Coordinated vulnerability disclosure
← Politikak

NCSC.nl

1. Sarrera

Gizartea gero eta digitalagoa da. Egun, ia prozesu guztiek ordenagailuak erabiltzen dituzte nolabait, mugikorretatik software espezializatuetaraino. Garapen honek aukera berri ugari sortzen dituen arren, IT sistemetako ahultasunek eragin handia izan dezakete. Ondorioz, ahultasun horiei buruzko ezagutza modu eraginkorrean kudeatu behar da.

Erakunde batzuek 2013aren hasieran hasi ziren ahultasunak nola jakinarazi azaltzen duten politika argitaratzen. Alderdi horiekin kontsultatu ondoren, Zibersegurtasun Zentro Nazionalak (NCSC) garapenak ‘Jakinarazpen Arduratsuaren praktika lortzeko jarraibideak’ (‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘Jarraibideak’) izeneko dokumentuan laburbildu zituen. Enpresek politika horren bidez adierazten dute kanpoko ahultasun-txostenak jasotzeko irekita daudela, aurrebaldintzak azaltzen dituzte eta promesak egiten dituzte. Prozesu honek argitasuna eta ingurune nolabait segurua sortu zuen jakinarazten duten alderdientzat, ahultasunak ikertu eta jakinarazteko zuzenean delitu bat egin gabe. 2016an zibersegurtasunari buruzko EBko goi-mailako bileran, 29 erakundek berretsi zuten ahultasunei aurre egiteko politika baten garrantzia, Coordinated Vulnerability Disclosure Manifesto1 sinatuz, CIO Platform Netherlands-ek eta Rabobank-ek NCSC-rekin lankidetzan sustatua.

Ahultasunen jakinarazpen koordinatua (Coordinated Vulnerability Disclosure, CVD) oso garrantzitsua dela frogatu da alderdi publiko eta pribatuentzat. Informazio-sistemen funtzionamendu eten gabearen mende daude oso, eguneroko praktikan. Beren sistemetako ahultasunen txostenek sistemen segurtasuna eta jarraitutasuna hobetzen lagundu dute azken urteotan, alde batetik ahultasunak konponduz eta bestetik herbehereetako enpresen IT segurtasunaren kontzientzia orokorra areagotuz.

Azken urteotan, argi geratu da jakinarazten duten alderdiak prest daudela erakundeek prestatutako CVD politikaren baldintzen barruan lan egiteko. Txostenak zuzenean edo zeharka egiten zaizkie erakundeei jakinarazten duten alderdien aldetik. Jakinarazpen arduratsuaren praktikak erakutsi du asmo onekoak diren jakinarazle-alderdiek eta ahul dauden erakundeek elkarlanean aritzea lortu dutela, eta horrela urrats berri bat eman dutela sare- eta informazio-sistemen segurtasuna areagotzeko.

Berrikuspen honetarako, berriz ere hitz egin dugu jakinarazle-alderdien talde zabal eta anitz batekin, alderdi pribatu eta publikoekin, baita Fiskaltzarekin eta Poliziarekin ere. Elkarrizketa horiek egungo praktika berretsi dute, eta gehikuntzak eta hobekuntzak ekarri dituzte. Arreta-puntu berri garrantzitsuena ahultasun-jakinarazlearen eta erakundearen arteko komunikazioa da, baita ahultasuna konpondu ondoren beste alderdiekin egiten dena ere.

Hurrengo kapituluetan CVD-ren definizioa, CVD politika baten oinarrizko blokeak eta komunikazio-prozesua aztertzen dira.

Oharra: Aurreko Jarraibideek ‘jakinarazpen arduratsua’ terminoa erabiltzen zuten, garai hartan praktika horretarako termino arrunta baitzen. Ordutik argi geratu da termino horrek jakinarazle-alderdiaren erantzukizunari garrantzi handiegia ematen diola, printzipio oinarrizkoa baita jakinarazle-alderdia eta ahul egon daitekeen erakundea berdinen arteko solaskideak izan behar direla elkarrizketan. Sentimendu hori hobeto jasotzen du gaur egun arruntki erabiltzen den ‘Ahultasunen Jakinarazpen Koordinatua’ (CVD) terminoak, prozesu horri buruzko ISO 29147 eta 30111 estandarrek ere erabiltzen duten izena.

