NCSC.nl

1. Sissejuhatus

Ühiskond digitaliseerub üha enam. Tänapäeval hõlmavad peaaegu kõik protsessid mingil hetkel arvutite kasutamist, alates mobiiltelefonidest kuni spetsialiseeritud tarkvarani. Kuigi see areng loob palju uusi võimalusi, võivad IT-süsteemide haavatavused avaldada suurt mõju. Seetõttu tuleks nende haavatavuste kohta käivat teavet tõhusalt käsitleda.

aasta alguses hakkasid mitmed organisatsioonid avaldama poliitikat haavatavustest teatamise kohta. Pärast nende osapooltega konsulteerimist võttis Riiklik Küberturvalisuse Keskus (National Cyber Security Centre, NCSC) arengud kokku dokumendis „Juhised vastutustundliku avalikustamise (Responsible Disclosure) tava kujundamiseks" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; edaspidi „Juhised"). Ettevõtted annavad selle poliitikaga märku, et on avatud välistele haavatavuse aruannetele, kirjeldavad oma eeltingimusi ja annavad lubadusi. See protsess lõi selgust ja mõnevõrra turvalise keskkonna aruande esitajatele haavatavuste uurimiseks ja nendest teatamiseks ilma otseselt kuritegu toime panemata. ELi kõrgetasemelisel küberturvalisuse kohtumisel 2016. aastal kinnitasid 29 organisatsiooni haavatavuste käsitlemise poliitika tähtsust, allkirjastades koordineeritud haavatavuste avalikustamise manifesti (Coordinated Vulnerability Disclosure Manifesto)1, mille algatasid CIO Platform Netherlands ja Rabobank koostöös NCSC-ga.

Koordineeritud haavatavuste avalikustamine (Coordinated Vulnerability Disclosure, CVD) on osutunud väga oluliseks avalikele ja erasektori osapooltele. Nad sõltuvad igapäevatöös suuresti infosüsteemide häireteta toimimisest. Teated nende süsteemide haavatavustest on viimastel aastatel aidanud parandada süsteemide turvalisust ja järjepidevust, kõrvaldades ühelt poolt haavatavusi ning teisalt suurendades Hollandi ettevõtete üldist IT-turvalisuse teadlikkust.

Viimastel aastatel on selgunud, et aruande esitajad on valmis tegutsema organisatsioonide kehtestatud CVD poliitika tingimuste raames. Aruande esitajad teatavad haavatavustest organisatsioonidele otse või kaudselt. Vastutustundliku avalikustamise tava on näidanud, et heade kavatsustega aruande esitajad ja haavatavad organisatsioonid on suutnud teha koostööd ning astuda nii järgmise sammu võrgu- ja infosüsteemide turvalisuse suurendamisel.

Selle uuendatud versiooni jaoks vestlesime taas laia ja mitmekesise aruande esitajate rühmaga, erasektori ja avalike osapooltega, samuti prokuratuuri ja riikliku politseiga. Need vestlused kinnitasid praegust tava ning tõid kaasa täiendusi ja parandusi. Kõige olulisem uus tähelepanekuvaldkond on suhtlus haavatavusest teataja ja organisatsiooni vahel ning teiste osapooltega pärast haavatavuse kõrvaldamist.

Järgmistes peatükkides käsitletakse CVD definitsiooni, CVD poliitika ehituskive ja suhtlusprotsessi.

Märkus: eelmistes Juhistes kasutati terminit „vastutustundlik avalikustamine" (responsible disclosure), mis oli tollal selle tava üldine nimetus. Vahepeal on selgunud, et see termin rõhutab liigselt aruande esitaja vastutust, kuigi põhiprintsiip on, et aruande esitaja ja potentsiaalselt haavatav organisatsioon peaksid olema dialoogis võrdsed partnerid. Seda hoiakut väljendab paremini praegu levinud termin „koordineeritud haavatavuste avalikustamine" (Coordinated Vulnerability Disclosure, CVD), mida kasutatakse ka selle protsessi kohta käivates standardites ISO 29147 ja 30111.

2. Koordineeritud haavatavus

Viimase 30 aasta jooksul on IT-süsteemide haavatavuste teadvustamiseks kasutatud erinevaid meetodeid. Näiteks:

„täielik avalikustamine" (Full Disclosure), haavatavuse täielik avalikuks tegemine;
„avalikustamata jätmine" (Non-disclosure), haavatavuse müümine või ise kasutamine;
„koordineeritud haavatavuste avalikustamine" (Coordinated Vulnerability Disclosure, CVD), haavatavuse koordineeritud avalikustamine.

Viimast tava eelistatakse selgesõnaliselt.

IT-kogukond on näidanud suurt valmidust teadmisi ja kogemusi jagada. Selle kogukonnaga koostöö otsimine võib seega aidata parandada süsteemide üldist turvalisust.

