NCSC.nl

1. Indledning

Samfundet bliver stadig mere digitalt. I dag involverer næsten alle processer på et tidspunkt brug af computere, lige fra mobiltelefoner til specialiseret software. Selv om denne udvikling skaber mange nye muligheder, kan sårbarheder i it-systemer have stor indvirkning. Som følge heraf bør viden om disse sårbarheder håndteres effektivt.

I begyndelsen af 2013 begyndte en række organisationer at offentliggøre politik for, hvordan sårbarheder skal rapporteres. Efter høring af disse parter sammenfattede Det Nationale Cybersikkerhedscenter (National Cyber Security Centre, NCSC) udviklingen i form af ‘Retningslinjer for at opnå en praksis for Ansvarlig Offentliggørelse’ (på hollandsk: ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘retningslinjerne’). Virksomheder angiver gennem denne politik, at de er åbne for at modtage eksterne sårbarhedsrapporter, beskriver deres forudsætninger og afgiver løfter. Denne proces skabte klarhed og et nogenlunde sikkert miljø for rapporterende parter til at undersøge og rapportere sårbarheder uden direkte at begå en strafbar handling. Ved EU's topmøde på højt niveau om cybersikkerhed i 2016 bekræftede 29 organisationer endnu en gang vigtigheden af en politik for håndtering af sårbarheder ved at underskrive manifestet om koordineret offentliggørelse af sårbarheder (Coordinated Vulnerability Disclosure Manifesto)1, som blev initieret af CIO Platform Nederlandene og Rabobank i samarbejde med NCSC.

Koordineret offentliggørelse af sårbarheder (CVD) har vist sig at være af stor betydning for offentlige og private parter. De er i høj grad afhængige af, at informationssystemer fungerer uforstyrret i den daglige praksis. Rapporter om sårbarheder i deres systemer har i de seneste år hjulpet med at forbedre systemernes sikkerhed og kontinuitet, på den ene side ved at udbedre sårbarheder og på den anden side ved at bidrage til hollandske virksomheders generelle bevidsthed om it-sikkerhed.

I de seneste år er det blevet tydeligt, at rapporterende parter er villige til at arbejde inden for rammerne af den CVD-politik, organisationerne har udarbejdet. Rapporter foretages direkte eller indirekte til organisationer af rapporterende parter. Praksis for ansvarlig offentliggørelse har vist, at velmenende rapporterende parter og sårbare organisationer har formået at samarbejde og dermed tage det næste skridt i at øge sikkerheden i net- og informationssystemer.

Til denne revision har vi igen talt med en bred og mangfoldig gruppe af rapporterende parter, private og offentlige parter samt anklagemyndigheden og Rigspolitiet. Disse samtaler har bekræftet den nuværende praksis og ført til tilføjelser og forbedringer. Det vigtigste nye opmærksomhedspunkt er kommunikationen mellem sårbarhedsrapportøren og organisationen samt med andre parter, efter at en sårbarhed er udbedret.

De følgende kapitler drøfter definitionen af CVD, byggestenene til en CVD-politik og kommunikationsprocessen.

Bemærkning: De tidligere retningslinjer brugte begrebet ‘ansvarlig offentliggørelse’ (responsible disclosure), som dengang var det almindelige begreb for denne praksis. Det er imidlertid blevet tydeligt, at dette begreb lægger for stor vægt på den rapporterende parts ansvar, mens grundprincippet er, at den rapporterende part og den potentielt sårbare organisation bør være ligeværdige partnere i dialogen. Denne holdning rammes bedre af det nu almindeligt anvendte begreb ‘Koordineret offentliggørelse af sårbarheder’ (Coordinated Vulnerability Disclosure, CVD), som også er det navn, der bruges i ISO 29147- og 30111-standarderne om denne proces.

2. Koordineret sårbarhed

Der er gennem de seneste 30 år brugt forskellige metoder til at øge bevidstheden om sårbarheder i it-systemer. Eksempler omfatter:

‘Fuld offentliggørelse’ (Full Disclosure), at gøre en sårbarhed fuldt offentlig;
‘Ikke-offentliggørelse’ (Non-disclosure), at sælge eller selv bruge en sårbarhed;
‘Koordineret offentliggørelse af sårbarheder’ (CVD), den koordinerede offentliggørelse af en sårbarhed.

Den sidstnævnte praksis foretrækkes udtrykkeligt.

It-fællesskabet har vist stor vilje til at dele viden og erfaring. At søge samarbejde med dette fællesskab kan derfor være med til at forbedre systemernes samlede sikkerhed.

Formålet med koordineret offentliggørelse af sårbarheder

Formålet med CVD er at bidrage til sikkerheden i it-systemer ved at dele viden om sårbarheder. I CVD deles viden med en eller flere potentielt sårbare organisationer for at nå frem til en fælles løsning på den fundne sårbarhed i samarbejde med den rapporterende part. Det er vigtigt, at de berørte organisationer har tilstrækkelig tid til at udbedre eventuelle sårbarheder eller beskytte systemer for så vidt muligt at begrænse eller forhindre tab eller skade. Hjørnestenen i processen er offentliggørelse af viden om sårbarhederne efter udbedring.