2. Ahultasun koordinatua

Azken 30 urteetan hainbat metodo erabili dira IT sistemetako ahultasunei buruzko kontzientzia sortzeko. Adibideak:

  • ‘Jakinarazpen osoa’ (Full Disclosure), ahultasun bat guztiz publiko egitea;

  • ‘Jakinarazi ezina’ (Non-disclosure), ahultasun bat saltzea edo zeuk erabiltzea;

  • ‘Ahultasunen Jakinarazpen Koordinatua’ (CVD), ahultasun baten jakinarazpen koordinatua.

Azken praktika hori berariaz hobesten da.

IT komunitateak jakintza eta esperientzia partekatzeko borondate handia erakutsi du. Beraz, komunitate horrekin lankidetza bilatzeak sistemen segurtasun orokorra hobetzen lagun dezake.

Ahultasunen jakinarazpen koordinatuaren helburua

CVD-ren helburua IT sistemen segurtasunari ekarpena egitea da, ahultasunei buruzko ezagutza partekatuz. CVD-n, ezagutza ahul egon daitezkeen erakunde bati edo gehiagori jakinarazten zaie, jakinarazle-alderdiarekin lankidetzan aurkitutako ahultasunerako irtenbide bateratu batera iristeko. Garrantzitsua da eragindako erakundeek denbora nahikoa edukitzea ahultasunak konpontzeko edo sistemak babesteko, galera edo kaltea ahalik eta gehien mugatzeko edo saihesteko. Prozesuaren oinarria da ahultasunei buruzko ezagutza konponketaren ondoren jakinaraztea.

CVD-n ezinbestekoa da alderdi guztiek ahultasun baten berri nola eman eta nola kudeatu jakiteko akordioak betetzea. Lagungarria da erakundeak aldez aurretik aurrebaldintzak argitaratzea, hala nola zein sistema dauden irismenaren barruan eta zer ikerketa mota egin daitezkeen. Aurrebaldintza horien printzipio garrantzitsu bat da erakundeak, printzipioz, ez duela jakinarazle-alderdia salatuko edo bestelako urrats juridikorik emango, ikerketa eta jakinarazpena ezarritako baldintzen barruan egiten bada. Jarraibide hauek erakundeei beren politika propioa prestatzeko gida ematen diete, CVD-ren printzipioak gauzatzeko.

Izenak dioen bezala, CVD-n funtsezkoa da erakundeak eta jakinarazle-alderdiak elkarrekin koordinatzea. Alde horretatik, ahultasuna jakinarazten duen pertsonaren eta arazoa konpontzeko erantzule den erakundeko pertsonaren artean ahalik eta lotura gutxien egon behar da.

Garrantzitsua izan daiteke hainbat alderdiri aldi berean jakinaraztea, ahultasun batek sistema asko eragiten baditu. Kasu horretan, NCSC-k edo segurtasun-komunitateko beste alderdi batzuek CVD prozesua lagun dezakete koordinazio-rol batetik.

3. Erantzukizun-eremuak

CVD politika bat jarraitzearen helburua da jakinarazle-alderdiek eta erakundeak elkarrekin lan egitea IT sistemetako ahultasunak murrizteko. Politika hau ezartzea informazio-segurtasunari buruz lehendik dauden neurrien osagarri gisa ikusi behar da. Aktore bakoitzak bere rola eta erantzukizunak ditu. Horiek zehatzago azaltzen dira jarraian.

Sistema baten jabe den/kudeatzen duen erakundea

Sistema baten jabe den/kudeatzen duen edo hornitzen duen erakundea da sistema horren segurtasunaren erantzule nagusia. Beste modu batera esanda, erakundea ahultasun-txosten bati jarraipena emateko erantzule ere bada.

Erakundeak Jarraibide hauek erabiliz bere CVD politika propioa prestatzea eta politika hori jakinarazle potentzialekin komunikatzea aukeratu dezake. CVD politika bat argitaratuz, erakundeek ahultasunei buruzko informazioa jasotzeko borondatea erakusten dute.

