Coordinated vulnerability disclosure
← Polisïau

NCSC.nl

1. Cyflwyniad

Mae cymdeithas yn digideiddio fwyfwy. Y dyddiau hyn, mae bron pob proses yn defnyddio cyfrifiaduron ar ryw adeg, o ffonau symudol i feddalwedd arbenigol. Er bod y datblygiad hwn yn creu llawer o gyfleoedd newydd, gall gwendidau mewn systemau TG gael effaith fawr. O ganlyniad, dylid ymdrin yn effeithiol â gwybodaeth am y gwendidau hyn.

Dechreuodd nifer o sefydliadau gyhoeddi polisi ar sut i adrodd am wendidau ar ddechrau 2013. Ar ôl ymgynghori â'r partïon hyn, crynhodd y Ganolfan Seiberddiogelwch Genedlaethol (National Cyber Security Centre, NCSC) y datblygiadau ar ffurf 'Canllawiau ar gyfer cyflawni arfer Datgelu Cyfrifol' ('Leidraad om te komen tot een praktijk van Responsible Disclosure'; y 'Canllawiau'). Drwy'r polisi hwn mae cwmnïau'n nodi eu bod yn agored i dderbyn adroddiadau gwendid allanol, yn disgrifio eu rhagamodau ac yn gwneud addewidion. Creodd y broses hon eglurder ac amgylchedd braidd yn ddiogel i bartïon adrodd ymchwilio ac adrodd am wendidau heb gyflawni trosedd yn uniongyrchol. Yn y cyfarfod lefel uchel yr UE ar seiberddiogelwch yn 2016, ailddatganodd 29 o sefydliadau bwysigrwydd polisi ar gyfer ymdrin â gwendidau drwy lofnodi'r Maniffesto Datgelu Cydgysylltiedig o Wendidau¹ a gychwynnwyd gan CIO Platform Netherlands a Rabobank mewn cydweithrediad â'r NCSC.

Mae Datgelu Cydgysylltiedig o Wendidau (Coordinated Vulnerability Disclosure, CVD) wedi profi'n bwysig iawn i bartïon cyhoeddus a phreifat. Maent yn dibynnu'n fawr ar weithrediad di-dor systemau gwybodaeth yn eu harfer dyddiol. Mae adroddiadau am wendidau yn eu systemau wedi helpu i wella diogelwch a pharhad systemau yn y blynyddoedd diwethaf, drwy unioni gwendidau ar y naill law a thrwy gyfrannu at ymwybyddiaeth gyffredinol cwmnïau o'r Iseldiroedd o ddiogelwch TG ar y llaw arall.

Yn y blynyddoedd diwethaf, mae wedi dod yn amlwg bod partïon adrodd yn barod i weithio o fewn amodau'r polisi CVD a luniwyd gan sefydliadau. Mae partïon adrodd yn adrodd yn uniongyrchol neu'n anuniongyrchol i sefydliadau. Mae arfer datgelu cyfrifol wedi dangos bod partïon adrodd â bwriadau da a sefydliadau agored i niwed wedi llwyddo i gydweithredu a chymryd y cam nesaf felly i gynyddu diogelwch rhwydweithiau a systemau gwybodaeth.

Ar gyfer yr adolygiad hwn, buom unwaith eto yn siarad â grŵp eang ac amrywiol o bartïon adrodd, partïon preifat a chyhoeddus, yn ogystal â'r Gwasanaeth Erlyn Cyhoeddus a'r Heddlu Cenedlaethol. Mae'r sgyrsiau hyn wedi cadarnhau'r arfer presennol, ac wedi arwain at ychwanegiadau a gwelliannau. Y pwynt newydd pwysicaf i roi sylw iddo yw cyfathrebu rhwng adroddwr y gwendid a'r sefydliad, yn ogystal ag â phartïon eraill ar ôl i wendid gael ei unioni.

Mae'r penodau canlynol yn trafod diffiniad CVD, y blociau adeiladu ar gyfer polisi CVD a'r broses gyfathrebu.

Nodyn ochr: Defnyddiodd y Canllawiau blaenorol y term 'datgelu cyfrifol', a oedd y term cyffredin ar gyfer yr arfer hwn ar y pryd. Yn y cyfamser mae wedi dod yn amlwg bod y term hwn yn rhoi gormod o bwyslais ar gyfrifoldeb y parti adrodd, tra mai'r egwyddor sylfaenol yw y dylai'r parti adrodd a'r sefydliad a allai fod yn agored i niwed fod yn bartneriaid cyfartal yn y ddeialog. Mae'r term cyffredin presennol 'Datgelu Cydgysylltiedig o Wendidau' (CVD) yn dal y teimlad hwn yn well, a dyma hefyd yr enw a ddefnyddir yn safonau ISO 29147 a 30111 ar y broses hon.

2. Gwendid Cydgysylltiedig

Defnyddiwyd amrywiol ddulliau dros y 30 mlynedd diwethaf i godi ymwybyddiaeth o wendidau mewn systemau TG. Mae enghreifftiau'n cynnwys:

  • 'Datgelu Llawn' (Full Disclosure), gwneud gwendid yn gwbl gyhoeddus;

  • 'Peidio â datgelu' (Non-disclosure), gwerthu neu ddefnyddio gwendid eich hun;

  • 'Datgelu Cydgysylltiedig o Wendidau' (Coordinated Vulnerability Disclosure, CVD), datgelu gwendid mewn modd cydgysylltiedig.

Ffefrir yr arfer olaf yn bendant.

Mae'r gymuned TG wedi dangos parodrwydd mawr i rannu gwybodaeth a phrofiad. Felly gall ceisio cydweithredu â'r gymuned hon helpu i wella diogelwch cyffredinol systemau.

Nod Datgelu Cydgysylltiedig o Wendidau

Nod CVD yw cyfrannu at ddiogelwch systemau TG drwy rannu gwybodaeth am wendidau. Mewn CVD, rhennir gwybodaeth ag un sefydliad neu fwy a allai fod yn agored i niwed er mwyn dod i ateb ar y cyd i'r gwendid a ganfuwyd ar y cyd â'r parti adrodd. Mae'n bwysig bod gan y sefydliadau yr effeithir arnynt ddigon o amser i unioni unrhyw wendidau neu amddiffyn systemau er mwyn cyfyngu ar golled neu ddifrod neu eu hatal cymaint â phosibl. Conglfaen y broses yw datgelu gwybodaeth am y gwendidau ar ôl eu hunioni.