Det er afgørende i CVD, at alle parter overholder aftaler om, hvordan en sårbarhed rapporteres, og hvordan den håndteres. Det hjælper, hvis en organisation på forhånd offentliggør forudsætninger, såsom hvilke systemer der er omfattet, og hvilken slags undersøgelser der kan foretages. Et vigtigt princip for disse forudsætninger er, at organisationen i princippet ikke vil anmelde den rapporterende part eller tage andre retslige skridt, hvis undersøgelsen og rapporteringen foregår inden for de fastsatte vilkår. Disse retningslinjer giver organisationer vejledning i at udarbejde deres egen politik, der udmønter CVD's principper.

Som navnet antyder, er det centralt i CVD, at organisationen og den rapporterende part koordinerer med hinanden. I denne henseende bør der være så få led som muligt mellem den, der rapporterer sårbarheden, og den person i organisationen, der er ansvarlig for at løse problemet.

Det kan være vigtigt at informere flere parter på samme tid, hvis en sårbarhed påvirker mange systemer. I så fald kan NCSC eller andre parter i sikkerhedsfællesskabet støtte CVD-processen fra en koordinerende rolle.

3. Ansvarsområder

Formålet med at føre en CVD-politik er, at de rapporterende parter og organisationen arbejder sammen om at reducere sårbarhederne i it-systemer. Gennemførelsen af denne politik bør ses som et supplement til eksisterende foranstaltninger vedrørende informationssikkerhed. De forskellige aktører har hver deres rolle og ansvar. Disse forklares nærmere nedenfor.

Organisationen, der ejer/forvalter et system

Organisationen, der ejer/forvalter eller leverer et system, har det primære ansvar for dette systems sikkerhed. Med andre ord er organisationen også ansvarlig for at følge op på en sårbarhedsrapport.

Organisationen kan vælge at udarbejde sin egen CVD-politik ved hjælp af disse retningslinjer og at kommunikere denne politik til potentielle rapporterende parter. Ved at offentliggøre en CVD-politik viser organisationer deres vilje til at modtage oplysninger om sårbarheder.

En part, der fastsætter en CVD-politik, kan forpligte sig til princippet om, at den ikke vil indgive en anmeldelse til politiet, hvis de regler, der gælder for politikken, respekteres.

Når en rapporterende part har rapporteret en sårbarhed, ligger ansvaret hos organisationen. Det er vigtigt at være klar over, at den rapporterende part ofte er en person uden for organisationen. Denne part har ikke direkte indsigt i de interne processer, der kan udløses, efter at en sårbarhed er rapporteret. Som følge heraf vil rapporterende parter sætte pris på at blive informeret om udviklingen i udbedringen af sårbarheden. Denne løbende kommunikation er også vigtig for at skabe de rette forventninger til opfølgningen og løsningens rettidighed.

Parten, der rapporterer en sårbarhed

På den ene eller anden måde har den rapporterende part kunnet identificere en sårbarhed og ønsker at bidrage til sikkerheden i it-systemer ved at få denne sårbarhed udbedret og eventuelt gjort offentlig på et senere tidspunkt. Den rapporterende part kan have opdaget noget gennem passiv observation eller ved aktivt at teste it-systemet. Selvfølgelig er denne part ansvarlig for sine egne handlinger og den måde, hvorpå den opdagede sårbarheden. Det er den rapporterende parts eget ansvar at være bekendt med de vilkår, som en organisation har fastsat i sin CVD-politik. De fleste regeringer og virksomheder har offentliggjort deres CVD-politikker på deres hjemmesider.

At finde sårbarheder kan ikke desto mindre indebære at bryde loven. I forbindelse med CVD kan organisationen og den rapporterende part aftale, at de ikke vil anmelde nogen strafbare handlinger. I denne henseende er den CVD-politik, organisationen har offentliggjort, det vejledende princip. Parterne kan også aftale, at der ikke vil blive taget civilretlige skridt.

Hvis der er mistanke om, at den rapporterende part har overtrådt loven, kan en CVD-politik først og fremmest hjælpe med at forhindre, at rapportøren anmeldes til myndighederne. Denne procedure afhænger helt af forudsætningerne i den politik, som en organisation kræver, at en rapporterende part overholder, og om denne overholdelse er opnået, eventuelt med et tilsvarende løfte om ikke at indgive en strafferetlig anmeldelse, så længe parten opererer inden for politikkens vilkår. Hvis der foretages en politianmeldelse, er eksistensen af og overholdelsen af en CVD-politik en relevant omstændighed i Nederlandene, som anklageren vil tage i betragtning, når der træffes beslutning om, hvorvidt der skal indledes en strafferetlig efterforskning og/eller rejses tiltale. I princippet vil politiet og anklagemyndigheden (OM) ikke indlede en strafferetlig efterforskning, hvis den rapporterende part klart har overholdt reglerne i den pågældende organisations CVD-politik. Anklagemyndigheden og politiet kan dog undersøge sagen nærmere, hvis der er tegn på, at den rapporterende part bevidst eller ubevidst er gået for vidt i sine handlinger og/eller ikke har overholdt CVD-politikken. På grundlag af denne undersøgelse kan anklagemyndigheden beslutte, om der skal rejses tiltale.

