষণা চালাতে পারে তার জন্য স্পষ্ট নিয়ম দেয়, যেমন কোন কৌশল অনুমোদিত এবং কোন সিস্টেম পরিধির ভেতরে বা বাইরে।

• সংস্থা প্রতিবেদনকারী পক্ষের জন্য প্রতিবেদন করা সহজ করে। একটি বিকল্প হলো প্রমিত প্রতিবেদন পদ্ধতির ব্যবহার; যেমন একটি নির্দিষ্ট ইমেইল ঠিকানা বা অনলাইন ফর্ম। এছাড়া সংস্থা বেনামি প্রতিবেদন গ্রহণ করবে কি না তা ঠিক করতে পারে।

• সংস্থা অভ্যন্তরীণ সক্ষমতা সংরক্ষণ করে এবং প্রতিবেদনে যথাযথভাবে সাড়া দিতে একটি প্রক্রিয়া গড়ে তোলে। এমন একটি প্রক্রিয়া গড়ে তোলা বাঞ্ছনীয়, যার মাধ্যমে পাওয়া যেকোনো দুর্বলতা যথাযথভাবে সংশোধন করা যায়। এ ক্ষেত্রে প্রতিবেদনের উৎস অপ্রাসঙ্গিক। উদাহরণস্বরূপ, দুর্বলতা কোনো অভ্যন্তরীণ কর্মচারী বা পরীক্ষার সময়ও শনাক্ত হতে পারে।

• বাস্তব অভিজ্ঞতা দেখায় যে CVD নীতির প্রথম প্রকাশনার পর সংস্থার কাছে দুর্বলতা জানানোর আগ্রহ বেশি হবে। (অতিরিক্ত) সক্ষমতা পরিকল্পনার সময় সংস্থার এটি বিবেচনা করা উচিত।

• সংস্থা দুর্বলতা প্রতিবেদন পেলে, প্রতিবেদনটি মূল্যায়ন ও মোকাবিলার জন্য সবচেয়ে উপযুক্ত বিভাগে যত দ্রুত সম্ভব পৌঁছায় তা নিশ্চিত করে।

• সংস্থা প্রতিবেদনকারী পক্ষের কাছে প্রতিবেদন প্রাপ্তির স্বীকৃতি পাঠায়, অগ্রাধিকার জোর দিতে বিশেষত ডিজিটালভাবে স্বাক্ষরিত।

• এরপর সংস্থা প্রতিবেদনকারী পক্ষের সঙ্গে পরামর্শ করবে যাতে কোন সময়সীমার মধ্যে কোনো প্রকাশনা ঘটবে তা নির্ধারণ করা যায়। এই সময়সীমা দুর্বলতার প্রকৃতি ও সিস্টেমের ধরনের ওপর ব্যাপকভাবে নির্ভর করবে।

• নির্দেশক হিসেবে সফটওয়্যার দুর্বলতার জন্য প্রায়ই প্রায় ৬০ দিনের সময়সীমা ব্যবহৃত হয়। হার্ডওয়্যারের দুর্বলতা সংশোধন করা অর্জন করা আরও কঠিন; ৬ মাসের একটি নির্দেশক ব্যবহার করা যেতে পারে।

• যে সিস্টেমের জন্য দুর্বলতা জানানো হয়েছে তার ওপর কতগুলো আইটি সিস্টেম নির্ভর করে, বা দুর্বলতা সমাধান সহজ না কঠিন, তার ওপর ভিত্তি করে পারস্পরিক সম্মতিতে এই সময়সীমা বাড়ানো বা কমানো বাঞ্ছনীয় হতে পারে।

• একটি দুর্বলতা সমাধান করা কঠিন বা অসম্ভব প্রমাণিত হতে পারে, বা সমাধানে উচ্চ খরচ জড়িত থাকতে পারে। এমন ক্ষেত্রে সংস্থা, সম্ভবত প্রতিবেদনকারী পক্ষের সঙ্গে পরামর্শ করে, দুর্বলতাকে গৃহীত ঝুঁকি হিসেবে গণ্য করতে এবং তা সংশোধন না করতে সম্মত হতে পারে।

• সংস্থা প্রতিবেদনকারী পক্ষকে প্রক্রিয়ার অগ্রগতি সম্পর্কে অবহিত রাখবে।

• এছাড়া সংস্থা প্রস্তাব দিতে পারে যে দুর্বলতা প্রকাশের জন্য প্রতিবেদনকারী পক্ষকে প্রকাশ্যে স্বীকৃতি দেওয়া হবে। বাইরের জগতে যৌথ প্রকাশের বিকল্পও বেছে নেওয়া সম্ভব।

• প্রতিবেদনকারী পক্ষ CVD নীতির নিয়ম মেনে থাকলে সিস্টেমের দুর্বলতা জানানোর জন্য তাকে পুরস্কৃত করা বাঞ্ছনীয়। পুরস্কারের পরিমাণ প্রতিবেদনের মানের ওপর নির্ভর করতে পারে। প্রতিবেদনকারী পক্ষকে পুরস্কৃত করলে সেই পক্ষ ও সংস্থার মধ্যে ভালো সম্পর্ক তৈরি হতে পারে, এবং CVD নীতি অনুযায়ী নতুন প্রতিবেদন করার মানুষের ইচ্ছাও বাড়তে পারে।

• প্রতিবেদনকারী পক্ষের সঙ্গে পরামর্শ করে, দুর্বলতা অন্যত্রও থাকার সম্ভাবনা থাকলে সংস্থা বৃহত্তর আইটি সম্প্রদায়কে দুর্বলতা সম্পর্কে জানাতে সম্মত হতে পারে।

• তার CVD নীতিতে সংস্থা এই নীতিতে প্রতিশ্রুতিবদ্ধ হতে পারে যে প্রতিবেদনকারী পক্ষ নীতিতে উল্লিখিত নিয়ম মেনে চললে সে পুলিশের কাছে অভিযোগ দায়ের করবে না।