CVD politika bat ezartzen duen alderdiak printzipio hau hartu dezake konpromiso gisa: ez du poliziari salaketarik aurkeztuko politikari aplikatzen zaizkion arauak errespetatzen badira.

Jakinarazle-alderdiak ahultasun baten berri eman duenean, erantzukizuna erakundearena da. Garrantzitsua da ohartzea jakinarazle-alderdia sarritan erakundetik kanpoko norbait dela. Alderdi horrek ez du ahultasuna jakinarazi ondoren abiaraz daitezkeen barne-prozesuen ikuspegi zuzenik. Ondorioz, jakinarazle-alderdiek eskertuko dute ahultasunaren konponketaren garapenaren berri izatea. Etengabeko komunikazio hau garrantzitsua da, halaber, jarraipenari eta konponbidearen garaiz egiteari buruzko itxaropen egokiak sortzeko.

Ahultasun baten berri ematen duen alderdia

Nolabait, jakinarazle-alderdiak ahultasun bat identifikatu ahal izan du eta IT sistemen segurtasunari ekarpena egin nahi dio ahultasun hori konpontzea lortuz eta, agian, geroago publiko eginez. Jakinarazle-alderdiak zerbait aurkitu du behaketa pasiboaren bidez edo IT sistema aktiboki probatuz. Jakina, alderdi hori bere ekintzen eta ahultasuna aurkitu zuen moduaren erantzule da. Jakinarazle-alderdiaren erantzukizun propioa da erakunde batek bere CVD politikan ezarritako baldintzez jabetzea. Gobernu eta enpresa gehienek beren CVD politikak argitaratu dituzte beren webguneetan.

Hala ere, ahultasunak bilatzeak legea hausteko arriskua ekar dezake. CVD-ren testuinguruan, erakundeak eta jakinarazle-alderdiak adostu dezakete ekintza kriminalen aurrean ez dutela salaketarik aurkeztuko. Alde horretatik, erakundeak argitaratutako CVD politika da printzipio gidaria. Alderdiek adostu dezakete, halaber, ez dela ekintza zibilik egingo.

Jakinarazle-alderdiak legea hautsi duelako susmoa badago, CVD politika batek, lehenik eta behin, jakinarazlea agintariei salatua izatea saihesten lagun dezake. Prozedura hau erabat dago erakunde batek jakinarazle-alderdiari bete behar dituen politikaren aurrebaldintzen eta betetze hori lortu den ala ez kontuaren mende, agian jakinarazle-alderdia politikaren baldintzen barruan jarduten den bitartean salaketa kriminalik ez aurkezteko dagokion promesarekin. Poliziari salaketa bat aurkezten bazaio, CVD politika baten existentzia eta betetzea egoera garrantzitsua da Herbehereetan, eta Fiskalak kontuan hartuko du ikerketa kriminala hasi eta/edo auzipetzea erabakitzean. Printzipioz, poliziak eta Fiskaltzak (OM) ez dute ikerketa kriminalik hasiko jakinarazle-alderdiak argi eta garbi bete baditu dagokion erakundearen CVD politikaren arauak. Hala ere, Fiskaltzak eta poliziak kasua gehiago ikertu dezakete jakinarazle-alderdiak, kontzienteki edo konturatu gabe, bere ekintzetan urrunegi joan dela eta/edo CVD politika ez duela bete adierazten duten zantzuak badaude. Ikerketa horretan oinarrituta, Fiskaltzak auzipetzea erabaki dezake.

Fiskaltzak politika-gutun bat argitaratu du, ikertzea eta/edo auzipetzea erabakitzeko garrantzitsuak diren alderdiei buruz zehatzago aritzen dena. Adibidez, jakinarazle-alderdiaren ekintzek interes publiko garrantzitsu bati zerbitzatzen zioten ala ez, alderdiak neurriz kanpo jardun zuen ala ez, eta alderdiak, agian, beste modu batean, ez hain latzean, jardun zezakeen ala ez. Politika-gutun honek alderdi horiek garatzen ditu gehiago.2 2013tik hona dagoen jurisprudentzia garrantzitsuak erakusten du alderdi horiek epaitegian ere kontuan hartzen direla erakunde batek CVD politikarik ez badu.3

4. Ahultasunen Jakinarazpen Koordinatuaren prozesuaren oinarrizko blokeak

Jarraian, erakundearentzat, jakinarazlearentzat eta NCSC-rentzat CVD prozesua eratzeko oinarrizko blokeak ematen dira.