Anklagemyndigheden har offentliggjort et politikbrev, hvori den mere specifikt behandler aspekter, der er vigtige for at nå frem til en beslutning om at efterforske og/eller rejse tiltale. For eksempel om den rapporterende parts handlinger tjente en væsentlig samfundsinteresse, om parten handlede uforholdsmæssigt, og om parten måske kunne have handlet på en anden, mindre indgribende måde. Det relevante politikbrev uddyber disse aspekter yderligere.2 Relevant retspraksis siden 20133 viser, at disse aspekter også tages i betragtning i retten, hvis en organisation ikke har en CVD-politik.

4. Byggesten i processen for koordineret offentliggørelse af sårbarheder

Byggesten til udformningen af CVD-processen for organisationen, rapportøren og NCSC er angivet nedenfor.

Organisationen

Fremme af CVD begynder hos en organisation, der ejer it-systemer, eller som leverer et it-produkt/-system. Det er trods alt denne organisation, der har det primære ansvar for informationssikkerheden i disse it-systemer. For effektivt at kunne arbejde sammen med forskellige parter om at løse sårbarheder kan en organisation beslutte at udarbejde og offentliggøre en CVD-politik. At udarbejde sin egen CVD-politik giver organisationen mulighed for at vise, hvordan den håndterer rapporter om sårbarheder. På denne måde kan en organisation også give form til den måde, hvorpå den ønsker at modtage underretninger. En sådan proces kan tilrettelægges som følger:

Organisationen fastlægger og offentliggør en CVD-politik.
I denne politik giver organisationen klare regler for den undersøgelse, som rapporterende parter kan udføre, såsom hvilke teknikker der er tilladt, og hvilke systemer der er inden for eller uden for omfanget.
Organisationen gør det let for en rapporterende part at foretage en rapport. En mulighed er brugen af en standardiseret rapporteringsmetode; for eksempel en bestemt e-mailadresse eller online formular. Derudover kan organisationen beslutte, om den vil acceptere anonyme rapporter.
Organisationen afsætter intern kapacitet og opstiller en proces for at reagere hensigtsmæssigt på rapporter. Det er tilrådeligt at opstille en proces, hvormed eventuelle fundne sårbarheder kan udbedres hensigtsmæssigt. I denne henseende er rapportens oprindelse uden betydning. Sårbarheden kan f.eks. også være identificeret af en intern medarbejder eller under en test.
Praktisk erfaring viser, at der vil være større interesse for at rapportere sårbarheder til organisationen efter den første offentliggørelse af en CVD-politik. Organisationen bør tage højde for dette, når den planlægger (ekstra) kapacitet.
Når organisationen modtager sårbarhedsrapporten, sikrer den, at rapporten så hurtigt som muligt når frem til den afdeling, der er bedst egnet til at vurdere og håndtere rapporten.
Organisationen sender en bekræftelse på modtagelsen til den rapporterende part, helst digitalt underskrevet for at understrege prioriteten.
Efterfølgende vil organisationen indgå i høring med den rapporterende part for at fastlægge den periode, inden for hvilken en eventuel offentliggørelse vil finde sted. Denne periode vil afhænge i høj grad af sårbarhedens art og systemets type.
Som en retningslinje bruges ofte en periode på ca. 60 dage for softwaresårbarheder. Udbedring af sårbarheder i hardware er sværere at opnå; en retningslinje på 6 måneder kan bruges.
Det kan være ønskeligt at forlænge eller forkorte denne periode efter gensidig aftale afhængigt af, hvor mange eller få it-systemer der afhænger af det system, hvor sårbarheden blev rapporteret, eller om sårbarheden er lettere eller sværere at løse.
En sårbarhed kan vise sig at være vanskelig eller umulig at løse, eller der kan være høje omkostninger forbundet med at løse den. I sådanne tilfælde kan organisationen aftale at betragte sårbarheden som en accepteret risiko og ikke udbedre den, eventuelt i samråd med den rapporterende part.
Organisationen vil holde den rapporterende part orienteret om processens udvikling.
Derudover kan organisationen tilbyde, at den rapporterende part bliver offentligt anerkendt for at offentliggøre sårbarheden. Det er også muligt at vælge en fælles offentliggørelse udadtil.
Det er at foretrække at belønne den rapporterende part for at rapportere sårbarheder i systemer, hvis parten har overholdt reglerne i CVD-politikken. Belønningens størrelse kan afhænge af rapportens kvalitet. At belønne den rapporterende part kan skabe et bedre forhold mellem denne part og organisationen samt øge folks villighed til at foretage nye rapporter i overensstemmelse med CVD-politikken.
I samråd med den rapporterende part kan organisationen aftale at informere det bredere it-fællesskab om sårbarheden, hvis det er sandsynligt, at sårbarheden også findes andre steder.
I sin CVD-politik kan organisationen forpligte sig til princippet om, at den ikke vil indgive en anmeldelse til politiet, hvis den rapporterende part har overholdt de regler, der er skitseret i politikken.