Koordineeritud haavatavuste avalikustamise eesmärk

CVD eesmärk on aidata kaasa IT-süsteemide turvalisusele, jagades teadmisi haavatavuste kohta. CVD-s jagatakse teadmisi ühe või mitme potentsiaalselt haavatava organisatsiooniga, et jõuda koos aruande esitajaga leitud haavatavusele ühise lahenduseni. On oluline, et mõjutatud organisatsioonidel oleks piisavalt aega mis tahes haavatavuste kõrvaldamiseks või süsteemide kaitsmiseks, et piirata või ennetada kaotust või kahju võimalikult suurel määral. Protsessi nurgakivi on haavatavuste kohta käivate teadmiste avalikustamine pärast parandamist.

CVD-s on oluline, et kõik osapooled peaksid kinni kokkulepetest selle kohta, kuidas haavatavusest teatada ja kuidas sellega toimida. Abiks on, kui organisatsioon avaldab eeltingimused ette, näiteks millised süsteemid kuuluvad ulatusse ja millist liiki uuringuid tohib läbi viia. Nende eeltingimuste oluline põhimõte on, et organisatsioon ei teata aruande esitajast põhimõtteliselt politseile ega astu muid õiguslikke samme, kui uurimine ja teatamine toimub kehtestatud tingimuste raames. Need Juhised annavad organisatsioonidele suuniseid oma poliitika koostamiseks CVD põhimõtete kehtestamiseks.

Nagu nimigi osutab, on CVD keskmes organisatsiooni ja aruande esitaja omavaheline koordineerimine. Sellega seoses peaks haavatavusest teataja ja organisatsioonis probleemi lahendamise eest vastutava isiku vahel olema võimalikult vähe lülisid.

Võib olla oluline teavitada mitut osapoolt samaaegselt, kui haavatavus mõjutab paljusid süsteeme. Sel juhul võivad NCSC või teised osapooled turvakogukonnas toetada CVD protsessi koordineerivas rollis.

3. Vastutusalad

CVD poliitika järgimise eesmärk on, et aruande esitajad ja organisatsioon teeksid koostööd IT-süsteemide haavatavuste vähendamiseks. Selle poliitika rakendamist tuleks käsitleda infoturbe olemasolevate meetmete täiendusena. Erinevatel osalistel on igaühel oma roll ja vastutus. Neid selgitatakse allpool üksikasjalikumalt.

Organisatsioon, kes süsteemi omab/haldab

Süsteemi omav/haldav või tarnav organisatsioon vastutab esmajoones selle süsteemi turvalisuse eest. Teisisõnu vastutab organisatsioon ka haavatavuse aruandele reageerimise eest.

Organisatsioon võib otsustada koostada oma CVD poliitika nende Juhiste alusel ja teavitada sellest poliitikast potentsiaalseid aruande esitajaid. CVD poliitika avaldamisega näitavad organisatsioonid oma valmidust haavatavuste kohta teavet vastu võtta.

CVD poliitikat kehtestav osapool võib võtta kohustuseks põhimõtte, et ta ei esita politseile kaebust, kui poliitikale kehtivaid reegleid järgitakse.

Kui aruande esitaja on haavatavusest teatanud, lasub vastutus organisatsioonil. On oluline mõista, et aruande esitaja on sageli keegi väljastpoolt organisatsiooni. Sellel osapoolel puudub otsene ülevaade sisemistest protsessidest, mis võivad pärast haavatavusest teatamist käivituda. Seetõttu hindavad aruande esitajad seda, kui neid teavitatakse haavatavuse lahendamise edusammudest. See pidev suhtlus on oluline ka selleks, et luua õiged ootused lahenduse järeltegevuse ja õigeaegsuse suhtes.

Haavatavusest teatav osapool

Aruande esitaja on ühel või teisel viisil suutnud tuvastada haavatavuse ja soovib aidata kaasa IT-süsteemide turvalisusele, lastes selle haavatavuse parandada ja võimalusel hilisemas etapis avalikustada. Aruande esitaja võis midagi avastada passiivse vaatluse kaudu või IT-süsteemi aktiivselt testides. Loomulikult vastutab see osapool oma tegevuse ja haavatavuse avastamise viisi eest. Aruande esitaja enda vastutus on olla teadlik tingimustest, mille organisatsioon on oma CVD poliitikas kehtestanud. Enamik valitsusi ja ettevõtteid on avaldanud oma CVD poliitika oma veebisaitidel.

Haavatavuste leidmine võib siiski hõlmata seaduse rikkumist. CVD raames võivad organisatsioon ja aruande esitaja kokku leppida, et nad ei esita kuritegude kohta ainsatki kaebust. Sellega seoses on organisatsiooni avaldatud CVD poliitika juhtpõhimõte. Osapooled võivad ka kokku leppida, et tsiviilhagisid ei esitata.

Kui on kahtlus, et aruande esitaja on seadust rikkunud, võib CVD poliitika esmajoones aidata ennetada seda, et esitajast teatatakse ametivõimudele. See menetlus sõltub täielikult poliitika eeltingimustest, mida organisatsioon aruande esitajalt nõuab, ning sellest, kas neid on täidetud, võimalik, et koos vastava lubadusega mitte esitada kriminaalkaebust, kuni osapool tegutseb poliitika tingimuste raames. Kui politseile on esitatud avaldus, on CVD poliitika olemasolu ja järgimine Hollandis asjakohane asjaolu, mida prokurör arvestab, otsustades, kas algatada kriminaaluurimine ja/või esitada süüdistus. Põhimõtteliselt politsei ja prokuratuur (OM) ei algata kriminaaluurimist, kui aruande esitaja on selgelt täitnud asjaomase organisatsiooni CVD poliitika reegleid. Prokuratuur ja politsei võivad siiski juhtumit edasi uurida, kui on viiteid, et aruande esitaja on oma tegevuses teadlikult või teadvustamatult liiga kaugele läinud ja/või jätnud CVD poliitika täitmata. Selle uurimise põhjal võib prokuratuur otsustada, kas esitada süüdistus.