Mae'n hanfodol mewn CVD bod pob parti yn cydymffurfio â chytundebau ar sut i adrodd am wendid a sut i ymdrin ag ef. Mae'n help os yw sefydliad yn cyhoeddi rhagamodau ymlaen llaw, megis pa systemau sydd o fewn y cwmpas a pha fath o ymchwil y gellir ei gynnal. Egwyddor bwysig ar gyfer y rhagamodau hyn yw na fydd y sefydliad yn adrodd am y parti adrodd mewn egwyddor nac yn cymryd camau cyfreithiol eraill os cynhelir yr ymchwiliad a'r adrodd o fewn yr amodau a osodwyd. Mae'r Canllawiau hyn yn rhoi arweiniad i sefydliadau wrth lunio eu polisi eu hunain i ymgorffori egwyddorion CVD.

Fel y mae'r enw'n ei nodi, canolog i CVD yw bod y sefydliad a'r parti adrodd yn cydgysylltu â'i gilydd. Yn hyn o beth, dylai fod cyn lleied o gysylltiadau â phosibl rhwng y person sy'n adrodd am y gwendid a'r person o fewn y sefydliad sy'n gyfrifol am ddatrys y broblem.

Gall fod yn bwysig hysbysu sawl parti ar yr un pryd os yw gwendid yn effeithio ar lawer o systemau. Yn yr achos hwnnw, gall yr NCSC neu bartïon eraill o fewn y gymuned ddiogelwch gefnogi'r broses CVD o rôl gydgysylltu.

3. Meysydd cyfrifoldeb

Nod dilyn polisi CVD yw i'r partïon adrodd a'r sefydliad weithio gyda'i gilydd i leihau'r gwendidau mewn systemau TG. Dylid ystyried gweithredu'r polisi hwn fel ychwanegiad at fesurau presennol ar ddiogelwch gwybodaeth. Mae gan y gwahanol chwaraewyr eu rôl a'u cyfrifoldebau eu hunain. Eglurir y rhain yn fanylach isod.

Y sefydliad sy'n berchen ar/rheoli system

Y sefydliad sy'n berchen ar/rheoli neu'n cyflenwi system sy'n bennaf gyfrifol am ddiogelwch y system hon. Mewn geiriau eraill, mae'r sefydliad hefyd yn gyfrifol am ddilyn adroddiad gwendid i fyny.

Gall y sefydliad ddewis llunio ei bolisi CVD ei hun gan ddefnyddio'r Canllawiau hyn a chyfathrebu'r polisi hwn â phartïon adrodd posibl. Drwy gyhoeddi polisi CVD, mae sefydliadau'n dangos eu parodrwydd i dderbyn gwybodaeth am wendidau.

Gall parti sy'n sefydlu polisi CVD ymrwymo i'r egwyddor na fydd yn cyflwyno cwyn i'r heddlu os cydymffurfir â'r rheolau sy'n berthnasol i'r polisi.

Unwaith y bydd parti adrodd wedi adrodd am wendid, mae'r cyfrifoldeb gyda'r sefydliad. Mae'n bwysig sylweddoli bod y parti adrodd yn aml yn rhywun y tu allan i'r sefydliad. Nid oes gan y parti hwn olwg uniongyrchol ar y prosesau mewnol y gellir eu sbarduno ar ôl i wendid gael ei adrodd. O ganlyniad, bydd partïon adrodd yn gwerthfawrogi cael eu hysbysu o ddatblygiadau wrth ddatrys y gwendid. Mae'r cyfathrebu parhaus hwn hefyd yn bwysig er mwyn creu'r disgwyliadau cywir ar gyfer y camau dilynol ac amseroldeb yr ateb.

Y parti sy'n adrodd am wendid

Mewn rhyw ffordd, mae'r parti adrodd wedi gallu nodi gwendid ac eisiau cyfrannu at ddiogelwch systemau TG drwy gael y gwendid hwn wedi'i unioni ac o bosibl ei wneud yn gyhoeddus yn ddiweddarach. Efallai fod y parti adrodd wedi darganfod rhywbeth drwy arsylwi goddefol neu drwy brofi'r system TG yn weithredol. Wrth gwrs, mae'r parti hwn yn gyfrifol am ei weithredoedd ei hun a'r ffordd y darganfu'r gwendid. Cyfrifoldeb y parti adrodd ei hun yw bod yn ymwybodol o'r amodau a osodwyd gan sefydliad yn ei bolisi CVD. Mae'r rhan fwyaf o lywodraethau a chwmnïau wedi cyhoeddi eu polisïau CVD ar eu gwefannau.

Serch hynny, gall dod o hyd i wendidau olygu torri'r gyfraith. Yng nghyd-destun CVD, gall y sefydliad a'r parti adrodd gytuno na fyddant yn cyflwyno adroddiad am unrhyw weithredoedd troseddol. Yn hyn o beth, y polisi CVD a gyhoeddir gan y sefydliad yw'r egwyddor arweiniol. Gall y partïon hefyd gytuno na chymerir unrhyw gamau sifil.

Os oes amheuaeth bod y parti adrodd wedi torri'r gyfraith, gall polisi CVD yn gyntaf oll helpu i atal adrodd am yr adroddwr wrth yr awdurdodau. Mae'r weithdrefn hon yn dibynnu'n llwyr ar ragamodau'r polisi y mae sefydliad yn gofyn i barti adrodd gydymffurfio ag ef ac a gyflawnwyd y cydymffurfio hwn, o bosibl gydag addewid cyfatebol i beidio â chyflwyno cwyn droseddol cyhyd â bod y parti'n gweithredu o fewn amodau'r polisi. Os gwneir adroddiad i'r heddlu, mae bodolaeth polisi CVD a chydymffurfio ag ef yn amgylchiad perthnasol yn yr Iseldiroedd, y bydd yr Erlynydd Cyhoeddus yn ei ystyried wrth benderfynu a ddylid cychwyn ymchwiliad troseddol a/neu erlyn. Mewn egwyddor, ni fydd yr heddlu na'r Gwasanaeth Erlyn Cyhoeddus (OM) yn cychwyn ymchwiliad troseddol os yw'r parti adrodd wedi cydymffurfio'n glir â rheolau polisi CVD y sefydliad dan sylw. Fodd bynnag, gall y Gwasanaeth Erlyn Cyhoeddus a'r heddlu ymchwilio ymhellach i'r achos os oes arwyddion bod y parti adrodd wedi mynd yn rhy bell, yn ymwybodol neu'n anymwybodol, yn ei weithredoedd a/neu wedi methu â chydymffurfio â'r polisi CVD. Ar sail yr ymchwiliad hwn, gall y Gwasanaeth Erlyn Cyhoeddus benderfynu a ddylid erlyn.