Den rapporterende part

Den rapporterende part er nøglen til en vellykket CVD-proces. På den ene eller anden måde har denne part kunnet identificere en sårbarhed og ønsker at bidrage til sikkerheden i it-systemer ved at få denne sårbarhed udbedret af en organisation og gjort offentlig. Ved at gøre dette anerkender rapporterende parter, at de kan yde et vigtigt bidrag til samfundet ved at afsløre sårbarheder på en koordineret måde. For at opnå en vellykket CVD-proces er følgende byggesten vigtige for den rapporterende part:

Den rapporterende part er ansvarlig for sine egne handlinger og skal overholde både proportionalitets- og subsidiaritetsprincippet, når den undersøger og rapporterer sårbarheder. Med andre ord bør den rapporterende part ikke gøre mere, end hvad der er nødvendigt for at demonstrere sårbarheden, og bør altid rapportere sårbarheden til system-/informationsejeren først.
Den rapporterende part skal rapportere problemet så hurtigt som muligt for at forhindre, at ondsindede parter opdager sårbarheden og udnytter den.
Den rapporterende part skal foretage rapporten til organisationen på en fortrolig måde for at forhindre, at andre får adgang til denne information.
Den rapporterende part må ikke gøre indsendelsen af en rapport eller den videre afgivelse af oplysninger afhængig af belønningen. Initiativet til at give en belønning i tilfælde af en rapport ligger hos den modtagende organisation, som kan skitsere forudsætninger i sin offentliggjorte politik.
Den rapporterende part og organisationen laver klare aftaler om offentliggørelsen af sårbarheden. Hvis mere end én organisation er involveret, er grundprincippet, at sårbarhederne kun kan offentliggøres, hvis alle organisationer er enige heri. Det er tilrådeligt at lave disse aftaler på et tidligt tidspunkt.
Den rapporterende part og den involverede organisation kan lave aftaler om at informere det bredere it-fællesskab. For eksempel kan denne situation gælde for en sårbarhed (uanset om den allerede er kendt eller ej), som vides at være til stede mere end ét sted. Det Nationale Cybersikkerhedscenter (NCSC) kan inddrages i denne proces for at støtte målgrupperne i centraladministrationen og den kritiske infrastruktur eller for at informere flere parter i tilfælde af en sårbarhed, der påvirker mange systemer.

NCSC

CVD-processen er først og fremmest en sag for organisationer og rapporterende parter. Ikke desto mindre vil NCSC tilskynde til brugen af en CVD-proces. I samråd med den rapporterende part og organisationen kan NCSC også inddrages i at dele oplysninger om sårbarheden med sin målgruppe (constituency) for at begrænse yderligere sikkerhedsrisici, der opstår som følge af sårbarheden.

Hvis rapporteringen af sårbarheden ikke forløber, som den rapporterende part forventer, eller hvis vedkommende hellere ikke vil rapportere sårbarheden direkte til organisationen, kan vedkommende kontakte NCSC.4 I dette tilfælde kan NCSC om nødvendigt optræde som mellemmand.

Ejeren af it-systemet er til enhver tid ansvarlig for systemets sikkerhed. NCSC kan hverken tvinge systemets ejer til at udbedre en sårbarhed eller garantere, at ejeren ikke vil tage retslige skridt mod den rapporterende part. Som følge heraf skal den rapporterende part tage de ovennævnte byggesten for organisationer og rapporterende parter i betragtning, når der søges efter og rapporteres en sårbarhed. En rapporterende part kan forvente, at NCSC gør sit yderste for at få sårbarheden udbedret og behandler rapporten fortroligt. NCSC deler ikke nogen personoplysninger, medmindre det er juridisk forpligtet til det.

Hvis det er muligt, vil NCSC i samråd med organisationer og rapporterende parter bruge de indhentede oplysninger om sårbarheder til yderligere at dele viden med it-fællesskabet. For eksempel kan det gøre det ved at offentliggøre en del af oplysningerne, skrive eller opdatere et faktaark eller en hvidbog (white paper) eller ved at informere specifikke organisationer.