Prokuratuur on avaldanud poliitikakirja, milles käsitletakse täpsemalt aspekte, mis on uurimise ja/või süüdistuse otsuse tegemisel olulised. Näiteks, kas aruande esitaja tegevus teenis olulist avalikku huvi, kas osapool tegutses ebaproportsionaalselt ja kas osapool oleks võinud ehk tegutseda teisel, vähem drastilisel viisil. Asjakohane poliitikakiri käsitleb neid aspekte täpsemalt.2 Asjakohane kohtupraktika alates 2013. aastast3 näitab, et neid aspekte arvestatakse ka kohtus, kui organisatsioonil puudub CVD poliitika.

4. Koordineeritud haavatavuste avalikustamise protsessi ehituskivid

Allpool on esitatud ehituskivid CVD protsessi kujundamiseks organisatsiooni, teataja ja NCSC jaoks.

Organisatsioon

CVD edendamine algab organisatsioonist, kes omab IT-süsteeme või kes tarnib IT-toodet/süsteemi. Lõppude lõpuks vastutab see organisatsioon esmajoones nende IT-süsteemide infoturbe eest. Et haavatavuste lahendamiseks tõhusalt erinevate osapooltega koostööd teha, võib organisatsioon otsustada koostada ja avaldada CVD poliitika. Oma CVD poliitika koostamine võimaldab organisatsioonil näidata, kuidas ta haavatavuse aruandeid käsitleb. Nii saab organisatsioon kujundada ka seda, kuidas ta soovib teateid vastu võtta. Sellist protsessi võib korraldada järgmiselt:

Organisatsioon kehtestab ja avaldab CVD poliitika.
Selles poliitikas esitab organisatsioon selged reeglid uuringute kohta, mida aruande esitajad võivad läbi viia, näiteks millised tehnikad on lubatud ja millised süsteemid kuuluvad ulatusse või jäävad sellest välja.
Organisatsioon teeb aruande esitajale aruande tegemise lihtsaks. Üks võimalus on kasutada standardset teatamisviisi, näiteks kindlat e-posti aadressi või veebivormi. Lisaks võib organisatsioon otsustada, kas võtta vastu anonüümseid aruandeid.
Organisatsioon reserveerib sisemise suutlikkuse ja seab üles protsessi, et aruannetele adekvaatselt reageerida. On soovitatav seada üles protsess, millega leitud haavatavusi saab adekvaatselt kõrvaldada. Sellega seoses ei ole aruande päritolu oluline. Haavatavuse võis tuvastada ka organisatsiooni sisemine töötaja või näiteks testi käigus.
Praktiline kogemus näitab, et pärast CVD poliitika esmast avaldamist on huvi haavatavustest organisatsioonile teatamise vastu suurem. Organisatsioon peaks seda (lisa)suutlikkuse planeerimisel arvestama.
Kui organisatsioon saab haavatavuse aruande, tagab ta, et aruanne jõuab võimalikult kiiresti osakonda, mis on aruande hindamiseks ja käsitlemiseks kõige sobivam.
Organisatsioon saadab aruande esitajale aruande kättesaamise kinnituse, eelistatavalt digitaalselt allkirjastatuna, et rõhutada prioriteetsust.
Seejärel astub organisatsioon aruande esitajaga konsultatsiooni, et kindlaks teha ajavahemik, mille jooksul toimub võimalik avaldamine. See ajavahemik sõltub suuresti haavatavuse laadist ja süsteemi tüübist.
Juhisena kasutatakse tarkvara haavatavuste puhul sageli ligikaudu 60 päeva pikkust ajavahemikku. Riistvara haavatavuste kõrvaldamine on raskem; juhisena võib kasutada 6 kuud.
Seda ajavahemikku võib olla soovitav vastastikusel kokkuleppel pikendada või lühendada sõltuvalt sellest, kui paljud IT-süsteemid sõltuvad süsteemist, mille haavatavusest teatati, või kas haavatavust on lihtsam või raskem lahendada.
Haavatavuse lahendamine võib osutuda keeruliseks või võimatuks või sellega võivad kaasneda suured kulud. Sellistel juhtudel võib organisatsioon kokku leppida, et peab haavatavust aktsepteeritud riskiks ega kõrvalda seda, võimalusel aruande esitajaga konsulteerides.
Organisatsioon hoiab aruande esitajat protsessi arengust teavitatuna.
Lisaks võib organisatsioon pakkuda, et aruande esitajat tunnustatakse avalikult haavatavuse avaldamise eest. Võimalik on valida ka ühine avalikustamine välismaailmale.
Eelistatav on aruande esitajat tasustada süsteemide haavatavustest teatamise eest, kui osapool on CVD poliitika reegleid järginud. Tasu suurus võib sõltuda aruande kvaliteedist. Aruande esitaja tasustamine võib luua parema suhte selle osapoole ja organisatsiooni vahel ning suurendada inimeste valmisolekut teha uusi aruandeid vastavalt CVD poliitikale.
Aruande esitajaga konsulteerides võib organisatsioon kokku leppida, et teavitab laiemat IT-kogukonda haavatavusest, kui on usutav, et haavatavus esineb ka mujal.
Oma CVD poliitikas võib organisatsioon võtta kohustuse põhimõttele, et ta ei esita politseile kaebust, kui aruande esitaja on järginud poliitikas kirjeldatud reegleid.