প্রতিবেদনকারী পক্ষ

প্রতিবেদনকারী পক্ষ একটি সফল CVD প্রক্রিয়ার চাবিকাঠি। কোনো না কোনোভাবে এই পক্ষ একটি দুর্বলতা শনাক্ত করতে পেরেছে এবং সংস্থা দ্বারা এই দুর্বলতা সংশোধন করিয়ে এবং প্রকাশ্য করিয়ে আইটি সিস্টেমের নিরাপত্তায় অবদান রাখতে চায়। এটি করার মাধ্যমে প্রতিবেদনকারী পক্ষগুলো স্বীকার করে যে সমন্বিত পদ্ধতিতে দুর্বলতা প্রকাশ করে তারা সমাজে গুরুত্বপূর্ণ অবদান রাখতে পারে। একটি সফল CVD প্রক্রিয়া অর্জনে প্রতিবেদনকারী পক্ষের জন্য নিম্নলিখিত মূল উপাদানগুলো গুরুত্বপূর্ণ:

• প্রতিবেদনকারী পক্ষ নিজের কাজের জন্য দায়ী এবং দুর্বলতা অনুসন্ধান ও প্রতিবেদনের সময় আনুপাতিকতা এবং সহায়কতা (subsidiarity) উভয় নীতিই মেনে চলতে হবে। অন্য কথায়, প্রতিবেদনকারী পক্ষ দুর্বলতা প্রদর্শনে যা প্রয়োজন তার বেশি করবে না এবং সবসময় প্রথমে সিস্টেম/তথ্যের মালিকের কাছে দুর্বলতা জানাবে।

• ক্ষতিকর পক্ষগুলো দুর্বলতা আবিষ্কার করে তার সুযোগ নেওয়া ঠেকাতে প্রতিবেদনকারী পক্ষকে যত দ্রুত সম্ভব সমস্যাটি জানাতে হবে।

• অন্যরা এই তথ্য পাওয়া ঠেকাতে প্রতিবেদনকারী পক্ষকে সংস্থার কাছে প্রতিবেদন গোপনীয় উপায়ে করতে হবে।

• প্রতিবেদনকারী পক্ষ প্রতিবেদন জমা দেওয়া বা আরও তথ্য সরবরাহ করা পুরস্কারের ওপর নির্ভরশীল করতে পারবে না। প্রতিবেদনের ক্ষেত্রে পুরস্কার দেওয়ার উদ্যোগ গ্রহণকারী সংস্থার হাতে, যে সংস্থা তার প্রকাশিত নীতিতে পূর্বশর্ত নির্ধারণ করতে পারে।

• প্রতিবেদনকারী পক্ষ ও সংস্থা দুর্বলতা প্রকাশ সম্পর্কে স্পষ্ট চুক্তি করে। একাধিক সংস্থা জড়িত থাকলে মূল নীতি হলো, কেবল সব সংস্থা এ বিষয়ে একমত হলেই দুর্বলতা প্রকাশ করা যাবে। এই চুক্তিগুলো প্রাথমিক পর্যায়ে করা বাঞ্ছনীয়।

• প্রতিবেদনকারী পক্ষ ও সংশ্লিষ্ট সংস্থা বৃহত্তর আইটি সম্প্রদায়কে জানানোর বিষয়ে চুক্তি করতে পারে। উদাহরণস্বরূপ, এই পরিস্থিতি এমন দুর্বলতার ক্ষেত্রে প্রযোজ্য হতে পারে (ইতোমধ্যে জানা হোক বা না হোক) যা একাধিক স্থানে বিদ্যমান বলে জানা আছে। কেন্দ্রীয় সরকার ও গুরুত্বপূর্ণ অবকাঠামোর লক্ষ্যগোষ্ঠীকে সহায়তা করতে বা অনেক সিস্টেমকে প্রভাবিত করে এমন দুর্বলতার ক্ষেত্রে একাধিক পক্ষকে জানাতে জাতীয় সাইবার নিরাপত্তা কেন্দ্র (NCSC)-কে এই প্রক্রিয়ায় যুক্ত করা যেতে পারে।

NCSC

CVD প্রক্রিয়া প্রাথমিকভাবে সংস্থা ও প্রতিবেদনকারী পক্ষের বিষয়। তবুও NCSC CVD প্রক্রিয়ার ব্যবহারকে উৎসাহিত করবে। প্রতিবেদনকারী পক্ষ ও সংস্থার সঙ্গে পরামর্শ করে NCSC দুর্বলতা থেকে সৃষ্ট আরও নিরাপত্তা ঝুঁকি সীমিত করতে তার সেবাপ্রাপ্ত সম্প্রদায়ের (constituency) সঙ্গে দুর্বলতা বিষয়ক তথ্য ভাগ করে নেওয়ায়ও যুক্ত হতে পারে।

দুর্বলতার প্রতিবেদন প্রতিবেদনকারী পক্ষের প্রত্যাশা অনুযায়ী না চললে, বা তারা সরাসরি সংস্থার কাছে দুর্বলতা না জানাতে চাইলে, তারা NCSC-র সঙ্গে যোগাযোগ করতে পারে।৪ এ ক্ষেত্রে NCSC প্রয়োজনে মধ্যস্থতাকারী হিসেবে কাজ করতে পারে।

আইটি সিস্টেমের মালিক সবসময় সিস্টেমের নিরাপত্তার জন্য দায়ী। NCSC সিস্টেমের মালিককে দুর্বলতা সংশোধনে বাধ্য করতে পারে না, বা মালিক প্রতিবেদনকারী পক্ষের বিরুদ্ধে আইনি পদক্ষেপ নেবে না তার নিশ্চয়তাও দিতে পারে না। ফলস্বরূপ, দুর্বলতা খোঁজা ও জানানোর সময় প্রতিবেদনকারী পক্ষকে সংস্থা ও প্রতিবেদনকারী পক্ষের জন্য উপরোক্ত মূল উপাদানগুলো বিবেচনায় নিতে হবে। প্রতিবেদনকারী পক্ষ আশা করতে পারে যে NCSC দুর্বলতা সংশোধনের জন্য যথাসাধ্য চেষ্টা করবে এবং প্রতিবেদন গোপনীয়ভাবে সামলাবে। আইনত বাধ্য না হলে NCSC কোনো ব্যক্তিগত তথ্য ভাগ করে না।