Mae'r Gwasanaeth Erlyn Cyhoeddus wedi cyhoeddi llythyr polisi lle mae'n ymdrin yn fwy penodol ag agweddau sy'n bwysig wrth ddod i benderfyniad i ymchwilio a/neu erlyn. Er enghraifft, a oedd gweithredoedd y parti adrodd yn gwasanaethu budd cyhoeddus pwysig, a weithredodd y parti yn anghymesur ac a allai'r parti efallai fod wedi gweithredu mewn ffordd arall, llai llym. Mae'r llythyr polisi perthnasol yn ymhelaethu ymhellach ar yr agweddau hyn.² Mae cyfraith achosion berthnasol ers 2013³ yn dangos bod yr agweddau hyn hefyd yn cael eu hystyried yn y llys os nad oes gan sefydliad bolisi CVD.

4. Blociau adeiladu'r broses Datgelu Cydgysylltiedig o Wendidau

Darperir blociau adeiladu wrth lunio'r broses CVD ar gyfer y sefydliad, yr adroddwr a'r NCSC isod.

Y sefydliad

Mae hyrwyddo CVD yn dechrau gyda sefydliad sy'n berchen ar systemau TG neu sy'n cyflenwi cynnyrch/system TG. Wedi'r cyfan, y sefydliad hwn sy'n bennaf gyfrifol am ddiogelwch gwybodaeth y systemau TG hyn. Er mwyn gweithio'n effeithiol gyda gwahanol bartïon i ddatrys gwendidau, gall sefydliad benderfynu llunio a chyhoeddi polisi CVD. Mae llunio ei bolisi CVD ei hun yn caniatáu i'r sefydliad ddangos sut mae'n ymdrin ag adroddiadau am wendidau. Fel hyn, gall sefydliad hefyd roi siâp i'r ffordd y mae'n dymuno derbyn hysbysiadau. Gellir trefnu proses o'r fath fel a ganlyn:

  • Mae'r sefydliad yn sefydlu ac yn cyhoeddi polisi CVD.

  • Yn y polisi hwn, mae'r sefydliad yn darparu rheolau clir ar gyfer yr ymchwil y gall partïon adrodd ei chynnal, megis pa dechnegau a ganiateir a pha systemau sydd o fewn y cwmpas neu'n allan ohono.

  • Mae'r sefydliad yn ei gwneud yn hawdd i barti adrodd wneud adroddiad. Un opsiwn yw defnyddio dull adrodd safonol; er enghraifft, cyfeiriad e-bost penodol neu ffurflen ar-lein. Yn ogystal, gall y sefydliad benderfynu a ddylid derbyn adroddiadau dienw.

  • Mae'r sefydliad yn neilltuo capasiti mewnol ac yn sefydlu proses er mwyn ymateb yn ddigonol i adroddiadau. Mae'n ddoeth sefydlu proses y gellir unioni unrhyw wendidau a ganfyddir yn ddigonol drwyddi. Yn hyn o beth, nid yw tarddiad yr adroddiad yn berthnasol. Efallai fod y gwendid hefyd wedi'i nodi gan weithiwr mewnol neu yn ystod prawf, er enghraifft.

  • Mae profiad ymarferol yn dangos y bydd mwy o ddiddordeb mewn adrodd am wendidau i'r sefydliad ar ôl cyhoeddi polisi CVD am y tro cyntaf. Dylai'r sefydliad ystyried hyn wrth gynllunio capasiti (ychwanegol).

  • Pan fydd y sefydliad yn derbyn yr adroddiad gwendid, mae'n sicrhau bod yr adroddiad yn cyrraedd yr adran sydd fwyaf addas i asesu ac ymdrin â'r adroddiad cyn gynted â phosibl.

  • Mae'r sefydliad yn anfon cydnabyddiaeth o dderbyn yr adroddiad at y parti adrodd, yn ddelfrydol wedi'i lofnodi'n ddigidol i bwysleisio'r flaenoriaeth.

  • Wedyn, bydd y sefydliad yn ymgynghori â'r parti adrodd er mwyn pennu'r cyfnod y bydd unrhyw gyhoeddi'n digwydd o'i fewn. Bydd y cyfnod hwn yn dibynnu'n fawr ar natur y gwendid a'r math o system.

  • Fel canllaw, defnyddir cyfnod o tua 60 diwrnod yn aml ar gyfer gwendidau meddalwedd. Mae unioni gwendidau mewn caledwedd yn anoddach ei gyflawni; gellir defnyddio canllaw o 6 mis.

  • Gall fod yn ddymunol ymestyn neu fyrhau'r cyfnod hwn drwy gytundeb ar y cyd yn dibynnu ar faint neu ba mor ychydig o systemau TG sy'n dibynnu ar y system yr adroddwyd am y gwendid ynddi neu os yw'r gwendid yn haws neu'n anoddach i'w ddatrys.

  • Gall gwendid brofi'n anodd neu'n amhosibl ei ddatrys, neu gall fod costau uchel ynghlwm wrth ei ddatrys. Mewn achosion o'r fath, gall y sefydliad gytuno i ystyried y gwendid yn risg a dderbynnir ac i beidio â'i unioni, o bosibl mewn ymgynghoriad â'r parti adrodd.

  • Bydd y sefydliad yn cadw'r parti adrodd yn wybodus am ddatblygiad y broses.

  • Yn ogystal, gall y sefydliad gynnig bod y parti adrodd yn cael ei gydnabod yn gyhoeddus am gyhoeddi'r gwendid. Mae hefyd yn bosibl dewis datgelu ar y cyd i'r byd y tu allan.