Aruande esitaja

Aruande esitaja on eduka CVD protsessi võti. Ühel või teisel viisil on see osapool suutnud tuvastada haavatavuse ja soovib aidata kaasa IT-süsteemide turvalisusele, lastes organisatsioonil selle haavatavuse parandada ning see avalikustada. Seda tehes tunnistavad aruande esitajad, et nad saavad anda ühiskonnale olulise panuse, avalikustades haavatavusi koordineeritud viisil. Eduka CVD protsessi saavutamiseks on aruande esitajale olulised järgmised ehituskivid:

Aruande esitaja vastutab oma tegevuse eest ja peab haavatavusi uurides ja neist teatades järgima proportsionaalsuse ning subsidiaarsuse põhimõtteid. Teisisõnu ei tohiks aruande esitaja teha rohkem, kui on vaja haavatavuse demonstreerimiseks, ja peaks haavatavusest alati esmalt teatama süsteemi/teabe omanikule.
Aruande esitaja peab probleemist teatama võimalikult kiiresti, et vältida pahatahtlike osapoolte haavatavuse avastamist ja selle ärakasutamist.
Aruande esitaja peab aruande organisatsioonile esitama konfidentsiaalselt, et vältida teiste juurdepääsu sellele teabele.
Aruande esitaja ei tohi aruande esitamist ega teabe edasist andmist tasust sõltuvaks teha. Algatus tasu andmiseks aruande korral on vastuvõtval organisatsioonil, kes võib oma avaldatud poliitikas eeltingimused kirjeldada.
Aruande esitaja ja organisatsioon teevad haavatavuse avalikustamise kohta selged kokkulepped. Kui kaasatud on rohkem kui üks organisatsioon, on põhimõte, et haavatavusi võib avaldada ainult siis, kui kõik organisatsioonid sellega nõustuvad. Nende kokkulepete tegemine varases etapis on soovitatav.
Aruande esitaja ja kaasatud organisatsioon võivad kokku leppida laiema IT-kogukonna teavitamises. Näiteks võib see olukord kehtida haavatavuse kohta (kas juba teada või mitte), mis on teadaolevalt olemas rohkem kui ühes kohas. Riiklikku Küberturvalisuse Keskust (NCSC) saab sellesse protsessi kaasata, et toetada keskvalitsuse ja kriitilise taristu sihtrühmi või teavitada mitut osapoolt haavatavuse korral, mis mõjutab paljusid süsteeme.

NCSC

CVD protsess on esmajoones organisatsioonide ja aruande esitajate asi. Sellegipoolest julgustab NCSC CVD protsessi kasutamist. Aruande esitaja ja organisatsiooniga konsulteerides võib NCSC olla kaasatud ka haavatavuse teabe jagamisse oma sihtrühmaga, et piirata haavatavusest tulenevaid edasisi turvariske.

Kui haavatavusest teatamine ei kulge nii, nagu aruande esitaja ootab, või kui ta eelistaks haavatavusest organisatsioonile otse mitte teatada, võib ta võtta ühendust NCSC-ga.4 Sel juhul võib NCSC vajaduse korral toimida vahendajana.

Süsteemi omanik vastutab alati süsteemi turvalisuse eest. NCSC ei saa sundida süsteemi omanikku haavatavust kõrvaldama ega saa garanteerida, et omanik ei astu aruande esitaja vastu õiguslikke samme. Seetõttu peab aruande esitaja haavatavuse otsimisel ja sellest teatamisel arvestama ülalmainitud organisatsioonide ja aruande esitajate ehituskividega. Aruande esitaja võib eeldada, et NCSC teeb kõik, mis võimalik, et haavatavus kõrvaldataks, ja käsitleb aruannet konfidentsiaalselt. NCSC ei jaga isikuandmeid, kui see pole seadusega nõutud.

Võimalusel kasutab NCSC haavatavuste kohta saadud teavet koostöös organisatsioonide ja aruande esitajatega teadmiste edasiseks jagamiseks IT-kogukonnaga. Näiteks võib ta seda teha, avaldades osa teabest, kirjutades või uuendades infolehte (fact sheet) või valget raamatut (white paper) või teavitades konkreetseid organisatsioone.