সম্ভব হলে NCSC সংস্থা ও প্রতিবেদনকারী পক্ষের সঙ্গে পরামর্শ করে দুর্বলতা সম্পর্কে প্রাপ্ত তথ্য আইটি সম্প্রদায়ের সঙ্গে জ্ঞান আরও ভাগ করতে ব্যবহার করবে। উদাহরণস্বরূপ, তথ্যের একাংশ প্রকাশ করে, একটি ফ্যাক্ট শিট বা হোয়াইট পেপার লিখে বা হালনাগাদ করে, বা নির্দিষ্ট সংস্থাকে জানিয়ে এটি করতে পারে।

• সংশ্লিষ্ট সংস্থা এবং প্রতিষ্ঠিত দুর্বলতার প্রকৃতির ওপর নির্ভর করে NCSC দুর্বলতাটি সংশ্লিষ্ট সংস্থার দৃষ্টিতে আনতে চেষ্টা করবে। তবে প্রশ্নাধীন আইটি সিস্টেমের মালিক সিস্টেমের জন্য দায়ী থাকে।

• সম্ভব ও প্রয়োজনীয় হলে NCSC সংশ্লিষ্ট সংস্থাকে দুর্বলতা সংশোধনের উপায় সম্পর্কে পরামর্শ দেবে।

• NCSC প্রতিবেদন গোপনীয়ভাবে সামলাবে এবং আইনি বাধ্যবাধকতা থেকে না এলে সম্মতি ছাড়া প্রতিবেদনকারী পক্ষ বা গ্রহণকারী সংস্থার ব্যক্তিগত তথ্য ভাগ করবে না।

• যেখানে সম্ভব NCSC সংস্থার সঙ্গে যোগাযোগ এবং দুর্বলতা সংশোধনের অগ্রগতি সম্পর্কে প্রতিবেদনকারী পক্ষকে অবহিত রাখবে।

• যেসব ক্ষেত্রে NCSC-তে প্রতিবেদন করা হয়, NCSC প্রতিবেদনকারী পক্ষ বা সম্ভাব্য প্রতিবেদনকারী পক্ষ এবং সংস্থাকে পরস্পরের সংস্পর্শে আনার চেষ্টা করবে।

উদাহরণস্বরূপ, প্রতিবেদনকারী পক্ষ কোনো সফটওয়্যার পণ্যে বা অনেক ভিন্ন সিস্টেমকে প্রভাবিত করে এমন দুর্বলতা পেলে, সে NCSC-কে দুর্বলতা সংশোধন ও প্রকাশ সমন্বয় করতে অনুরোধ করতে পারে।

প্রতিবেদনকারী পক্ষ, অংশীদার, ডেভেলপার এবং/অথবা সফটওয়্যার ডেভেলপার এবং অন্যান্য নিরাপত্তা দলের সঙ্গে মিলে NCSC নিয়ন্ত্রিত উপায়ে দুর্বলতা বিশ্লেষণ, সংশোধন বা সংশোধন করিয়ে নেওয়া, সমন্বয় ও প্রকাশে সাহায্য করবে। এই পুরো প্রক্রিয়া দুর্বলতা খুঁজে পাওয়া প্রতিবেদনকারী পক্ষের সঙ্গে ঘনিষ্ঠ পরামর্শে ঘটে।

একটি CVD নীতি ব্যবস্থা নেওয়া যেতে পারে এমন যত দ্রুত সম্ভব দুর্বলতা প্রকাশের গুরুত্ব এবং ডেভেলপার ও সরবরাহকারীদের দুর্বলতা সংশোধনের জন্য পর্যাপ্ত সময় পাওয়ার গুরুত্বের মধ্যে ভারসাম্য আনার চেষ্টা করে। এই প্রক্রিয়ার জন্য NCSC প্রতিবেদন ও প্রকাশ্য প্রকাশের মধ্যে ৬০ দিনের একটি আদর্শ সময় ব্যবহার করে। তবে এমন পরিস্থিতি থাকতে পারে যেখানে এই সময়সীমা বাড়ানো বা কমানোর সিদ্ধান্ত নেওয়া হতে পারে।

NCSC কেবল প্রতিবেদনকারী পক্ষের সঙ্গে পরামর্শের পরই তৃতীয় পক্ষের সঙ্গে দুর্বলতা সম্পর্কিত তথ্য ভাগ করবে। এই প্রেক্ষাপটে অপরিহার্য যে NCSC সহযোগিতা করে এবং তাই সমন্বিতভাবে একটি দুর্বলতা প্রকাশ করতে অংশীজনদের সঙ্গে দুর্বলতা সম্পর্কিত তথ্য ভাগ করে। এটি করার সময় NCSC নিশ্চিত করবে যে সঠিক পক্ষগুলো দুর্বলতা সংশোধনে কাজ করতে পারে, কোনো ক্ষয়ক্ষতি সীমিত করতে সাহায্য করে এবং পাওয়া দুর্বলতার দিকে দৃষ্টি আকর্ষণ করতে সাহায্য করে।

৫. যোগাযোগ ও প্রকাশ প্রক্রিয়া

পাঁচ বছরের চর্চা দেখিয়েছে যে স্পষ্ট যোগাযোগই একটি সফল CVD প্রক্রিয়ার ভিত্তিপ্রস্তর। CVD প্রক্রিয়ার আগে, চলাকালীন এবং পরে মনোযোগের বিষয় রয়েছে।

প্রকাশ প্রক্রিয়া সম্পর্কে যোগাযোগ

CVD নীতি প্রকাশ প্রক্রিয়া সম্পর্কে যোগাযোগের প্রথম ধাপ। প্রকাশ্যে নীতি প্রকাশ করার মাধ্যমে প্রতিবেদনকারী পক্ষগুলোকে পাওয়া যেকোনো দুর্বলতা সম্পর্কে সংস্থাকে জানাতে আমন্ত্রণ জানানো হয়।