  • Mae'n well gwobrwyo'r parti adrodd am adrodd am wendidau mewn systemau os yw'r parti wedi cydymffurfio â rheolau'r polisi CVD. Gall swm y wobr ddibynnu ar ansawdd yr adroddiad. Gall gwobrwyo'r parti adrodd greu perthynas well rhwng y parti hwnnw a'r sefydliad, yn ogystal â chynyddu parodrwydd pobl i wneud adroddiadau newydd yn unol â'r polisi CVD.

  • Mewn ymgynghoriad â'r parti adrodd, gall y sefydliad gytuno i hysbysu'r gymuned TG ehangach am y gwendid os yw'n gredadwy bod y gwendid hefyd yn bresennol mewn mannau eraill.

  • Yn ei bolisi CVD, gall y sefydliad ymrwymo i'r egwyddor na fydd yn cyflwyno cwyn i'r heddlu os yw'r parti adrodd wedi cydymffurfio â'r rheolau fel y'u amlinellir yn y polisi.

Y parti adrodd

Y parti adrodd yw'r allwedd i broses CVD lwyddiannus. Mewn rhyw ffordd, mae'r parti hwn wedi gallu nodi gwendid, ac eisiau cyfrannu at ddiogelwch systemau TG drwy gael sefydliad i unioni'r gwendid hwn a'i wneud yn gyhoeddus. Wrth wneud hynny, mae partïon adrodd yn cydnabod y gallant wneud cyfraniad pwysig i gymdeithas drwy ddatgelu gwendidau mewn modd cydgysylltiedig. Er mwyn cyflawni proses CVD lwyddiannus, mae'r blociau adeiladu canlynol yn bwysig i'r parti adrodd:

  • Mae'r parti adrodd yn gyfrifol am ei weithredoedd ei hun a rhaid iddo arsylwi egwyddorion cymesuredd yn ogystal ag atodoldeb wrth ymchwilio ac adrodd am wendidau. Mewn geiriau eraill, ni ddylai'r parti adrodd wneud mwy na'r hyn sy'n angenrheidiol i ddangos y gwendid a dylai bob amser adrodd am y gwendid wrth berchennog y system/gwybodaeth yn gyntaf.

  • Rhaid i'r parti adrodd adrodd am y broblem cyn gynted â phosibl er mwyn atal partïon maleisus rhag darganfod y gwendid a manteisio arno.

  • Rhaid i'r parti adrodd wneud yr adroddiad i'r sefydliad mewn modd cyfrinachol i atal eraill rhag cael mynediad at y wybodaeth hon.

  • Ni chaiff y parti adrodd wneud cyflwyno adroddiad na darparu gwybodaeth bellach yn ddibynnol ar y wobr. Y sefydliad sy'n derbyn sydd â'r fenter i roi gwobr os gwneir adroddiad, a gall amlinellu rhagamodau yn ei bolisi cyhoeddedig.

  • Mae'r parti adrodd a'r sefydliad yn gwneud cytundebau clir ar ddatgelu'r gwendid. Os yw mwy nag un sefydliad yn gysylltiedig, yr egwyddor sylfaenol yw na ellir cyhoeddi'r gwendidau ond os yw pob sefydliad yn cytuno i hyn. Mae'n ddoeth gwneud y cytundebau hyn yn gynnar.

  • Gall y parti adrodd a'r sefydliad dan sylw wneud cytundebau ar hysbysu'r gymuned TG ehangach. Er enghraifft, gall y sefyllfa hon fod yn berthnasol i wendid (pa un a yw eisoes yn hysbys ai peidio) y gwyddys ei fod yn bresennol mewn mwy nag un lleoliad. Gellir cynnwys y Ganolfan Seiberddiogelwch Genedlaethol (NCSC) yn y broses hon i gefnogi grwpiau targed y llywodraeth ganolog a seilwaith critigol neu i hysbysu sawl parti os bydd gwendid sy'n effeithio ar lawer o systemau.

Yr NCSC

Mater i sefydliadau a phartïon adrodd yn bennaf yw'r broses CVD. Serch hynny, bydd yr NCSC yn annog defnyddio proses CVD. Mewn ymgynghoriad â'r parti adrodd a'r sefydliad, gall yr NCSC hefyd gymryd rhan mewn rhannu gwybodaeth am y gwendid â'i etholaeth er mwyn cyfyngu ar risgiau diogelwch pellach sy'n deillio o'r gwendid.

Os nad yw adrodd am y gwendid yn mynd fel y mae'r parti adrodd yn ei ddisgwyl, neu os byddai'n well ganddynt beidio ag adrodd am y gwendid yn uniongyrchol i'r sefydliad, gallant gysylltu â'r NCSC.⁴ Yn yr achos hwn, gall yr NCSC weithredu fel cyfryngwr lle bo angen.

Perchennog y system TG sy'n gyfrifol bob amser am ddiogelwch y system. Ni all yr NCSC orfodi perchennog y system i unioni gwendid, ac ni all warantu na fydd y perchennog yn cymryd camau cyfreithiol yn erbyn y parti adrodd. O ganlyniad, rhaid i'r parti adrodd ystyried y blociau adeiladu uchod ar gyfer sefydliadau a phartïon adrodd wrth chwilio am wendid ac adrodd amdano. Gall parti adrodd ddisgwyl i'r NCSC wneud ei orau glas i gael y gwendid wedi'i unioni ac i drin yr adroddiad yn gyfrinachol. Nid yw'r NCSC yn rhannu unrhyw ddata personol oni bai bod rhwymedigaeth gyfreithiol arno i wneud hynny.

Os yw'n bosibl, bydd yr NCSC yn defnyddio'r wybodaeth a gafwyd am wendidau mewn ymgynghoriad â sefydliadau a phartïon adrodd i rannu'r wybodaeth ymhellach â'r gymuned TG. Er enghraifft, gall wneud hynny drwy gyhoeddi rhan o'r wybodaeth, ysgrifennu neu ddiweddaru taflen ffeithiau neu bapur gwyn, neu drwy hysbysu sefydliadau penodol.

  • Yn dibynnu ar y sefydliad dan sylw a natur y gwendid a sefydlwyd, bydd yr NCSC yn ymdrechu i ddod â'r gwendid i sylw'r sefydliad dan sylw. Fodd bynnag, perchennog y system TG dan sylw sy'n parhau'n gyfrifol am y system.

  • Lle bo'n bosibl ac yn angenrheidiol, bydd yr NCSC yn darparu cyngor i'r sefydliad dan sylw ar sut i unioni'r gwendid.

