Fox-IT Koordineret offentliggørelse af sårbarheder

Hos Fox-IT anser vi sikkerheden i vores systemer, vores netværk og vores produkter for at være af største vigtighed. På trods af den store omhu, vi udviser med hensyn til sikkerhed, kan der stadig forblive svage punkter. Hvis du har fundet et sådant svagt punkt, vil vi gerne høre om det så hurtigt som muligt, så vi kan træffe passende foranstaltninger så hurtigt som muligt.

Svage punkter kan opdages på to måder: du kan ved et tilfælde støde på noget under normal brug af et digitalt miljø, eller du kan udtrykkeligt gøre dit bedste for at finde dem.

Vores politik for ansvarlig offentliggørelse er ikke en invitation til aktivt at scanne vores forretningsnetværk for at opdage svage punkter. Vi overvåger selv vores forretningsnetværk. Det betyder, at der er stor sandsynlighed for, at en scanning bliver opdaget, og at vores Security Operation Center (SOC) iværksætter en undersøgelse, hvilket kan medføre unødvendige omkostninger. Du er dog velkommen til aktivt at lede efter sårbarheder i vores produkter i et offline-miljø uden for produktion og rapportere dine fund til os. Vores ansvar over for vores kunder betyder, at vores hensigt ikke er at tilskynde til hackerforsøg på deres infrastruktur; vi vil dog gerne høre fra dig så hurtigt som muligt, hvis der findes sårbarheder, så vi kan løse dem tilfredsstillende.

Vi vil gerne arbejde sammen med dig for bedre at kunne beskytte vores kunder og vores systemer.

Vi beder dig om at:

• Sende dine fund via e-mail så hurtigt som muligt til security-alert@fox-it.com.

• Ikke misbruge sårbarheden; f.eks. ved at downloade, redigere eller slette data. Vi tager altid din rapport alvorligt og undersøger enhver mistanke om en sårbarhed, selv uden bevis.

• Ikke dele problemet med andre, før det er løst.

• Ikke bruge angreb på fysisk sikkerhed, social engineering eller hackerværktøjer, såsom sårbarhedsscannere.

• Give tilstrækkelige oplysninger til, at problemet kan genskabes, så vi kan løse det så hurtigt som muligt. Normalt er IP-adressen eller URL'en på det berørte system og en beskrivelse af sårbarheden nok, selv om der kan være brug for flere oplysninger ved mere komplekse sårbarheder.

Hvad vi lover:

• Vi svarer på din rapport inden for tre arbejdsdage med vores vurdering af rapporten og en forventet løsningsdato.

• Vi behandler din rapport fortroligt og deler ikke dine personlige oplysninger med tredjeparter uden din tilladelse. En undtagelse herfra er politiet og retsvæsenet i tilfælde af retsforfølgelse, eller hvis oplysningerne kræves udleveret.

• Vi holder dig orienteret om fremskridtene i løsningen af problemet.

• I kommunikationen om det rapporterede problem nævner vi dit navn som den part, der opdagede problemet, hvis du ønsker det.

• Det er desværre ikke muligt på forhånd at garantere, at der ikke vil blive taget retslige skridt mod dig. Vi håber at kunne vurdere hver situation individuelt. Vi anser os for moralsk forpligtet til at anmelde dig, hvis vi har mistanke om, at svagheden eller dataene misbruges, eller at du har delt viden om svagheden med andre. Du kan være sikker på, at en tilfældig opdagelse i vores onlinemiljø ikke vil føre til retsforfølgelse.

• Som tak for din hjælp tilbyder vi en belønning for hver rapport om et sikkerhedsproblem, der ikke er kendt for os. Vi fastsætter belønningens værdi ud fra bruddets alvor og rapportens kvalitet.

Vi bestræber os på at løse alle problemer så hurtigt som muligt, holde alle involverede parter orienteret, og vi vil gerne være involveret i enhver offentliggørelse om problemet, når det er løst.

Eksempel: Bits of Freedom

Vores afhængighed af digital infrastruktur vokser hele tiden. Det gælder for samfundet som helhed, men også for os selv. Det er derfor vores mening, at regeringer og organisationer (inklusive vores egen) bør forpligte sig stærkt til at sikre vores digitale infrastruktur. Vi er klar over, at der trods vores bedste intentioner og største omhu kan findes sårbarheder i vores systemer. Hvis du støder på en af disse svagheder, vil vi meget gerne høre fra dig, så vi kan løse problemet.

Hvad vi forventer af dig

• Når du undersøger et af vores systemer, så tænk på angrebets proportionalitet. Det er ikke nødvendigt at demonstrere, at vores hjemmeside kan blive utilgængelig, hvis du udsætter den for internettets største DDoS-angreb nogensinde. Det ved vi. Vi forstår også, at hvis du kører en bulldozer ind på vores kontor, vil du sandsynligvis kunne snuppe en af vores bærbare computere.

• Dette proportionalitetsprincip er også relevant, når selve sårbarheden demonstreres. Du bør ikke inspicere eller ændre flere data end strengt nødvendigt for at bekræfte rigtigheden af dit fund. Hvis du f.eks. kan ændre vores hjemmeside, så tilføj blot ét ukontroversielt ord i stedet for at overtage hele siden. Hvis du kan få adgang til en database, er det nok at vise os en liste over tabellerne deri eller måske den første post i en af disse tabeller.

• En sårbarhed i et af vores systemer bør rapporteres så hurtigt som muligt ved at sende en e-mail til security@bof.nl. Helst bør du kryptere din besked med OpenPGP. Giv tilstrækkelige oplysninger, så vi kan genskabe og undersøge problemet.

• Den offentlige OpenPGP-nøgle til security@bof.nl

• Du vil ikke dele din viden om sårbarheden med andre parter, så længe vi ikke har håndteret problemet, og vi stadig er inden for en rimelig tidsramme, siden du rapporterede problemet.

• Du vil slette alle fortrolige oplysninger, du har fået under din undersøgelse, så snart vi har løst sårbarheden.

Hvad du kan forvente af os

• Vi svarer på din rapport inden for tre dage på en detaljeret måde. Vi vil inkludere et estimat af den tid, vi får brug for til at håndtere problemet. Selvfølgelig holder vi dig løbende orienteret om vores fremskridt.

• Vi løser sårbarheden så hurtigt som muligt. Også her er proportionalitet vigtig: den tid, det kræver at rette en sårbarhed, afhænger af flere faktorer, bl.a. alvoren og kompleksiteten af det pågældende problem.

• Når du følger de retningslinjer, der er fastlagt her, vil vi ikke tage retslige skridt mod dig i forbindelse med din rapport.

• Det er vigtigt for os at give dig æren for det, du har gjort - hvis du ønsker det. Vi nævner kun dit navn i en offentliggørelse om sårbarheden, hvis du er enig i det.

• Som tak for at hjælpe os med bedre at beskytte vores systemer vil vi gerne belønne hver rapport om en sårbarhed, som var ukendt for os på det tidspunkt. Belønningen afhænger af sårbarhedens alvor og rapportens kvalitet.

• Hvis du finder en sårbarhed i tredjepartssoftware, vi bruger, og den sårbarhed er omfattet af et bug bounty-program, vil vi ikke forsøge at gøre krav på den bounty; det bør du.