Olenevalt asjaomasest organisatsioonist ja tuvastatud haavatavuse laadist püüab NCSC haavatavuse asjaomase organisatsiooni tähelepanu alla viia. Asjaomase IT-süsteemi omanik jääb siiski süsteemi eest vastutavaks.
Võimalusel ja vajadusel annab NCSC asjaomasele organisatsioonile nõu haavatavuse kõrvaldamiseks.
NCSC käsitleb aruandeid konfidentsiaalselt ega jaga aruande esitajate ega vastuvõtva organisatsiooni isikuandmeid ilma nõusolekuta, välja arvatud juhul, kui see tuleneb seadusest.
Kus võimalik, hoiab NCSC aruande esitajat kursis organisatsiooniga suhtlemise ja haavatavuse kõrvaldamise arengutega.
Juhtudel, kui NCSC-le tehakse aruanne, püüab NCSC viia aruande esitaja või potentsiaalse aruande esitaja ja organisatsiooni omavahel kontakti.

Kui aruande esitaja on leidnud näiteks tarkvaratootes haavatavuse või haavatavuse, mis mõjutab paljusid erinevaid süsteeme, võib aruande esitaja paluda NCSC-l haavatavuse kõrvaldamist ja avalikustamist koordineerida.

Koos aruande esitaja, partnerite, arendajate ja/või tarkvaraarendajate ning teiste turvameeskondadega aitab NCSC haavatavust analüüsida, kõrvaldada või kõrvaldada lasta, koordineerida ja kontrollitud viisil avalikustada. Kogu see protsess toimub tihedas konsultatsioonis aruande esitajaga, kes haavatavuse leidis.

CVD poliitika püüab leida tasakaalu haavatavuste võimalikult kiire avalikustamise tähtsuse vahel, et saaks meetmeid võtta, ning arendajate ja tarnijate piisava aja vajaduse vahel haavatavuse kõrvaldamiseks. Selle protsessi jaoks kasutab NCSC standardset tähtaega 60 päeva aruandest avalikustamiseni. Siiski võib olla asjaolusid, mille korral võidakse otsustada seda ajavahemikku pikendada või lühendada.

NCSC jagab haavatavuse kohta teavet kolmandate osapooltega alati ainult pärast konsulteerimist aruande esitajaga. Selles kontekstis on oluline, et NCSC teeb koostööd ja jagab seetõttu haavatavuse kohta teavet huvirühmadega, et haavatavus koordineeritult avalikustada. Seda tehes tagab NCSC, et õiged osapooled saavad haavatavuse kõrvaldamisega tegeleda, aitab piirata kaotust või kahju ning aitab juhtida tähelepanu leitud haavatavusele.

5. Suhtlus ja avalikustamise protsess

Viieaastane praktika on näidanud, et selge suhtlus on eduka CVD protsessi nurgakivi. Tähelepanu vajavad punktid on CVD protsessi ajal, enne ja pärast seda.

Suhtlus avalikustamise protsessi kohta

CVD poliitika avaldamine on esimene samm protsessist suhtlemisel. Poliitika avalikult avaldades kutsutakse aruande esitajaid organisatsiooni leitud haavatavustest teavitama.

Ühelt poolt võib organisatsioon kehtestada tingimused haavatavuste avastamiseks tehtavale uuringule ja kontakti otsimise viisile. Teiselt poolt võib organisatsioon võtta kohustuse põhimõttele, et ta ei esita politseile kaebust, kui poliitika reegleid järgitakse. See lähenemine kaitseb aruande esitaja positsiooni.

CVD poliitikat võidakse hiljem muuta või uuendada. On oluline olla muudatuste suhtes selge. Aruande esitajatel on huvi teada, mida ja millal on muudetud. Näiteks muudatuste selgitamiseks võib CVD poliitika algusesse lisada avaldamiskuupäeva, kirjeldada muudatuste kokkuvõtet CVD poliitika all või hoida arhiivi CVD poliitika vanade versioonidega.

CVD poliitika võib anda suuniseid, kuidas protsessi jooksul suhelda, näiteks viidates regulaarsetele uuendustele e-posti või veebiportaali kaudu. Lisaks võib CVD poliitika kirjeldada, kuidas teatajat saab tunnustada, nimetades teda uuenduse korral, võttes ta aukirjade tabelisse (hall of fame) või mis tahes muu tasu vormi kaudu.

Suhtlus avalikustamise protsessi ajal

Aruande esitaja käivitab CVD protsessi, saates organisatsioonile sõnumi. Selles sõnumis annab aruande esitaja selge kirjelduse avastatud haavatavusest. Olulised elemendid on mõjutatud süsteemi IP-aadress või URL ja sammud haavatavuse taasesitamiseks.

Organisatsioonile on oluline aruande esitajaga selgelt suhelda, et ootused protsessile oleksid selged.

Seda saab teha juba kättesaamise kinnituse (automaatse või muu) saatmisega, mis sisaldab viidet tähtajale, mille jooksul saadetakse esimene või järgnev sisuline vastus.

Võimalik on ka see tähtaeg lahtiseks jätta ja anda esialgne viide tähtajale pärast aruande sisu hindamist. On soovitatav olla võimalikult kiiresti selge ajavahemiku osas, mille jooksul lahendus saavutatakse. Nii teab teataja, millal tulemust oodata.