Afhængigt af den berørte organisation og den konstaterede sårbarheds art vil NCSC bestræbe sig på at gøre den pågældende organisation opmærksom på sårbarheden. Ejeren af det pågældende it-system er dog fortsat ansvarlig for systemet.
Hvor det er muligt og nødvendigt, vil NCSC give den pågældende organisation rådgivning om, hvordan sårbarheden udbedres.
NCSC vil behandle rapporter fortroligt og vil ikke dele de rapporterende parters eller den modtagende organisations personoplysninger uden samtykke, medmindre det følger af en lovpligtig forpligtelse.
Hvor det er muligt, vil NCSC holde den rapporterende part orienteret om udviklingen i kontakten med organisationen og udbedringen af sårbarheden.
I tilfælde, hvor der foretages en rapport til NCSC, vil NCSC forsøge at bringe den rapporterende part eller den potentielle rapporterende part og organisationen i kontakt med hinanden.

Hvis en rapporterende part f.eks. har fundet en sårbarhed i et softwareprodukt eller en sårbarhed, der påvirker mange forskellige systemer, kan den rapporterende part bede NCSC om at koordinere udbedringen og offentliggørelsen af sårbarheden.

Sammen med den rapporterende part, partnere, udviklere og/eller softwareudviklere og andre sikkerhedsteams vil NCSC hjælpe med at analysere, udbedre eller få udbedret, koordinere og offentliggøre sårbarheden på en kontrolleret måde. Hele denne proces foregår i tæt samråd med den rapporterende part, der fandt sårbarheden.

En CVD-politik forsøger at finde en balance mellem vigtigheden af at offentliggøre sårbarheder så hurtigt som muligt, så der kan træffes foranstaltninger, og vigtigheden af, at udviklere såvel som leverandører har tilstrækkelig tid til at udbedre sårbarheden. Til denne proces bruger NCSC en standardperiode på 60 dage mellem rapporten og den offentlige offentliggørelse. Der kan dog være omstændigheder, hvor det kan besluttes at forlænge eller forkorte denne periode.

NCSC vil kun dele oplysninger om sårbarheden med tredjeparter efter samråd med den rapporterende part. Det er i denne sammenhæng afgørende, at NCSC samarbejder og derfor deler oplysninger om sårbarheden med interessenter for at kunne offentliggøre en sårbarhed på en koordineret måde. NCSC vil derved sikre, at de rette parter kan arbejde på at udbedre sårbarheden, være med til at begrænse eventuelle tab eller skader og være med til at henlede opmærksomheden på den fundne sårbarhed.

5. Kommunikation og offentliggørelsesprocessen

Fem års praksis har vist, at klar kommunikation er hjørnestenen i en vellykket CVD-proces. Der er opmærksomhedspunkter før, under og efter CVD-processen.

Kommunikation om offentliggørelsesprocessen

At offentliggøre en CVD-politik er et første skridt i kommunikationen om processen. Ved at offentliggøre en politik offentligt inviteres rapporterende parter til at underrette organisationen om eventuelle fundne sårbarheder.

På den ene side kan organisationen opstille vilkår for den undersøgelse, der foretages for at opdage sårbarheder, og for den måde, hvorpå kontakt søges. På den anden side kan organisationen forpligte sig til princippet om, at den ikke vil indgive en anmeldelse til politiet, hvis politikkens regler respekteres. Denne tilgang beskytter den rapporterende parts position.

En CVD-politik kan ændres eller opdateres på et senere tidspunkt. Det er vigtigt at være klar over ændringerne i denne henseende. Rapporterende parter har interesse i at vide, hvad der er ændret, og hvornår. For eksempel kan ændringer tydeliggøres ved at angive en offentliggørelsesdato i begyndelsen af CVD-politikken, ved at beskrive en oversigt over ændringer under CVD-politikken eller ved at føre et arkiv med gamle versioner af CVD-politikken.

CVD-politikken kan give retningslinjer for, hvordan der kommunikeres under processen, f.eks. ved at angive regelmæssige opdateringer via e-mail eller en webportal. Derudover kan CVD-politikken beskrive, hvordan en rapportør kan anerkendes ved at blive nævnt i forbindelse med en opdatering, optagelse i en hall of fame eller enhver anden form for belønning.

Kommunikation under offentliggørelsesprocessen

En rapporterende part indleder en CVD-proces ved at sende en besked til organisationen. I denne besked giver den rapporterende part en klar beskrivelse af den opdagede sårbarhed. Vigtige elementer er IP-adressen eller URL'en på det berørte system og de nødvendige trin for at genskabe sårbarheden.

Det er vigtigt for organisationen at kommunikere klart til den rapporterende part, så forventningerne til processen er tydelige.

Den kan allerede gøre det ved at sende en bekræftelse på modtagelsen (automatiseret eller på anden måde), som indeholder en angivelse af den frist, inden for hvilken et første eller efterfølgende indholdsmæssigt svar vil blive sendt.