একদিকে, দুর্বলতা আবিষ্কারের জন্য যে গবেষণা করা হয় এবং যোগাযোগ কীভাবে করা হয় তার শর্ত সংস্থা তৈরি করতে পারে। অন্যদিকে, নীতির নিয়ম মানা হলে সংস্থা পুলিশের কাছে অভিযোগ না করার নীতিতে প্রতিশ্রুতিবদ্ধ হতে পারে। এই পদ্ধতি প্রতিবেদনকারী পক্ষের অবস্থান রক্ষা করে।

CVD নীতি পরবর্তী সময়ে পরিবর্তিত বা হালনাগাদ হতে পারে। এ ক্ষেত্রে পরিবর্তন সম্পর্কে স্পষ্ট থাকা গুরুত্বপূর্ণ। কী এবং কখন পরিবর্তিত হয়েছে তা জানাতে প্রতিবেদনকারী পক্ষগুলোর আগ্রহ আছে। উদাহরণস্বরূপ, CVD নীতির শুরুতে প্রকাশের তারিখ যোগ করে, CVD নীতির নিচে পরিবর্তনের সারসংক্ষেপ বর্ণনা করে বা CVD নীতির পুরনো সংস্করণের সংরক্ষণাগার রেখে পরিবর্তন পরিষ্কার করা যায়।

প্রক্রিয়া চলাকালীন কীভাবে যোগাযোগ করতে হবে সে বিষয়ে CVD নীতি নির্দেশিকা দিতে পারে, যেমন ইমেইল বা ওয়েব পোর্টালের মাধ্যমে নিয়মিত হালনাগাদ নির্দেশ করে। এছাড়া CVD নীতি বর্ণনা করতে পারে হালনাগাদে উল্লেখ করে, হল অফ ফেমে (hall of fame) অন্তর্ভুক্ত করে বা অন্য কোনো ধরনের পুরস্কারের মাধ্যমে প্রতিবেদককে কীভাবে স্বীকৃতি দেওয়া যেতে পারে।

প্রকাশ প্রক্রিয়া চলাকালীন যোগাযোগ

একটি প্রতিবেদনকারী পক্ষ সংস্থার কাছে বার্তা পাঠিয়ে CVD প্রক্রিয়া শুরু করে। এই বার্তায় প্রতিবেদনকারী পক্ষ আবিষ্কৃত দুর্বলতার একটি স্পষ্ট বর্ণনা দেয়। গুরুত্বপূর্ণ উপাদান হলো প্রভাবিত সিস্টেমের IP ঠিকানা বা URL এবং দুর্বলতা পুনরুৎপাদনের প্রয়োজনীয় ধাপ।

সংস্থার জন্য প্রতিবেদনকারী পক্ষের সঙ্গে স্পষ্টভাবে যোগাযোগ করা গুরুত্বপূর্ণ, যাতে প্রক্রিয়া সম্পর্কে প্রত্যাশা পরিষ্কার থাকে।

এটি সংস্থা ইতোমধ্যে প্রাপ্তির স্বীকৃতি (স্বয়ংক্রিয় বা অন্যথায়) পাঠিয়ে করতে পারে, যাতে কত সময়ের মধ্যে প্রাথমিক বা পরবর্তী মৌলিক সাড়া পাঠানো হবে তার ইঙ্গিত থাকে।

এই সময়সীমা উন্মুক্ত রেখে প্রতিবেদনের বিষয়বস্তু মূল্যায়নের পর সময়সীমার একটি প্রাথমিক ইঙ্গিত দেওয়াও সম্ভব। কোন সময়ের মধ্যে সমাধান অর্জন করা যেতে পারে সে বিষয়ে যত দ্রুত সম্ভব স্পষ্ট থাকা বাঞ্ছনীয়। এভাবে প্রতিবেদক জানে কখন ফল আশা করা যেতে পারে।

কিছু ক্ষেত্রে এমন হতে পারে যে প্রকাশের তারিখ প্রতিবেদনকারী পক্ষের কাছে ইতোমধ্যেই স্পষ্ট; যেমন কোনো সম্মেলনে উপস্থাপনার কারণে বা প্রতিবেদনকারী পক্ষ নিজের সময়সীমা নির্ধারণ করে নেওয়ায়। এ ক্ষেত্রেও প্রতিবেদনকারী পক্ষের এই সময়রেখা স্পষ্টভাবে জানানো, যত তাড়াতাড়ি সম্ভব তা উল্লেখ করা এবং এই তারিখ পিছিয়ে দেওয়ার সম্ভাবনা/অসম্ভাবনা সম্পর্কে স্পষ্ট থাকা গুরুত্বপূর্ণ।

প্রতিবেদনকারী পক্ষ প্রায়ই সংস্থার বাইরের কেউ, যার প্রতিবেদনের কারণে শুরু হতে পারে এমন অভ্যন্তরীণ প্রক্রিয়া সম্পর্কে কোনো ধারণা নেই। সংস্থাগুলো নিয়মিত হালনাগাদের মাধ্যমে প্রতিবেদনকারী পক্ষকে প্রক্রিয়ার অগ্রগতি সম্পর্কে অবহিত রাখতে পারে। এই পদ্ধতি প্রতিবেদনকারী পক্ষের কাছে স্পষ্ট করে যে সমাধানে কাজ চলছে। প্রয়োজনে সংস্থা প্রক্রিয়া চলাকালীন ব্যাখ্যা চাইতে বা একটি সমাধান পরীক্ষা করার অনুরোধ জানাতে পারে।

সংস্থা প্রাথমিক সমাধানের সময়সীমা পূরণ করতে না পারলে, তা পিছিয়ে দিতে প্রতিবেদকের সঙ্গে আলোচনা করা যেতে পারে। নিয়মিত যোগাযোগ প্রতিবেদকের কাছে এই পরিস্থিতি আগের পর্যায়ে স্পষ্ট করতে পারে।