Mõnel juhul võib aruande esitajale juba selge olla avaldamiskuupäev; näiteks konverentsil esinemise tõttu või seetõttu, et aruande esitaja on määranud oma tähtaja. Sel juhul on siiski oluline, et aruande esitaja suhtleks selle ajakava selgelt, nimetaks selle võimalikult varakult ja oleks selge selle kuupäeva edasilükkamise võimalikkuse/võimatuse osas.

Aruande esitaja on sageli keegi väljastpoolt organisatsiooni, kellel ei ole ülevaadet sisemistest protsessidest, mis võivad aruandest käivituda. Organisatsioonid saavad hoida aruande esitajat protsessi arengutega kursis regulaarsete uuenduste kaudu. See lähenemine annab aruande esitajale selgelt mõista, et lahenduse kallal töötatakse. Vajaduse korral võib organisatsioon protsessi jooksul paluda selgitust või lahenduse testimist.

Kui organisatsioon ei suuda esialgset lahendamise tähtaega täita, võib selle edasilükkamist teatajaga arutada. Regulaarne suhtlus võib selle olukorra teatajale varasemas etapis selgeks teha.

CVD peamine eesmärk on haavatavust leevendada, kuid haavatavuse „täielik avalikustamine" on aruande esitajale alati võimalus, kui ta leiab, et protsess võtab liiga kaua aega. See meede on aruande esitaja käsutuses olev vanasõnaline „suur kepp" (big stick). Loomulikult tuleb seda olukorda võimalikult palju vältida.

Suhtlus pärast avalikustamise protsessi

On palju võimalikke põhjuseid, miks aruande esitaja võib haavatavusi otsida ja neist seejärel CVD protsessi kaudu organisatsioonidele teatada. Paljude aruande esitajate jaoks on oluline stiimul (avalik) tunnustus.

Aruande esitajad saavad avaliku tunnustuse tänu uuenduses või aukirjade tabelisse (hall of fame) kandmise kaudu. Siiski ei kehti vajadus avaliku tunnustuse järele kõigi aruande esitajate kohta; mõned ei soovi tegelikult avalikkusele tuntud olla. Organisatsiooni suhtluse korral on seega soovitatav saada aruande esitaja nõusolek tema nimetamiseks.

Lisaks võivad aruande esitajad otsustada aruandest suhelda ka pärast CVD protsessi lõppu. Näiteks võib aruande esitaja kirjeldada avastusprotsessi või hoiatada teisi haavatavuse eest. Teataja võib otsustada esitada avalduse organisatsioonile teabeks. Kuna CVD protsess on põhimõtteliselt lõppenud pärast haavatavuse kõrvaldamist, on aruande esitaja seejärel vaba sellest suhtlema, kui poliitikas või protsessi käigus ei tehta täiendavaid kokkuleppeid.

Loend

Suhtlus avalikustamise protsessi kohta

CVD poliitika avaldamine veebisaidil
Selgus piirangute osas (erinevate lähenemiste kohta vt 6. peatükki)
Piirangud uurimismeetodites
Suunised suhtluse kohta
Suunised võimalike tasude kohta: aukirjade tabel (hall of fame), rahaline tasu, T-särk jne
Selgus CVD poliitika mis tahes uuenduste osas, sh muudatuste kuupäev

Suhtlus avalikustamise protsessi ajal

Teataja võtab organisatsiooniga ühendust avastatud haavatavuse kohta.
Organisatsioon juhib ootusi, näiteks esimese tehnilise vastuse reageerimisaega
Organisatsioon ja teataja annavad teineteisele selgust eeldatava lahendamise ajavahemiku osas
Organisatsioon annab sageli (protsessi) uuenduse
Vajaduse korral arutavad teataja ja organisatsioon teiste asjakohaste organisatsioonidega ühenduse võtmist

Suhtlus pärast avalikustamise protsessi

Arutada teataja (avalikku) tunnustamist ja tasustamist
Leppida kokku, kuidas haavatavuse kohta teavet avaldatakse, näiteks uurimisfaas või teiste organisatsioonide teavitamine

6. Koordineeritud haavatavuste avalikustamise poliitika näited

Koordineeritud haavatavuste avalikustamise poliitikatekste on palju erinevaid vorme. Kuna avaldatud CVD poliitika toimib potentsiaalsete aruande esitajate teeviidana, veendu, et selle poliitika vorm on kooskõlas organisatsiooni poliitika ja strateegiaga.

CVD poliitikas on olulised järgmised elemendid:

kontaktiviis turvaliseks suhtluseks;
eeltingimused aruande esitajatele;
selged ootused aruande käsitlemisele;
aruande tasustamise meetod;
versiooninumber ja viimase redaktsiooni kuupäev.

Allpool on kolm näidet: paljud Hollandi organisatsioonid on võtnud eeskuju ResponsibleDisclosure.nl põhinäitest. Teised organisatsioonid lisavad täiendavaid eeltingimusi, vt Fox-ITi poliitikat. Veel teised organisatsioonid kasutavad vabamat vormi, et sobituda oma sihtrühmaga, vt Bits of Freedomi poliitikat.