Det er også muligt at lade denne periode stå åben og give en første angivelse af fristen efter at have vurderet rapportens indhold. Det er tilrådeligt så hurtigt som muligt at være klar over den periode, inden for hvilken en løsning kan opnås. På denne måde ved rapportøren, hvornår et resultat kan forventes.

Det kan i nogle tilfælde være muligt, at en offentliggørelsesdato allerede er klar for den rapporterende part; for eksempel på grund af en præsentation på en konference, eller fordi den rapporterende part har fastsat sin egen frist. I dette tilfælde er det stadig vigtigt, at den rapporterende part kommunikerer denne tidslinje klart, angiver den så tidligt som muligt og er klar over muligheden/umuligheden af at udskyde denne dato.

En rapporterende part er ofte en person uden for organisationen, som ikke har nogen indsigt i de interne processer, der kan udløses af en rapport. Organisationer kan holde den rapporterende part orienteret om udviklingen i processen gennem regelmæssige opdateringer. Denne tilgang gør det klart for en rapporterende part, at der arbejdes på en løsning. Om nødvendigt kan en organisation anmode om afklaring eller om at teste en løsning under processen.

Hvis en organisation ikke kan overholde den oprindelige løsningsfrist, kan det drøftes med rapportøren at udskyde den. Regelmæssig kommunikation kan gøre denne situation klar for en rapportør på et tidligere tidspunkt.

Den primære hensigt med CVD er at afhjælpe sårbarheden, men ‘fuld offentliggørelse’ af sårbarheden er altid en mulighed for en rapporterende part, hvis den føler, at processen vil tage for lang tid. Dette middel er den berømte ‘store kæp’, som den rapporterende part har til rådighed. Naturligvis skal denne situation så vidt muligt forhindres.

Kommunikation efter offentliggørelsesprocessen

Der er mange mulige grunde til, at en rapporterende part kan lede efter sårbarheder og derefter rapportere dem til organisationer via CVD-processen. For et stort antal rapporterende parter er (offentlig) anerkendelse en vigtig tilskyndelse.

Rapporterende parter modtager offentlig anerkendelse via en tak i en opdatering eller optagelse i en hall of fame. Behovet for offentlig anerkendelse gælder dog ikke alle rapporterende parter; nogle ønsker faktisk ikke at være kendt af offentligheden. I tilfælde af kommunikation fra organisationen er det derfor tilrådeligt at indhente den rapporterende parts samtykke til at nævne vedkommende ved navn.

Derudover kan rapporterende parter også beslutte at kommunikere om en rapport efter afslutningen af CVD-processen. For eksempel kan den rapporterende part beskrive opdagelsesprocessen eller advare andre om sårbarheden. En rapportør kan beslutte at forelægge publikationen for en organisation til orientering. Da CVD-processen i princippet er afsluttet efter fjernelsen af sårbarheden, er den rapporterende part derefter fri til at kommunikere om den, medmindre der er indgået yderligere aftaler i politikken eller under processen.

Liste

Kommunikation om offentliggørelsesprocessen

Offentliggørelse af CVD-politikken på hjemmesiden
Vær klar over begrænsninger (se kapitel 6 for forskellige tilgange)
Begrænsninger i undersøgelsesmetoder
Retningslinjer om kommunikation
Retningslinjer om mulige belønninger: hall of fame, økonomisk belønning, t-shirt osv.
Vær klar over eventuelle opdateringer af CVD-politikken, herunder datoen for ændringer

Kommunikation under offentliggørelsesprocessen

Rapportøren kontakter organisationen om en opdaget sårbarhed.
Organisationen styrer forventninger, såsom svartiden for et første teknisk svar
Organisationen og rapportøren giver hinanden klarhed om den forventede løsningsperiode
Organisationen giver hyppigt en (proces)opdatering
Om nødvendigt drøfter rapportøren og organisationen at kontakte andre relevante organisationer

Kommunikation efter offentliggørelsesprocessen

Drøft (offentlig) anerkendelse og belønning af rapportøren
Aftal, hvordan oplysninger om sårbarheden vil blive offentliggjort, såsom forskningsfasen eller information af andre organisationer

6. Eksempler på politik for koordineret offentliggørelse af sårbarheder

Der er mange forskellige former for politiktekster om koordineret offentliggørelse af sårbarheder. Da den offentliggjorte CVD-politik fungerer som en vejviser for potentielle rapporterende parter, skal du sikre, at formen af denne politik er i overensstemmelse med organisationens politik og strategi.

Følgende elementer er vigtige i en CVD-politik:

kontaktmetode til sikker kommunikation;
forudsætninger for rapporterende parter;
klare forventninger til håndteringen af en rapport;
metode til belønning af en rapport;
versionsnummer og dato for seneste revision.

Nedenfor er tre eksempler: Mange organisationer i Nederlandene har hentet inspiration fra det grundlæggende eksempel fra ResponsibleDisclosure.nl. Andre organisationer medtager yderligere forudsætninger, se Fox IT's politik. Endnu andre organisationer anvender et frit format for at passe til deres målgruppe, se Bits of Freedoms politik.