CVD-র মূল উদ্দেশ্য দুর্বলতা প্রশমিত করা, কিন্তু প্রক্রিয়াটি অনেক বেশি সময় নেবে বলে মনে করলে দুর্বলতার ‘পূর্ণ প্রকাশ’ সবসময় প্রতিবেদনকারী পক্ষের একটি বিকল্প। এই ব্যবস্থা হলো প্রতিবেদনকারী পক্ষের হাতে থাকা প্রবাদপ্রতিম ‘বড় লাঠি’। স্বাভাবিকভাবেই এই পরিস্থিতি যথাসম্ভব এড়ানো উচিত।

প্রকাশ প্রক্রিয়ার পরে যোগাযোগ

একজন প্রতিবেদনকারী পক্ষ কেন দুর্বলতা খোঁজে এবং তারপর CVD প্রক্রিয়ার মাধ্যমে সংস্থাগুলোর কাছে তা জানায় তার অনেক সম্ভাব্য কারণ আছে। বিপুল সংখ্যক প্রতিবেদনকারী পক্ষের জন্য একটি গুরুত্বপূর্ণ প্রণোদনা হলো (প্রকাশ্য) স্বীকৃতি।

প্রতিবেদনকারী পক্ষগুলো হালনাগাদে ধন্যবাদ বা হল অফ ফেমে প্রবেশের মাধ্যমে প্রকাশ্য স্বীকৃতি পায়। তবে প্রকাশ্য স্বীকৃতির প্রয়োজন সব প্রতিবেদনকারী পক্ষের জন্য প্রযোজ্য নয়; আসলে কেউ কেউ জনসাধারণের কাছে পরিচিত হতে চায় না। তাই সংস্থার পক্ষ থেকে যোগাযোগের ক্ষেত্রে তাদের নাম উল্লেখ করার জন্য প্রতিবেদনকারী পক্ষের সম্মতি নেওয়া বাঞ্ছনীয়।

এছাড়া প্রতিবেদনকারী পক্ষগুলো CVD প্রক্রিয়া সম্পন্ন হওয়ার পর প্রতিবেদন সম্পর্কে যোগাযোগ করার সিদ্ধান্তও নিতে পারে। উদাহরণস্বরূপ, প্রতিবেদনকারী পক্ষ আবিষ্কারের প্রক্রিয়া বর্ণনা করতে বা দুর্বলতা সম্পর্কে অন্যদের সতর্ক করতে পারে। একজন প্রতিবেদক তথ্য জানানোর উদ্দেশ্যে প্রকাশনাটি সংস্থার কাছে জমা দেওয়ার সিদ্ধান্ত নিতে পারে। যেহেতু দুর্বলতা অপসারণের পর CVD প্রক্রিয়া নীতিগতভাবে সম্পন্ন হয়, তাই নীতিতে বা প্রক্রিয়া চলাকালে অতিরিক্ত চুক্তি না হয়ে থাকলে প্রতিবেদনকারী পক্ষ পরে এ বিষয়ে যোগাযোগে স্বাধীন।

তালিকা

প্রকাশ প্রক্রিয়া সম্পর্কে যোগাযোগ

• ওয়েবসাইটে CVD নীতি প্রকাশ

• বিধিনিষেধ সম্পর্কে স্পষ্ট থাকুন (বিভিন্ন পদ্ধতির জন্য অধ্যায় ৬ দেখুন)

• অনুসন্ধান পদ্ধতিতে বিধিনিষেধ

• যোগাযোগ সম্পর্কিত নির্দেশিকা

• সম্ভাব্য পুরস্কার সম্পর্কিত নির্দেশিকা: হল অফ ফেম, আর্থিক পুরস্কার, টি-শার্ট ইত্যাদি

• CVD নীতির যেকোনো হালনাগাদ সম্পর্কে স্পষ্ট থাকুন, পরিবর্তনের তারিখসহ

প্রকাশ প্রক্রিয়া চলাকালীন যোগাযোগ

• প্রতিবেদক একটি আবিষ্কৃত দুর্বলতা সম্পর্কে সংস্থার সঙ্গে যোগাযোগ করে।

• সংস্থা প্রত্যাশা ব্যবস্থাপনা করে, যেমন প্রথম প্রযুক্তিগত সাড়ার জন্য সাড়ার সময়

• সংস্থা ও প্রতিবেদক প্রত্যাশিত সমাধান সময়কাল সম্পর্কে পরস্পরকে স্পষ্টতা দেয়

• সংস্থা ঘন ঘন (প্রক্রিয়া) হালনাগাদ দেয়

• প্রয়োজনে প্রতিবেদক ও সংস্থা অন্যান্য প্রাসঙ্গিক সংস্থার সঙ্গে যোগাযোগ নিয়ে আলোচনা করে

প্রকাশ প্রক্রিয়ার পরে যোগাযোগ

• প্রতিবেদকের (প্রকাশ্য) স্বীকৃতি ও পুরস্কার নিয়ে আলোচনা করুন

• দুর্বলতা সম্পর্কিত তথ্য কীভাবে প্রকাশিত হবে তার ব্যবস্থা করুন, যেমন গবেষণা পর্যায় বা অন্যান্য সংস্থাকে জানানো

৬. সমন্বিত দুর্বলতা প্রকাশ নীতির উদাহরণ

সমন্বিত দুর্বলতা প্রকাশ সম্পর্কিত নীতিপাঠের বহু ভিন্ন রূপ আছে। প্রকাশিত CVD নীতি সম্ভাব্য প্রতিবেদনকারী পক্ষগুলোর জন্য দিকনির্দেশক হিসেবে কাজ করে, তাই নিশ্চিত করুন যে এই নীতির রূপ সংস্থার নীতি ও কৌশলের সঙ্গে সঙ্গতিপূর্ণ।

CVD নীতিতে নিম্নলিখিত উপাদানগুলো গুরুত্বপূর্ণ:

• নিরাপদ যোগাযোগের জন্য যোগাযোগ পদ্ধতি;

• প্রতিবেদনকারী পক্ষগুলোর জন্য পূর্বশর্ত;

• একটি প্রতিবেদন সামলানো সম্পর্কে স্পষ্ট প্রত্যাশা;