Näide: ResponsibleDisclosure.nl

Selle teksti on kirjutanud Floor Terra ja see on avaldatud litsentsiga Creative Commons Attribution 3.0 Unported.

Acme Corporationis peame oma süsteemide turvalisust esmatähtsaks. Kuid ükskõik kui palju vaeva me süsteemide turvalisusele näeme, võib siiski haavatavusi olemas olla.

Kui avastad haavatavuse, tahaksime sellest teada, et saaksime selle lahendamiseks võimalikult kiiresti samme astuda.

Soovime paluda sul aidata meil oma kliente ja süsteeme paremini kaitsta.

Palun tee järgmist:

Saada oma leiud e-kirjaga aadressile cert@example.com. Krüpteeri oma leiud meie PGP võtmega, et see kriitiline teave ei satuks valedesse kätesse,
Ära kasuta avastatud haavatavust ega probleemi ära, näiteks laadides alla rohkem andmeid, kui on vaja haavatavuse demonstreerimiseks, ega kustuta ega muuda teiste inimeste andmeid,
Ära avalda probleemi teistele enne, kui see on lahendatud,
Ära kasuta rünnakuid füüsilise turvalisuse vastu, sotsiaalset manipuleerimist, hajusat teenusetõkestust, rämpsposti ega kolmandate osapoolte rakendusi ning
Anna piisavalt teavet probleemi taasesitamiseks, et saaksime selle võimalikult kiiresti lahendada. Tavaliselt piisab mõjutatud süsteemi IP-aadressist või URL-ist ja haavatavuse kirjeldusest, kuid keerukad haavatavused võivad vajada täiendavat selgitust.

Mida me lubame:

Vastame sinu aruandele 3 tööpäeva jooksul oma hinnanguga aruandele ja eeldatava lahendamise kuupäevaga,
Kui oled järginud ülaltoodud juhiseid, ei astu me aruande suhtes sinu vastu õiguslikke samme,
Käsitleme sinu aruannet range konfidentsiaalsusega ega edasta sinu isikuandmeid kolmandatele osapooltele ilma sinu loata,
Hoiame sind probleemi lahendamise edenemisega kursis,
Teatatud probleemi kohta avaldatavas avalikus teabes nimetame sind probleemi avastajana (kui sa just muud ei soovi) ning
Tänutäheks sinu abi eest pakume tasu iga turvaprobleemi aruande eest, mis polnud meile veel teada. Tasu suurus määratakse lekke tõsiduse ja aruande kvaliteedi alusel. Minimaalne tasu on 50 € kinkekaart.

Püüame kõik probleemid lahendada võimalikult kiiresti ja soovime olla aktiivselt kaasatud probleemi lõplikku avaldamisse pärast selle lahendamist.

Näide: Fox-IT

Fox-ITs peame oma süsteemide, võrgu ja toodete turvalisust ülimalt oluliseks. Hoolimata suurest hoolest, mida turvalisusele pöörame, võivad nõrkused siiski alles jääda. Kui oled sellise nõrkuse leidnud, tahaksime sellest võimalikult kiiresti teada, et saaksime võtta asjakohased meetmed võimalikult kiiresti.

Nõrkusi saab avastada kahel viisil: võid digikeskkonna tavapärasel kasutamisel millelegi juhuslikult otsa sattuda või võid neid selgesõnaliselt otsida.

Meie vastutustundliku avalikustamise poliitika ei ole kutse meie ärivõrku aktiivselt skannida nõrkuste avastamiseks. Jälgime oma ärivõrku ise. See tähendab, et on suur tõenäosus, et skannimine tuvastatakse ja meie turvaoperatsioonide keskus (Security Operation Center, SOC) hakkab seda uurima, mis võib tuua kaasa tarbetuid kulusid. Sind kutsutakse siiski üles aktiivselt otsima haavatavusi meie toodetes võrguühenduseta mitte-tootmiskeskkonnas ja neist meile teatama. Meie vastutus klientide ees tähendab, et meie eesmärk ei ole julgustada häkkimiskatseid nende taristule; samas tahaksime sinust võimalikult kiiresti kuulda, kui haavatavusi leitakse, et saaksime need nõuetekohaselt lahendada.

Soovime sinuga koostööd teha, et oma klientide ja süsteemide kaitsmist paremini tagada.

Palume, et:

Saadaksid oma leiud võimalikult kiiresti e-kirjaga aadressile security-alert@fox-it.com.
Ei kuritarvitaks haavatavust; näiteks andmeid alla laadides, muutes või kustutades. Võtame sinu aruannet alati tõsiselt ja uurime kõiki haavatavuse kahtlusi, isegi ilma tõendita.
Ei jagaks probleemi teistega enne, kui see on lahendatud.
Ei kasutaks rünnakuid füüsilise turvalisuse vastu, sotsiaalset manipuleerimist ega häkkimisvahendeid, näiteks haavatavusskannereid.
Annaksid piisavalt teavet probleemi taasesitamiseks, et saaksime selle võimalikult kiiresti lahendada. Tavaliselt piisab mõjutatud süsteemi IP-aadressist või URL-ist ja haavatavuse kirjeldusest, kuigi keerukamate haavatavuste puhul võib olla vaja rohkem teavet.