Erakundea

CVD sustatzea IT sistemak dituen edo IT produktu/sistema bat hornitzen duen erakunde batekin hasten da. Azken finean, erakunde hori da IT sistema horien informazio-segurtasunaren erantzule nagusia. Hainbat alderdirekin modu eraginkorrean lan egiteko ahultasunak konpontzeko, erakundeak CVD politika bat prestatu eta argitaratzea erabaki dezake. Bere CVD politika propioa prestatzeak erakundeari ahultasun-txostenei nola aurre egiten dien erakusteko aukera ematen dio. Horrela, erakundeak jakinarazpenak nola jaso nahi dituen ere molda dezake. Halako prozesu bat honela antola daiteke:

  • Erakundeak CVD politika bat ezarri eta argitaratzen du.

  • Politika horretan, erakundeak arau argiak ematen ditu jakinarazle-alderdiek egin dezaketen ikerketarako, hala nola zein teknika onartzen diren eta zein sistema dauden irismenaren barruan edo kanpoan.

  • Erakundeak erraza egiten dio jakinarazle-alderdiari txosten bat egitea. Aukera bat jakinarazteko metodo estandarizatu bat erabiltzea da; adibidez, posta elektroniko-helbide espezifiko bat edo lineako inprimaki bat. Horrez gain, erakundeak txosten anonimoak onartuko dituen ala ez erabaki dezake.

  • Erakundeak barne-gaitasuna gordetzen du eta prozesu bat ezartzen du txostenei behar bezala erantzuteko. Komeni da prozesu bat ezartzea aurkitutako ahultasunak behar bezala konpontzeko. Alde horretatik, txostenaren jatorria ez da garrantzitsua. Ahultasuna barneko langile batek edo proba batean ere identifikatu izan dezake, adibidez.

  • Praktikak erakusten du CVD politika bat lehen aldiz argitaratu ondoren erakundeari ahultasunak jakinarazteko interes handiagoa egongo dela. Erakundeak hori kontuan hartu behar du (gehiegizko) gaitasuna planifikatzean.

  • Erakundeak ahultasun-txostena jasotzen duenean, txostena ebaluatu eta kudeatzeko egokien dagoen sailera ahalik eta azkarren iristen dela ziurtatzen du.

  • Erakundeak jasotze-agiri bat bidaltzen dio jakinarazle-alderdiari, lehentasuna nabarmentzeko sinadura digitalarekin hobe.

  • Ondoren, erakundeak jakinarazle-alderdiarekin kontsulta egingo du argitalpena egingo den epea zehazteko. Epe hori ahultasunaren izaeraren eta sistema motaren araberakoa izango da neurri handi batean.

  • Orientazio gisa, software-ahultasunetarako gutxi gorabehera 60 eguneko epea erabili ohi da. Hardwareko ahultasunak konpontzea zailagoa da; 6 hilabeteko orientazioa erabil daiteke.

  • Komeni izan daiteke epe hori elkarrekin adostuta luzatzea edo laburtzea, ahultasuna jakinarazi den sistemaren menpe zenbat IT sistema dauden edo ahultasuna errazago edo zailago konpon daitekeen kontuan hartuta.

  • Ahultasun bat konpontzea zaila edo ezinezkoa izan daiteke, edo konponketak kostu handiak ekar ditzake. Halakoetan, erakundeak adostu dezake ahultasuna onartutako arrisku gisa hartzea eta ez konpontzea, agian jakinarazle-alderdiarekin kontsultatuta.

  • Erakundeak jakinarazle-alderdiari prozesuaren garapenaren berri emango dio.