• একটি প্রতিবেদনকে পুরস্কৃত করার পদ্ধতি;

• সংস্করণ নম্বর এবং সর্বশেষ সংশোধনের তারিখ।

নিচে তিনটি উদাহরণ রয়েছে: নেদারল্যান্ডসের অনেক সংস্থা ResponsibleDisclosure.nl-এর মূল উদাহরণ থেকে নিয়েছে। অন্য সংস্থাগুলো অতিরিক্ত পূর্বশর্ত অন্তর্ভুক্ত করে, Fox IT-এর নীতি দেখুন। আরও কিছু সংস্থা তাদের লক্ষ্য শ্রোতার সঙ্গে মানানসই করতে আরও মুক্ত বিন্যাস প্রয়োগ করে, Bits of Freedom-এর নীতি দেখুন।

Acme Corporation-এ আমরা আমাদের সিস্টেমের নিরাপত্তাকে সর্বোচ্চ অগ্রাধিকার বলে গণ্য করি। কিন্তু সিস্টেম নিরাপত্তায় আমরা যত চেষ্টাই করি না কেন, দুর্বলতা থেকে যেতে পারে।

আপনি কোনো দুর্বলতা আবিষ্কার করলে, আমরা তা জানতে চাই যাতে যত দ্রুত সম্ভব সমাধানের পদক্ষেপ নিতে পারি।

আমাদের গ্রাহক ও সিস্টেমকে আরও ভালোভাবে রক্ষা করতে আমরা আপনাকে সাহায্য করার অনুরোধ জানাই।

অনুগ্রহ করে নিম্নলিখিত করুন:

• আপনার আবিষ্কার cert@example.com-এ ইমেইল করুন। এই গুরুত্বপূর্ণ তথ্য ভুল হাতে পড়া ঠেকাতে আমাদের PGP কী দিয়ে আপনার আবিষ্কার এনক্রিপ্ট করুন,

• আপনার আবিষ্কৃত দুর্বলতা বা সমস্যার সুযোগ নেবেন না, যেমন দুর্বলতা প্রদর্শনে প্রয়োজনের চেয়ে বেশি ডেটা ডাউনলোড করে বা অন্যদের ডেটা মুছে বা পরিবর্তন করে,

• সমাধান না হওয়া পর্যন্ত সমস্যাটি অন্যদের কাছে প্রকাশ করবেন না,

• শারীরিক নিরাপত্তার ওপর আক্রমণ, সোশ্যাল ইঞ্জিনিয়ারিং, ডিস্ট্রিবিউটেড ডিনায়াল অফ সার্ভিস, স্প্যাম বা তৃতীয় পক্ষের অ্যাপ্লিকেশন ব্যবহার করবেন না, এবং

• সমস্যাটি পুনরুৎপাদনের জন্য যথেষ্ট তথ্য দিন, যাতে আমরা যত দ্রুত সম্ভব এটি সমাধান করতে পারি। সাধারণত প্রভাবিত সিস্টেমের IP ঠিকানা বা URL এবং দুর্বলতার বর্ণনা যথেষ্ট, তবে জটিল দুর্বলতায় আরও ব্যাখ্যার প্রয়োজন হতে পারে।

আমরা যা প্রতিশ্রুতি দিচ্ছি:

• আমরা ৩ কার্যদিবসের মধ্যে প্রতিবেদনের আমাদের মূল্যায়ন এবং প্রত্যাশিত সমাধানের তারিখসহ আপনার প্রতিবেদনে সাড়া দেব,

• আপনি উপরের নির্দেশনা অনুসরণ করে থাকলে, প্রতিবেদন সংক্রান্ত বিষয়ে আমরা আপনার বিরুদ্ধে কোনো আইনি পদক্ষেপ নেব না,

• আমরা কঠোর গোপনীয়তার সঙ্গে আপনার প্রতিবেদন সামলাব, এবং আপনার অনুমতি ছাড়া আপনার ব্যক্তিগত তথ্য তৃতীয় পক্ষকে দেব না,

• সমস্যা সমাধানের দিকে অগ্রগতি সম্পর্কে আমরা আপনাকে জানিয়ে রাখব,

• জানানো সমস্যা সম্পর্কিত সর্বজনীন তথ্যে আমরা (আপনি অন্যথায় না চাইলে) সমস্যার আবিষ্কারক হিসেবে আপনার নাম উল্লেখ করব, এবং

• আপনার সাহায্যের জন্য কৃতজ্ঞতার চিহ্ন হিসেবে, আমাদের কাছে যে নিরাপত্তা সমস্যা এখনও জানা ছিল না, তার প্রতিটি প্রতিবেদনের জন্য আমরা পুরস্কার দিই। ফাঁসের তীব্রতা এবং প্রতিবেদনের মানের ভিত্তিতে পুরস্কারের পরিমাণ নির্ধারিত হবে। সর্বনিম্ন পুরস্কার হবে ৫০ ইউরোর একটি গিফট সার্টিফিকেট।

আমরা সব সমস্যা যত দ্রুত সম্ভব সমাধানের চেষ্টা করি, এবং সমাধানের পর সমস্যাটি নিয়ে চূড়ান্ত প্রকাশনায় আমরা সক্রিয় ভূমিকা রাখতে চাই।

উদাহরণ: Fox-IT

Fox-IT-তে আমরা আমাদের সিস্টেম, নেটওয়ার্ক ও পণ্যের নিরাপত্তাকে সর্বোচ্চ গুরুত্বপূর্ণ মনে করি। নিরাপত্তা নিয়ে আমরা অত্যন্ত যত্ন নিলেও দুর্বল স্থান থেকে যেতে পারে। আপনি এমন কোনো দুর্বলতা খুঁজে পেলে, আমরা তা যত দ্রুত সম্ভব জানতে চাই যাতে যত দ্রুত সম্ভব যথাযথ ব্যবস্থা নিতে পারি।