Mida me lubame:

Vastame sinu aruandele kolme tööpäeva jooksul oma hinnanguga aruandele ja eeldatava lahendamise kuupäevaga.
Käsitleme sinu aruannet konfidentsiaalselt ega jaga sinu isikuandmeid kolmandate osapooltega ilma sinu loata. Erandiks on politsei ja kohtuvõim süüdistuse esitamisel või teabe nõudmisel.
Hoiame sind probleemi lahenduse edenemisega kursis.
Teatatud probleemist rääkides nimetame sind probleemi avastanud osapoolena, kui soovid.
Kahjuks ei ole võimalik ette garanteerida, et sinu vastu ei astuta õiguslikke samme. Loodame saada iga olukorda eraldi kaaluda. Peame end moraalselt kohustatuks sinust teatama, kui kahtlustame, et nõrkust või andmeid kuritarvitatakse või et oled nõrkusest teadmisi teistega jaganud. Võid olla kindel, et juhuslik avastus meie veebikeskkonnas ei too kaasa süüdistust.
Tänutäheks sinu abi eest pakume tasu iga meile tundmatu turvaprobleemi aruande eest. Tasu suuruse määrame rikkumise tõsiduse ja aruande kvaliteedi alusel.

Püüame kõik probleemid lahendada võimalikult kiiresti, hoida kõiki seotud osapooli teavitatuna ja soovime olla kaasatud igasse probleemi avaldamisse pärast selle lahendamist.

Näide: Bits of Freedom

Meie sõltuvus digitaalsest taristust kasvab pidevalt. See kehtib ühiskonna kui terviku, aga ka meie endi kohta. Seetõttu on meie arvates valitsused ja organisatsioonid (sh meie omad) kohustatud oma digitaalse taristu turvamisele tugevalt pühenduma. Mõistame, et parimatest kavatsustest ja suurimast hoolest hoolimata võib meie süsteemides haavatavusi olla. Kui leiad mõne sellise nõrkuse, kuuleksime sinust hea meelega, et saaksime probleemi lahendada.

Mida me sinult ootame

Kui uurid mõnda meie süsteemi, pea silmas rünnaku proportsionaalsust. Pole vaja demonstreerida, et kui allutad meie veebisaidi interneti ajaloo suurimale DDoS-rünnakule, võib sait muutuda kättesaamatuks. Me teame seda. Mõistame ka, et kui sõidad buldooseriga meie kontorisse, saad ilmselt ühe meie sülearvutitest endale.
See proportsionaalsuse põhimõte on oluline ka haavatavuse enda demonstreerimisel. Sa ei tohiks uurida ega muuta rohkem andmeid, kui on rangelt vajalik oma leiu kehtivuse kinnitamiseks. Näiteks kui saad muuta meie kodulehte, lisa sinna vaid üks vaidlustamatu sõna selle asemel, et kogu leht üle võtta. Kui saad juurdepääsu andmebaasile, piisab sellest, kui näitad meile seal olevate tabelite nimekirja või ehk ühe tabeli esimest kirjet.
Meie süsteemi haavatavusest tuleks teatada võimalikult kiiresti e-kirjaga aadressile security@bof.nl. Eelistatavalt krüpteeri oma sõnum OpenPGP-ga. Palun anna piisavalt teavet, et saaksime probleemi taasesitada ja uurida.
Avalik OpenPGP võti aadressile security@bof.nl
Sa ei jaga oma teadmisi haavatavusest teiste osapooltega seni, kuni me pole probleemi lahendanud ja oleme endiselt mõistliku ajaraami piires alates sellest, kui sa probleemist teatasid.
Sa kustutad kogu uurimise käigus saadud konfidentsiaalse teabe niipea, kui oleme haavatavuse lahendanud.

Mida sa võid meilt oodata

Vastame sinu aruandele kolme päeva jooksul üksikasjalikult. Lisame hinnangu ajale, mida vajame probleemi lahendamiseks. Muidugi hoiame sind regulaarselt oma edusammudega kursis.
Lahendame haavatavuse võimalikult kiiresti. Ka siin on proportsionaalsus oluline: haavatavuse parandamiseks vajalik aeg sõltub mitmest tegurist, sealhulgas käsitletava probleemi tõsidusest ja keerukusest.
Kui järgid siin esitatud juhiseid, ei astu me sinu aruande suhtes sinu vastu õiguslikke samme.
Meile on oluline sind tehtu eest tunnustada – kui soovid. Mainime sinu nime haavatavust käsitlevas avalduses ainult siis, kui oled sellega nõus.
Tänutäheks meie süsteemide paremal kaitsmisel aitamise eest soovime tasustada iga haavatavuse aruande, mis oli meile sel hetkel teadmata. Tasu sõltub haavatavuse tõsidusest ja aruande kvaliteedist.
Kui leiad haavatavuse kolmanda osapoole tarkvaras, mida me kasutame, ja see haavatavus on hõlmatud veaennetuse programmiga (bug bounty), ei püüa me seda tasu endale nõuda; seda peaksid tegema sina.