  • Bydd yr NCSC yn trin adroddiadau'n gyfrinachol ac ni fydd yn rhannu data personol y partïon adrodd na'r sefydliad sy'n derbyn heb gydsyniad, oni bai bod hynny'n deillio o rwymedigaeth statudol.

  • Lle bynnag y bo modd, bydd yr NCSC yn cadw'r parti adrodd yn wybodus am ddatblygiadau yn y cyswllt â'r sefydliad ac unioni'r gwendid.

  • Mewn achosion lle gwneir adroddiad i'r NCSC, bydd yr NCSC yn ceisio dod â'r parti adrodd neu'r parti adrodd posibl a'r sefydliad i gysylltiad â'i gilydd.

Os yw parti adrodd wedi dod o hyd i wendid mewn cynnyrch meddalwedd neu wendid sy'n effeithio ar lawer o wahanol systemau, er enghraifft, gall y parti adrodd ofyn i'r NCSC gydgysylltu unioni a datgelu'r gwendid.

Ynghyd â'r parti adrodd, partneriaid, datblygwyr a/neu ddatblygwyr meddalwedd a thimau diogelwch eraill, bydd yr NCSC yn helpu i ddadansoddi, unioni neu gael unioni, cydgysylltu a datgelu'r gwendid mewn modd rheoledig. Mae'r holl broses hon yn digwydd mewn ymgynghoriad agos â'r parti adrodd a ddaeth o hyd i'r gwendid.

Mae polisi CVD yn ceisio taro cydbwysedd rhwng pwysigrwydd datgelu gwendidau cyn gynted â phosibl, fel y gellir cymryd mesurau, a phwysigrwydd bod gan ddatblygwyr yn ogystal â chyflenwyr ddigon o amser i unioni'r gwendid. Ar gyfer y broses hon, mae'r NCSC yn defnyddio cyfnod safonol o 60 diwrnod rhwng yr adroddiad a'r datgelu cyhoeddus. Fodd bynnag, gall fod amgylchiadau lle penderfynir ymestyn neu fyrhau'r cyfnod hwn.

Dim ond ar ôl ymgynghori â'r parti adrodd y bydd yr NCSC byth yn rhannu gwybodaeth am y gwendid â thrydydd partïon. Mae'n hanfodol yn y cyd-destun hwn bod yr NCSC yn cydweithredu ac felly'n rhannu gwybodaeth am y gwendid â rhanddeiliaid er mwyn datgelu gwendid mewn modd cydgysylltiedig. Bydd yr NCSC yn sicrhau wrth wneud hynny y gall y partïon cywir weithio ar unioni'r gwendid, yn helpu i gyfyngu ar unrhyw golled neu ddifrod ac yn helpu i dynnu sylw at y gwendid a ganfuwyd.

5. Cyfathrebu a'r broses ddatgelu

Mae pum mlynedd o arfer wedi dangos mai cyfathrebu clir yw conglfaen proses CVD lwyddiannus. Mae pwyntiau i roi sylw iddynt ar adeg, yn ystod ac ar ôl y broses CVD.

Cyfathrebu am y broses ddatgelu

Cam cyntaf wrth gyfathrebu am y broses yw cyhoeddi polisi CVD. Drwy gyhoeddi polisi yn gyhoeddus, gwahoddir partïon adrodd i hysbysu'r sefydliad am unrhyw wendidau a ganfyddir.

Ar y naill law, gall y sefydliad lunio amodau ar gyfer yr ymchwil a wneir i ddarganfod gwendidau a'r ffordd y ceisir cyswllt. Ar y llaw arall, gall y sefydliad ymrwymo i'r egwyddor na fydd yn cyflwyno cwyn i'r heddlu os cydymffurfir â rheolau'r polisi. Mae'r dull hwn yn diogelu sefyllfa'r parti adrodd.

Gellir newid neu ddiweddaru polisi CVD yn ddiweddarach. Mae'n bwysig bod yn glir ynghylch y newidiadau yn hyn o beth. Mae gan bartïon adrodd fudd mewn gwybod beth sydd wedi newid a phryd. Er enghraifft, gellir egluro newidiadau drwy gynnwys dyddiad cyhoeddi ar ddechrau'r polisi CVD, drwy ddisgrifio crynodeb o newidiadau o dan y polisi CVD neu drwy gadw archif gyda hen fersiynau o'r polisi CVD.

Gall y polisi CVD ddarparu canllawiau ar sut i gyfathrebu yn ystod y broses, megis drwy nodi diweddariadau rheolaidd drwy e-bost neu borth gwe. Yn ogystal, gall y polisi CVD ddisgrifio sut y gellir cydnabod adroddwr drwy eu crybwyll mewn diweddariad, eu derbyn i oriel anfarwolion neu unrhyw fath arall o wobr.

Cyfathrebu yn ystod y broses ddatgelu

Mae parti adrodd yn cychwyn proses CVD drwy anfon neges at y sefydliad. Yn y neges hon, mae'r parti adrodd yn rhoi disgrifiad clir o'r gwendid a ddarganfuwyd. Elfennau pwysig yw cyfeiriad IP neu URL y system yr effeithir arni a'r camau angenrheidiol i atgynhyrchu'r gwendid.

Mae'n bwysig i'r sefydliad gyfathrebu'n glir â'r parti adrodd fel bod disgwyliadau am y broses yn glir.

Gall wneud hynny eisoes drwy anfon cydnabyddiaeth o dderbyn (awtomataidd neu fel arall) sy'n cynnwys arwydd o'r cyfnod y caiff ymateb sylweddol cychwynnol neu ddilynol ei anfon o'i fewn.

Mae hefyd yn bosibl gadael y cyfnod hwn ar agor a rhoi arwydd cychwynnol o'r cyfnod ar ôl asesu cynnwys yr adroddiad. Mae'n ddoeth bod yn glir cyn gynted â phosibl ynghylch y cyfnod y gellir cyflawni ateb o'i fewn. Fel hyn, mae'r adroddwr yn gwybod pryd y gellir disgwyl canlyniad.