দুর্বল স্থান দুইভাবে আবিষ্কার হতে পারে: ডিজিটাল পরিবেশের স্বাভাবিক ব্যবহারের সময় আপনি আকস্মিকভাবে কিছুর সম্মুখীন হতে পারেন, অথবা আপনি স্পষ্টভাবে সেগুলো খুঁজে পেতে আপ্রাণ চেষ্টা করতে পারেন।

আমাদের দায়িত্বশীল প্রকাশ নীতি দুর্বল স্থান আবিষ্কারের জন্য আমাদের ব্যবসায়িক নেটওয়ার্ক সক্রিয়ভাবে স্ক্যান করার আমন্ত্রণ নয়। আমরা নিজেরাই আমাদের ব্যবসায়িক নেটওয়ার্ক পর্যবেক্ষণ করি। এর অর্থ স্ক্যান শনাক্ত হওয়ার এবং আমাদের সিকিউরিটি অপারেশন সেন্টার (SOC) তদন্ত চালানোর সম্ভাবনা বেশি, যার ফলে অপ্রয়োজনীয় খরচ হতে পারে। তবে আপনাকে অফলাইন নন-প্রোডাকশন পরিবেশে আমাদের পণ্যের দুর্বলতা সক্রিয়ভাবে খুঁজতে এবং আপনার আবিষ্কার আমাদের জানাতে আমন্ত্রণ জানানো হচ্ছে। আমাদের গ্রাহকদের প্রতি আমাদের দায়িত্বের অর্থ হলো, তাঁদের অবকাঠামোতে হ্যাকিং চেষ্টাকে উৎসাহিত করা আমাদের অভিপ্রায় নয়; তবে দুর্বলতা পাওয়া গেলে আমরা যত দ্রুত সম্ভব আপনার কাছ থেকে শুনতে চাই, যাতে আমরা তা যথাযথভাবে সমাধান করতে পারি।

আমাদের গ্রাহক ও সিস্টেমকে আরও ভালোভাবে রক্ষা করতে পারার জন্য আমরা আপনার সঙ্গে কাজ করতে চাই।

আমরা আপনার কাছে অনুরোধ করছি:

• আপনার আবিষ্কার যত দ্রুত সম্ভব security-alert@fox-it.com-এ ইমেইল করুন।

• দুর্বলতার অপব্যবহার করবেন না; যেমন ডেটা ডাউনলোড, সম্পাদনা বা মুছে ফেলে। আমরা সবসময় আপনার প্রতিবেদনকে গুরুত্ব দিয়ে নেব এবং প্রমাণ ছাড়াও দুর্বলতার যেকোনো সন্দেহ তদন্ত করব।

• সমাধান না হওয়া পর্যন্ত সমস্যাটি অন্যদের সঙ্গে ভাগ করবেন না।

• শারীরিক নিরাপত্তার ওপর আক্রমণ, সোশ্যাল ইঞ্জিনিয়ারিং বা দুর্বলতা স্ক্যানারের মতো হ্যাকিং টুল ব্যবহার করবেন না।

• সমস্যাটি পুনরুৎপাদনের জন্য যথেষ্ট তথ্য দিন, যাতে আমরা যত দ্রুত সম্ভব এটি সমাধান করতে পারি। সাধারণত প্রভাবিত সিস্টেমের IP ঠিকানা বা URL এবং দুর্বলতার বর্ণনা যথেষ্ট, যদিও আরও জটিল দুর্বলতার জন্য আরও তথ্যের প্রয়োজন হতে পারে।

আমরা যা প্রতিশ্রুতি দিচ্ছি:

• আমরা তিন কার্যদিবসের মধ্যে প্রতিবেদনের আমাদের মূল্যায়ন এবং প্রত্যাশিত সমাধানের তারিখসহ আপনার প্রতিবেদনে সাড়া দেব।

• আমরা আপনার প্রতিবেদন গোপনীয়ভাবে সামলাব, এবং আপনার অনুমতি ছাড়া আপনার ব্যক্তিগত তথ্য তৃতীয় পক্ষের সঙ্গে ভাগ করব না। এর ব্যতিক্রম হলো মামলা চলার ক্ষেত্রে বা তথ্য দাবি করা হলে পুলিশ ও বিচার বিভাগ।

• সমস্যা সমাধানের অগ্রগতি সম্পর্কে আমরা আপনাকে জানিয়ে রাখব।

• জানানো সমস্যা নিয়ে যোগাযোগে, আপনি চাইলে আমরা সমস্যা আবিষ্কারকারী পক্ষ হিসেবে আপনার নাম উল্লেখ করব।

• দুর্ভাগ্যবশত আগে থেকে নিশ্চিত করা সম্ভব নয় যে আপনার বিরুদ্ধে কোনো আইনি পদক্ষেপ নেওয়া হবে না। আমরা প্রতিটি পরিস্থিতি আলাদাভাবে বিবেচনা করতে পারব বলে আশা করি। দুর্বলতা বা ডেটার অপব্যবহার হচ্ছে, অথবা আপনি দুর্বলতার জ্ঞান অন্যদের সঙ্গে ভাগ করেছেন বলে সন্দেহ হলে, আপনাকে প্রতিবেদন করা আমরা নৈতিকভাবে আমাদের দায়িত্ব মনে করি। আপনি নিশ্চিন্ত থাকতে পারেন, আমাদের অনলাইন পরিবেশে আকস্মিক আবিষ্কার মামলায় গড়াবে না।

• আপনার সাহায্যের জন্য ধন্যবাদস্বরূপ, আমাদের অজানা নিরাপত্তা সমস্যার প্রতিটি প্রতিবেদনের জন্য আমরা পুরস্কার দিই। অনুপ্রবেশের তীব্রতা ও প্রতিবেদনের মানের ভিত্তিতে আমরা পুরস্কারের মূল্য নির্ধারণ করি।

আমরা সব সমস্যা যত দ্রুত সম্ভব সমাধানের চেষ্টা করি, সব সংশ্লিষ্ট পক্ষকে জানিয়ে রাখি, এবং সমস্যাটি সমাধানের পর এ বিষয়ক যেকোনো প্রকাশনায় আমরা যুক্ত থাকতে চাই।