Hos Acme Corporation anser vi sikkerheden i vores systemer for en topprioritet. Men uanset hvor stor en indsats vi lægger i systemsikkerhed, kan der stadig være sårbarheder.

Hvis du opdager en sårbarhed, vil vi gerne vide det, så vi kan tage skridt til at håndtere den så hurtigt som muligt.

Vi vil gerne bede dig om at hjælpe os med bedre at beskytte vores kunder og vores systemer.

Gør venligst følgende:

Send dine fund via e-mail til cert@example.com. Kryptér dine fund med vores PGP-nøgle for at forhindre, at denne kritiske information havner i de forkerte hænder,
Udnyt ikke den sårbarhed eller det problem, du har opdaget, f.eks. ved at downloade flere data end nødvendigt for at demonstrere sårbarheden eller ved at slette eller ændre andres data,
Afslør ikke problemet over for andre, før det er løst,
Brug ikke angreb på fysisk sikkerhed, social engineering, distribueret denial of service, spam eller tredjepartsapplikationer, og
Giv tilstrækkelige oplysninger til at genskabe problemet, så vi kan løse det så hurtigt som muligt. Normalt vil IP-adressen eller URL'en på det berørte system og en beskrivelse af sårbarheden være tilstrækkeligt, men komplekse sårbarheder kan kræve yderligere forklaring.

Hvad vi lover:

Vi svarer på din rapport inden for 3 arbejdsdage med vores vurdering af rapporten og en forventet løsningsdato,
Hvis du har fulgt instruktionerne ovenfor, vil vi ikke tage nogen retslige skridt mod dig i forbindelse med rapporten,
Vi behandler din rapport med streng fortrolighed og videregiver ikke dine personlige oplysninger til tredjeparter uden din tilladelse,
Vi holder dig orienteret om fremskridtene mod at løse problemet,
I de offentlige oplysninger om det rapporterede problem angiver vi dit navn som opdager af problemet (medmindre du ønsker andet), og
Som et tegn på vores taknemmelighed for din hjælp tilbyder vi en belønning for hver rapport om et sikkerhedsproblem, der endnu ikke var kendt for os. Belønningens størrelse fastsættes ud fra lækagens alvor og rapportens kvalitet. Den mindste belønning er et gavekort på 50 €.

Vi bestræber os på at løse alle problemer så hurtigt som muligt, og vi vil gerne spille en aktiv rolle i den endelige offentliggørelse om problemet, efter at det er løst.

Eksempel: Fox-IT

Hos Fox-IT anser vi sikkerheden i vores systemer, vores netværk og vores produkter for at være af største vigtighed. På trods af den store omhu, vi udviser med hensyn til sikkerhed, kan der stadig forblive svage punkter. Hvis du har fundet et sådant svagt punkt, vil vi gerne høre om det så hurtigt som muligt, så vi kan træffe passende foranstaltninger så hurtigt som muligt.

Svage punkter kan opdages på to måder: du kan ved et tilfælde støde på noget under normal brug af et digitalt miljø, eller du kan udtrykkeligt gøre dit bedste for at finde dem.

Vores politik for ansvarlig offentliggørelse er ikke en invitation til aktivt at scanne vores forretningsnetværk for at opdage svage punkter. Vi overvåger selv vores forretningsnetværk. Det betyder, at der er stor sandsynlighed for, at en scanning bliver opdaget, og at vores Security Operation Center (SOC) iværksætter en undersøgelse, hvilket kan medføre unødvendige omkostninger. Du er dog velkommen til aktivt at lede efter sårbarheder i vores produkter i et offline-miljø uden for produktion og rapportere dine fund til os. Vores ansvar over for vores kunder betyder, at vores hensigt ikke er at tilskynde til hackerforsøg på deres infrastruktur; vi vil dog gerne høre fra dig så hurtigt som muligt, hvis der findes sårbarheder, så vi kan løse dem tilfredsstillende.

Vi vil gerne arbejde sammen med dig for bedre at kunne beskytte vores kunder og vores systemer.

Vi beder dig om at:

Sende dine fund via e-mail så hurtigt som muligt til security-alert@fox-it.com.
Ikke misbruge sårbarheden; f.eks. ved at downloade, redigere eller slette data. Vi tager altid din rapport alvorligt og undersøger enhver mistanke om en sårbarhed, selv uden bevis.
Ikke dele problemet med andre, før det er løst.
Ikke bruge angreb på fysisk sikkerhed, social engineering eller hackerværktøjer, såsom sårbarhedsscannere.
Give tilstrækkelige oplysninger til, at problemet kan genskabes, så vi kan løse det så hurtigt som muligt. Normalt er IP-adressen eller URL'en på det berørte system og en beskrivelse af sårbarheden nok, selv om der kan være brug for flere oplysninger ved mere komplekse sårbarheder.