Mewn rhai achosion, mae'n bosibl bod dyddiad cyhoeddi eisoes yn glir i'r parti adrodd; er enghraifft, oherwydd cyflwyniad mewn cynhadledd neu oherwydd bod y parti adrodd wedi pennu ei gyfnod ei hun. Yn yr achos hwn, mae'n dal yn bwysig bod y parti adrodd yn cyfathrebu'r amserlen hon yn glir, yn ei datgan cyn gynted â phosibl ac yn glir ynghylch y posibilrwydd/amhosibilrwydd o ohirio'r dyddiad hwn.

Mae parti adrodd yn aml yn rhywun y tu allan i'r sefydliad, nad oes ganddo unrhyw fewnwelediad i'r prosesau mewnol y gellir eu sbarduno gan adroddiad. Gall sefydliadau gadw'r parti adrodd yn wybodus am ddatblygiadau yn y broses drwy ddiweddariadau rheolaidd. Mae'r dull hwn yn ei gwneud yn glir i barti adrodd bod gwaith yn mynd rhagddo ar ateb. Lle bo angen, gall sefydliad ofyn am eglurhad neu i brofi ateb yn ystod y broses.

Os na all sefydliad fodloni'r terfyn amser datrys cychwynnol, gellir trafod gohirio gyda'r adroddwr. Gall cyfathrebu rheolaidd wneud y sefyllfa hon yn glir i adroddwr ar gam cynharach.

Prif fwriad CVD yw lliniaru'r gwendid, ond mae 'datgelu llawn' o'r gwendid bob amser yn opsiwn i barti adrodd os yw'n teimlo y bydd y broses yn cymryd gormod o amser. Y mesur hwn yw'r 'ffon fawr' ddihareb sydd ar gael i'r parti adrodd. Yn naturiol, rhaid atal y sefyllfa hon cymaint â phosibl.

Cyfathrebu ar ôl y broses ddatgelu

Mae llawer o resymau posibl pam y gallai parti adrodd chwilio am wendidau ac yna adrodd amdanynt i sefydliadau drwy'r broses CVD. I nifer fawr o bartïon adrodd, cymhelliant pwysig yw cydnabyddiaeth (gyhoeddus).

Mae partïon adrodd yn cael cydnabyddiaeth gyhoeddus drwy ddiolch mewn diweddariad neu fynediad i oriel anfarwolion. Fodd bynnag, nid yw'r angen am gydnabyddiaeth gyhoeddus yn berthnasol i bob parti adrodd; mewn gwirionedd nid yw rhai eisiau i'r cyhoedd eu hadnabod. Felly, os bydd y sefydliad yn cyfathrebu, mae'n ddoeth cael cydsyniad y parti adrodd i'w enwi.

Yn ogystal, gall partïon adrodd hefyd benderfynu cyfathrebu am adroddiad ar ôl cwblhau'r broses CVD. Er enghraifft, gall y parti adrodd ddisgrifio'r broses ddarganfod neu rybuddio eraill am y gwendid. Gall adroddwr benderfynu cyflwyno'r cyhoeddiad i sefydliad er gwybodaeth. Gan fod y broses CVD mewn egwyddor wedi'i chwblhau ar ôl cael gwared ar y gwendid, mae'r parti adrodd wedyn yn rhydd i gyfathrebu amdano, oni wneir cytundebau ychwanegol yn y polisi neu yn ystod y broses.

Rhestr

Cyfathrebu am y broses ddatgelu

  • Cyhoeddi'r polisi CVD ar y wefan

  • Bod yn glir ynghylch cyfyngiadau (gweler pennod 6 am wahanol ddulliau)

  • Cyfyngiadau ar ddulliau ymchwilio

  • Canllawiau ynglŷn â chyfathrebu

  • Canllawiau ynglŷn â gwobrau posibl: Oriel anfarwolion, gwobr ariannol, crys-T, ac ati.

  • Bod yn glir ynghylch unrhyw ddiweddariadau i'r polisi CVD, gan gynnwys dyddiad y newidiadau

Cyfathrebu yn ystod y broses ddatgelu

  • Mae'r adroddwr yn cysylltu â'r sefydliad am wendid a ddarganfuwyd.

  • Mae'r sefydliad yn rheoli disgwyliadau, megis yr amser ymateb ar gyfer ymateb technegol cyntaf

  • Mae'r sefydliad a'r adroddwr yn rhoi eglurder i'w gilydd ynglŷn â'r cyfnod datrys disgwyliedig

  • Mae'r sefydliad yn darparu diweddariad (proses) yn aml

  • Lle bo angen, mae'r adroddwr a'r sefydliad yn trafod cysylltu â sefydliadau perthnasol eraill

Cyfathrebu ar ôl y broses ddatgelu

  • Trafod cydnabyddiaeth (gyhoeddus) a gwobr i'r adroddwr

  • Trefnu sut y caiff gwybodaeth am y gwendid ei chyhoeddi, megis y cam ymchwil neu hysbysu sefydliadau eraill

6. Enghreifftiau o bolisi Datgelu Cydgysylltiedig o Wendidau

Mae llawer o wahanol ffurfiau ar destunau polisi ar Ddatgelu Cydgysylltiedig o Wendidau. Gan fod y polisi CVD cyhoeddedig yn gweithredu fel arwyddbost i bartïon adrodd posibl, sicrhewch fod ffurf y polisi hwn yn cyd-fynd â pholisi a strategaeth y sefydliad.

Mae'r elfennau canlynol yn bwysig mewn polisi CVD:

  • dull cyswllt ar gyfer cyfathrebu diogel;

  • rhagamodau ar gyfer partïon adrodd;

  • disgwyliadau clir ar gyfer ymdrin ag adroddiad;

  • dull o wobrwyo adroddiad;

  • rhif fersiwn a dyddiad yr adolygiad diweddaraf.

Isod ceir tair enghraifft: Mae llawer o sefydliadau yn yr Iseldiroedd wedi tynnu ar enghraifft sylfaenol ResponsibleDisclosure.nl. Mae sefydliadau eraill yn cynnwys rhagamodau ychwanegol, gweler polisi Fox IT. Mae sefydliadau eraill eto yn defnyddio fformat mwy rhydd i gyd-fynd â'u cynulleidfa darged, gweler polisi Bits of Freedom.

Enghraifft: ResponsibleDisclosure.nl

Ysgrifennwyd y testun hwn gan Floor Terra ac fe'i cyhoeddir o dan drwydded Creative Commons Attribution 3.0 Unported.