উদাহরণ: Bits of Freedom

ডিজিটাল অবকাঠামোর ওপর আমাদের নির্ভরতা ক্রমাগত বাড়ছে। এটি সামগ্রিকভাবে সমাজের জন্য প্রযোজ্য, তবে আমাদের নিজেদের জন্যও। তাই আমাদের মত, সরকার ও সংস্থাগুলোর (আমাদেরটিসহ) আমাদের ডিজিটাল অবকাঠামো সুরক্ষিত করতে দৃঢ়ভাবে প্রতিশ্রুতিবদ্ধ হওয়া উচিত। আমরা বুঝি, আমাদের সেরা উদ্দেশ্য ও সর্বোচ্চ যত্ন সত্ত্বেও আমাদের সিস্টেমে দুর্বলতা থাকতে পারে। আপনি যদি এসব দুর্বলতার একটি খুঁজে পান, আমরা আপনার কাছ থেকে শুনতে চাই যাতে সমস্যাটি সমাধান করতে পারি।

আমরা আপনার কাছ থেকে যা প্রত্যাশা করি

• আমাদের কোনো সিস্টেম নিয়ে অনুসন্ধানের সময় আক্রমণের আনুপাতিকতা মনে রাখুন। আপনি ইন্টারনেটের ইতিহাসের সবচেয়ে বড় DDoS আক্রমণ চালালে আমাদের সাইট অগম্য হয়ে যেতে পারে—এটি প্রমাণ করার প্রয়োজন নেই। আমরা তা জানি। আমরা এটিও বুঝি যে আপনি যদি আমাদের অফিসে বুলডোজার চালিয়ে ঢোকেন, সম্ভবত আমাদের একটি ল্যাপটপ ছিনিয়ে নিতে পারবেন।

• দুর্বলতা প্রদর্শনের সময়ও এই আনুপাতিকতার নীতি প্রযোজ্য। আপনার আবিষ্কারের বৈধতা নিশ্চিত করতে কঠোরভাবে যতটুকু প্রয়োজন তার চেয়ে বেশি ডেটা পরীক্ষা বা পরিবর্তন করা আপনার উচিত নয়। উদাহরণস্বরূপ, আপনি যদি আমাদের হোমপেজ পরিবর্তন করতে পারেন, পুরো পেজ দখলের বদলে কেবল একটি বিতর্কহীন শব্দ যোগ করুন। আপনি যদি কোনো ডাটাবেসে প্রবেশাধিকার পান, সেখানকার টেবিলগুলোর তালিকা, বা সম্ভবত একটি টেবিলের প্রথম রেকর্ড দেখালেই যথেষ্ট।

• আমাদের কোনো সিস্টেমের দুর্বলতা যত দ্রুত সম্ভব security@bof.nl-এ ইমেইল পাঠিয়ে জানানো উচিত। সম্ভব হলে OpenPGP দিয়ে আপনার বার্তা এনক্রিপ্ট করুন। আমরা যেন সমস্যাটি পুনরুৎপাদন ও তদন্ত করতে পারি সেজন্য যথেষ্ট তথ্য দিন।

• security@bof.nl-এর জন্য সর্বজনীন OpenPGP কী

• আমরা যতক্ষণ সমস্যাটির সমাধান না করি এবং আপনি সমস্যাটি জানানোর পর আমরা যুক্তিসংগত সময়ের মধ্যে থাকি, ততক্ষণ আপনি দুর্বলতা সম্পর্কে আপনার জ্ঞান অন্য পক্ষের সঙ্গে ভাগ করবেন না।

• আমরা দুর্বলতা সমাধান করার সঙ্গে সঙ্গে আপনি তদন্তের সময় পাওয়া সব গোপন তথ্য মুছে ফেলবেন।

আপনি আমাদের কাছ থেকে যা আশা করতে পারেন

• আমরা তিন দিনের মধ্যে বিস্তারিতভাবে আপনার প্রতিবেদনে সাড়া দেব। সমস্যাটি মোকাবিলায় আমাদের কত সময় লাগবে তার একটি অনুমান তাতে থাকবে। অবশ্যই আমরা নিয়মিত আমাদের অগ্রগতি সম্পর্কে আপনাকে জানাব।

• আমরা যত দ্রুত সম্ভব দুর্বলতা সমাধান করব। এখানেও আনুপাতিকতা গুরুত্বপূর্ণ: দুর্বলতা ঠিক করতে যে সময় লাগে তা বিভিন্ন বিষয়ের ওপর নির্ভর করে, এর মধ্যে সংশ্লিষ্ট সমস্যার তীব্রতা ও জটিলতা আছে।

• এখানে নির্ধারিত নির্দেশিকা অনুসরণ করলে আপনার প্রতিবেদন সংক্রান্ত বিষয়ে আমরা আপনার বিরুদ্ধে আইনি পদক্ষেপ নেব না।

• আপনি যা করেছেন সেজন্য আপনাকে কৃতিত্ব দেওয়া আমাদের কাছে গুরুত্বপূর্ণ—আপনি চাইলে। আপনি সম্মত হলেই কেবল দুর্বলতা বিষয়ক কোনো প্রকাশনায় আমরা আপনার নাম উল্লেখ করব।

• আমাদের সিস্টেম আরও ভালোভাবে রক্ষা করতে সাহায্য করার জন্য কৃতজ্ঞতা হিসেবে, সেই সময়ে আমাদের অজানা প্রতিটি দুর্বলতার প্রতিবেদনকে আমরা পুরস্কৃত করতে চাই। পুরস্কার দুর্বলতার তীব্রতা ও প্রতিবেদনের মানের ওপর নির্ভর করবে।

• আমরা যে তৃতীয় পক্ষের সফটওয়্যার ব্যবহার করি তাতে আপনি দুর্বলতা পেলে এবং সেই দুর্বলতা বাগ বাউন্টি প্রোগ্রামের আওতায় থাকলে, আমরা সেই বাউন্টি দাবি করার চেষ্টা করব না; আপনারই তা দাবি করা উচিত।