Hvad vi lover:

Vi svarer på din rapport inden for tre arbejdsdage med vores vurdering af rapporten og en forventet løsningsdato.
Vi behandler din rapport fortroligt og deler ikke dine personlige oplysninger med tredjeparter uden din tilladelse. En undtagelse herfra er politiet og retsvæsenet i tilfælde af retsforfølgelse, eller hvis oplysningerne kræves udleveret.
Vi holder dig orienteret om fremskridtene i løsningen af problemet.
I kommunikationen om det rapporterede problem nævner vi dit navn som den part, der opdagede problemet, hvis du ønsker det.
Det er desværre ikke muligt på forhånd at garantere, at der ikke vil blive taget retslige skridt mod dig. Vi håber at kunne vurdere hver situation individuelt. Vi anser os for moralsk forpligtet til at anmelde dig, hvis vi har mistanke om, at svagheden eller dataene misbruges, eller at du har delt viden om svagheden med andre. Du kan være sikker på, at en tilfældig opdagelse i vores onlinemiljø ikke vil føre til retsforfølgelse.
Som tak for din hjælp tilbyder vi en belønning for hver rapport om et sikkerhedsproblem, der ikke er kendt for os. Vi fastsætter belønningens værdi ud fra bruddets alvor og rapportens kvalitet.

Vi bestræber os på at løse alle problemer så hurtigt som muligt, holde alle involverede parter orienteret, og vi vil gerne være involveret i enhver offentliggørelse om problemet, når det er løst.

Eksempel: Bits of Freedom

Vores afhængighed af digital infrastruktur vokser hele tiden. Det gælder for samfundet som helhed, men også for os selv. Det er derfor vores mening, at regeringer og organisationer (inklusive vores egen) bør forpligte sig stærkt til at sikre vores digitale infrastruktur. Vi er klar over, at der trods vores bedste intentioner og største omhu kan findes sårbarheder i vores systemer. Hvis du støder på en af disse svagheder, vil vi meget gerne høre fra dig, så vi kan løse problemet.

Hvad vi forventer af dig

Når du undersøger et af vores systemer, så tænk på angrebets proportionalitet. Det er ikke nødvendigt at demonstrere, at vores hjemmeside kan blive utilgængelig, hvis du udsætter den for internettets største DDoS-angreb nogensinde. Det ved vi. Vi forstår også, at hvis du kører en bulldozer ind på vores kontor, vil du sandsynligvis kunne snuppe en af vores bærbare computere.
Dette proportionalitetsprincip er også relevant, når selve sårbarheden demonstreres. Du bør ikke inspicere eller ændre flere data end strengt nødvendigt for at bekræfte rigtigheden af dit fund. Hvis du f.eks. kan ændre vores hjemmeside, så tilføj blot ét ukontroversielt ord i stedet for at overtage hele siden. Hvis du kan få adgang til en database, er det nok at vise os en liste over tabellerne deri eller måske den første post i en af disse tabeller.
En sårbarhed i et af vores systemer bør rapporteres så hurtigt som muligt ved at sende en e-mail til security@bof.nl. Helst bør du kryptere din besked med OpenPGP. Giv tilstrækkelige oplysninger, så vi kan genskabe og undersøge problemet.
Den offentlige OpenPGP-nøgle til security@bof.nl
Du vil ikke dele din viden om sårbarheden med andre parter, så længe vi ikke har håndteret problemet, og vi stadig er inden for en rimelig tidsramme, siden du rapporterede problemet.
Du vil slette alle fortrolige oplysninger, du har fået under din undersøgelse, så snart vi har løst sårbarheden.

Hvad du kan forvente af os

Vi svarer på din rapport inden for tre dage på en detaljeret måde. Vi vil inkludere et estimat af den tid, vi får brug for til at håndtere problemet. Selvfølgelig holder vi dig løbende orienteret om vores fremskridt.
Vi løser sårbarheden så hurtigt som muligt. Også her er proportionalitet vigtig: den tid, det kræver at rette en sårbarhed, afhænger af flere faktorer, bl.a. alvoren og kompleksiteten af det pågældende problem.
Når du følger de retningslinjer, der er fastlagt her, vil vi ikke tage retslige skridt mod dig i forbindelse med din rapport.
Det er vigtigt for os at give dig æren for det, du har gjort - hvis du ønsker det. Vi nævner kun dit navn i en offentliggørelse om sårbarheden, hvis du er enig i det.
Som tak for at hjælpe os med bedre at beskytte vores systemer vil vi gerne belønne hver rapport om en sårbarhed, som var ukendt for os på det tidspunkt. Belønningen afhænger af sårbarhedens alvor og rapportens kvalitet.
Hvis du finder en sårbarhed i tredjepartssoftware, vi bruger, og den sårbarhed er omfattet af et bug bounty-program, vil vi ikke forsøge at gøre krav på den bounty; det bør du.