Yn yr Acme Corporation, rydym yn ystyried diogelwch ein systemau yn flaenoriaeth uchaf. Ond ni waeth faint o ymdrech a roddwn i ddiogelwch systemau, gall gwendidau fod yn bresennol o hyd.

Os byddwch yn darganfod gwendid, hoffem wybod amdano fel y gallwn gymryd camau i fynd i'r afael ag ef cyn gynted â phosibl.

Hoffem ofyn i chi ein helpu i amddiffyn ein cleientiaid a'n systemau yn well.

Gwnewch y canlynol:

  • Anfonwch eich canfyddiadau mewn e-bost i cert@example.com. Amgryptiwch eich canfyddiadau gan ddefnyddio ein hallwedd PGP i atal y wybodaeth hanfodol hon rhag syrthio i'r dwylo anghywir,

  • Peidiwch â manteisio ar y gwendid neu'r broblem rydych wedi'i darganfod, er enghraifft drwy lawrlwytho mwy o ddata nag sy'n angenrheidiol i ddangos y gwendid neu ddileu neu addasu data pobl eraill,

  • Peidiwch â datgelu'r broblem i eraill nes ei bod wedi'i datrys,

  • Peidiwch â defnyddio ymosodiadau ar ddiogelwch ffisegol, peirianneg gymdeithasol, atal gwasanaeth gwasgaredig, sbam na chymwysiadau trydydd partïon, a

  • Darparwch ddigon o wybodaeth i atgynhyrchu'r broblem, fel y gallwn ei datrys cyn gynted â phosibl. Fel arfer, bydd cyfeiriad IP neu URL y system yr effeithir arni a disgrifiad o'r gwendid yn ddigon, ond efallai y bydd gwendidau cymhleth angen eglurhad pellach.

Beth rydym yn ei addo:

  • Byddwn yn ymateb i'ch adroddiad o fewn 3 diwrnod gwaith gyda'n gwerthusiad o'r adroddiad a dyddiad datrys disgwyliedig,

  • Os ydych wedi dilyn y cyfarwyddiadau uchod, ni fyddwn yn cymryd unrhyw gamau cyfreithiol yn eich erbyn mewn perthynas â'r adroddiad,

  • Byddwn yn trin eich adroddiad gyda chyfrinachedd llym, ac ni fyddwn yn trosglwyddo eich manylion personol i drydydd partïon heb eich caniatâd,

  • Byddwn yn eich hysbysu o'r cynnydd tuag at ddatrys y broblem,

  • Yn y wybodaeth gyhoeddus am y broblem a adroddwyd, byddwn yn rhoi eich enw fel darganfyddwr y broblem (oni bai eich bod yn dymuno'n wahanol), a

  • Fel arwydd o'n diolchgarwch am eich cymorth, rydym yn cynnig gwobr am bob adroddiad o broblem diogelwch nad oeddem yn ei hadnabod eto. Penderfynir ar swm y wobr yn seiliedig ar ddifrifoldeb y gollyngiad ac ansawdd yr adroddiad. Y wobr isaf fydd taleb anrheg gwerth €50.

Rydym yn ymdrechu i ddatrys pob problem cyn gynted â phosibl, a hoffem chwarae rhan weithredol yn y cyhoeddiad terfynol ar y broblem ar ôl iddi gael ei datrys.

Enghraifft: Fox-IT

Yn Fox-IT, rydym yn ystyried diogelwch ein systemau, ein rhwydwaith a'n cynhyrchion yn hollbwysig. Er gwaethaf y gofal mawr a gymerwn ynglŷn â diogelwch, gall mannau gwan aros o hyd. Os ydych wedi dod o hyd i wendid o'r fath, hoffem glywed amdano cyn gynted â phosibl fel y gallwn gymryd mesurau priodol cyn gynted â phosibl.

Gellir darganfod mannau gwan mewn dwy ffordd: gallwch ddod ar draws rhywbeth ar ddamwain wrth ddefnyddio amgylchedd digidol yn normal, neu gallwch wneud eich gorau yn benodol i'w canfod.

Nid yw ein polisi datgelu cyfrifol yn wahoddiad i sganio ein rhwydwaith busnes yn weithredol i ddarganfod mannau gwan. Rydym yn monitro ein rhwydwaith busnes ein hunain. Mae hyn yn golygu bod siawns uchel y canfyddir sgan, ac y cynhelir ymchwiliad gan ein Canolfan Gweithrediadau Diogelwch (SOC), a allai arwain at gostau diangen. Fodd bynnag, gwahoddir chi i chwilio'n weithredol am wendidau yn ein cynhyrchion mewn amgylchedd all-lein nad yw'n amgylchedd cynhyrchu ac i adrodd am eich canfyddiadau i ni. Mae ein cyfrifoldeb i'n cwsmeriaid yn golygu nad ein bwriad yw annog ymdrechion hacio ar eu seilwaith; fodd bynnag, hoffem glywed gennych cyn gynted â phosibl os canfyddir gwendidau, fel y gallwn eu datrys yn ddigonol.

Hoffem weithio gyda chi i allu amddiffyn ein cwsmeriaid a'n systemau yn well.

Gofynnwn i chi:

  • Anfon eich canfyddiadau mewn e-bost cyn gynted â phosibl i security-alert@fox-it.com.

  • Peidio â chamddefnyddio'r gwendid; er enghraifft, drwy lawrlwytho, golygu neu ddileu data. Byddwn bob amser yn cymryd eich adroddiad o ddifrif ac yn ymchwilio i unrhyw amheuaeth o wendid, hyd yn oed heb brawf.

  • Peidio â rhannu'r broblem ag eraill nes ei bod wedi'i datrys.

  • Peidio â defnyddio ymosodiadau ar ddiogelwch ffisegol, peirianneg gymdeithasol nac offer hacio, megis sganwyr gwendid.

  • Rhoi digon o wybodaeth i atgynhyrchu'r broblem fel y gallwn ei datrys cyn gynted â phosibl. Fel arfer, mae cyfeiriad IP neu URL y system yr effeithir arni a disgrifiad o'r gwendid yn ddigon, er y gall fod angen mwy o wybodaeth ar gyfer gwendidau mwy cymhleth.

Beth rydym yn ei addo:

  • Byddwn yn ymateb i'ch adroddiad o fewn tri diwrnod gwaith, gyda'n gwerthusiad o'r adroddiad a dyddiad datrys disgwyliedig.

  • Byddwn yn trin eich adroddiad yn gyfrinachol, ac ni fyddwn yn rhannu eich gwybodaeth bersonol â thrydydd partïon heb eich caniatâd. Eithriad i hyn yw'r heddlu a'r farnwriaeth os cynhelir erlyniad neu os gofynnir am wybodaeth.

  • Byddwn yn eich hysbysu o gynnydd yr ateb i'r broblem.

  • Wrth gyfathrebu am y broblem a adroddwyd, byddwn yn nodi eich enw fel y parti a ddarganfu'r broblem, os dymunwch.

  • Yn anffodus, nid yw'n bosibl gwarantu ymlaen llaw na fydd camau cyfreithiol yn cael eu cymryd yn eich erbyn. Gobeithiwn allu ystyried pob sefyllfa yn unigol. Rydym yn ystyried ein hunain dan rwymedigaeth foesol i'ch adrodd os ydym yn amau bod y gwendid neu'r data'n cael eu camddefnyddio, neu eich bod wedi rhannu gwybodaeth am y gwendid ag eraill. Gallwch fod yn dawel eich meddwl na fydd darganfyddiad damweiniol yn ein hamgylchedd ar-lein yn arwain at erlyniad.

  • Fel diolch am eich cymorth, rydym yn cynnig gwobr am bob adroddiad o broblem diogelwch nad ydym yn ei hadnabod. Rydym yn pennu gwerth y wobr ar sail difrifoldeb y tor-diogelwch ac ansawdd yr adroddiad.

Rydym yn ymdrechu i ddatrys pob problem cyn gynted â phosibl, i gadw'r holl bartïon dan sylw yn wybodus a hoffem fod yn rhan o unrhyw gyhoeddiad am y broblem ar ôl iddi gael ei datrys.

Enghraifft: Bits of Freedom

Mae ein dibyniaeth ar seilwaith digidol yn cynyddu drwy'r amser. Mae hyn yn wir am y gymdeithas gyfan, ond hefyd amdanom ni ein hunain. Felly ein barn ni yw y dylai llywodraethau a sefydliadau (gan gynnwys ni) ymrwymo'n gryf i ddiogelu ein seilwaith digidol. Rydym yn sylweddoli, er gwaethaf ein bwriadau gorau a'n gofal mwyaf, y gall gwendidau fodoli yn ein systemau. Os byddwch yn dod o hyd i un o'r gwendidau hyn, byddem wrth ein bodd yn clywed gennych fel y gallwn ddatrys y broblem.

Beth rydym yn ei ddisgwyl gennych

  • Pan fyddwch yn ymchwilio i un o'n systemau, cofiwch gymesuredd yr ymosodiad. Does dim angen dangos, os byddwch yn cyflwyno ein gwefan i'r ymosodiad DDoS mwyaf yn hanes y rhyngrwyd, y gall y safle fynd yn anghyraeddadwy. Rydym yn gwybod hynny. Rydym hefyd yn deall, os byddwch yn gyrru bwldoser i mewn i'n swyddfa, mae'n debyg y byddwch yn gallu cipio un o'n gliniaduron.

  • Mae'r egwyddor hon o gymesuredd hefyd yn berthnasol wrth ddangos y gwendid ei hun. Ni ddylech archwilio nac addasu mwy o ddata nag sy'n gwbl angenrheidiol i gadarnhau dilysrwydd eich canfyddiad. Er enghraifft, os gallwch addasu ein hafan, ychwanegwch un gair di-ddadl yn unig yn hytrach na chymryd y dudalen gyfan drosodd. Os gallwch gael mynediad i gronfa ddata, mae'n ddigon dangos rhestr o'r tablau sydd ynddi, neu efallai'r cofnod cyntaf yn un o'r tablau hyn.

  • Dylid adrodd am wendid yn un o'n systemau cyn gynted â phosibl drwy anfon e-bost i security@bof.nl. Yn ddelfrydol, byddech yn amgryptio eich neges gan ddefnyddio OpenPGP. Rhowch ddigon o wybodaeth i ni fel y gallwn atgynhyrchu ac ymchwilio i'r broblem.

  • Yr allwedd OpenPGP gyhoeddus ar gyfer security@bof.nl

  • Ni fyddwch yn rhannu eich gwybodaeth am y gwendid ag eraill cyhyd nad ydym wedi mynd i'r afael â'r broblem a'n bod yn dal o fewn amserlen resymol ers i chi adrodd am y broblem.

  • Byddwch yn dileu'r holl wybodaeth gyfrinachol a gawsoch yn ystod eich ymchwiliad cyn gynted ag y byddwn wedi datrys y gwendid.

Beth y gallwch ei ddisgwyl gennym ni

  • Byddwn yn ymateb i'ch adroddiad o fewn tri diwrnod mewn modd manwl. Byddwn yn cynnwys amcangyfrif o'r amser y bydd ei angen arnom i fynd i'r afael â'r broblem. Wrth gwrs, byddwn yn eich hysbysu'n rheolaidd o'n cynnydd.

  • Byddwn yn datrys y gwendid cyn gynted â phosibl. Yma hefyd mae cymesuredd yn bwysig: mae faint o amser sydd ei angen i drwsio gwendid yn dibynnu ar sawl ffactor, yn eu plith difrifoldeb a chymhlethdod y broblem dan sylw.

  • Pan fyddwch yn dilyn y canllawiau a nodir yma, ni fyddwn yn cymryd camau cyfreithiol yn eich erbyn ynglŷn â'ch adroddiad.

  • Mae'n bwysig i ni roi clod i chi am yr hyn a wnaethoch - os dymunwch. Byddwn yn crybwyll eich enw mewn cyhoeddiad ynglŷn â'r gwendid dim ond os cytunwch i hyn.

  • Fel diolch am helpu i ddiogelu ein systemau'n well, hoffem wobrwyo pob adroddiad o wendid nad oeddem yn ei adnabod ar y pryd. Bydd y wobr yn dibynnu ar ddifrifoldeb y gwendid ac ansawdd yr adroddiad.

  • Os byddwch yn dod o hyd i wendid mewn meddalwedd trydydd parti rydym yn ei defnyddio a bod y gwendid hwnnw wedi'i gwmpasu gan raglen gwobrwyo gwallau, ni fyddwn yn ceisio hawlio'r wobr hon; dylech chi wneud hynny.