  • Horrez gain, erakundeak eskain dezake jakinarazle-alderdiari ahultasuna argitaratzeagatik aitortza publikoa ematea. Kanpora jakinarazpen bateratua egitea ere aukeratu daiteke.

  • Hobe da jakinarazle-alderdia sistemetako ahultasunak jakinarazteagatik sarituko balitz, alderdiak CVD politikaren arauak bete baditu. Sariaren zenbatekoa txostenaren kalitatearen araberakoa izan daiteke. Jakinarazle-alderdia sarituz, alderdi horren eta erakundearen arteko harreman hobea sor daiteke, baita jendearen borondatea areagotu ere CVD politikaren arabera txosten berriak egiteko.

  • Jakinarazle-alderdiarekin kontsultatuta, erakundeak adostu dezake IT komunitate zabalagoari ahultasunaren berri ematea, ahultasuna beste leku batzuetan ere egon daitekeela sinesgarria bada.

  • Bere CVD politikan, erakundeak printzipio honen aldeko konpromisoa hartu dezake: ez du poliziari salaketarik aurkeztuko jakinarazle-alderdiak politikan azaldutako arauak bete baditu.

Jakinarazle-alderdia

Jakinarazle-alderdia CVD prozesu arrakastatsu baten gakoa da. Nolabait, alderdi honek ahultasun bat identifikatu ahal izan du, eta IT sistemen segurtasunari ekarpena egin nahi dio ahultasun hori erakunde batek konpon dezan eta publiko egin dadin lortuz. Horretan, jakinarazle-alderdiek aitortzen dute gizarteari ekarpen garrantzitsua egin diezaioketela ahultasunak modu koordinatuan agerian utziz. CVD prozesu arrakastatsu bat lortzeko, oinarrizko bloke hauek garrantzitsuak dira jakinarazle-alderdiarentzat:

  • Jakinarazle-alderdia bere ekintzen erantzule da, eta proportzionaltasun- eta subsidiariotasun-printzipioak errespetatu behar ditu ahultasunak ikertu eta jakinaraztean. Beste modu batera esanda, jakinarazle-alderdiak ez du ahultasuna frogatzeko beharrezkoa baino gehiago egin behar, eta ahultasuna beti sistemaren/informazioaren jabeari jakinarazi behar dio lehenik.

  • Jakinarazle-alderdiak arazoa ahalik eta azkarren jakinarazi behar du, alderdi maltzurrek ahultasuna aurkitu eta probetxatu ez dezaten.

  • Jakinarazle-alderdiak txostena erakundeari konfidentzialtasunez egin behar dio, besteek informazio horretara sartzea saihesteko.

  • Jakinarazle-alderdiak ezin du txostena aurkeztea edo informazio gehiago ematea sariaren menpe jarri. Txosten baten kasuan saria emateko ekimena jasotzen duen erakundearena da, eta horrek bere argitaratutako politikan aurrebaldintzak azal ditzake.

  • Jakinarazle-alderdiak eta erakundeak akordio argiak egiten dituzte ahultasunaren jakinarazpenari buruz. Erakunde bat baino gehiago inplikatuta badaude, oinarrizko printzipioa da ahultasunak erakunde guztiak horrekin ados badaude bakarrik argitara daitezkeela. Komeni da akordio horiek hasierako fasean egitea.

  • Jakinarazle-alderdiak eta inplikatutako erakundeak akordioak egin ditzakete IT komunitate zabalagoari informatzeari buruz. Adibidez, egoera hau aplika daiteke leku batean baino gehiagotan dagoela jakina den ahultasun batentzat (jada ezaguna den ala ez). Zibersegurtasun Zentro Nazionala (NCSC) prozesu honetan inplika daiteke gobernu zentralaren eta azpiegitura kritikoaren helburu-taldeak laguntzeko edo sistema askori eragiten dien ahultasun baten kasuan hainbat alderdiri informatzeko.

NCSC

CVD prozesua, batez ere, erakundeen eta jakinarazle-alderdien kontua da. Hala ere, NCSC-k CVD prozesu baten erabilera sustatuko du. Jakinarazle-alderdiarekin eta erakundearekin kontsultatuta, NCSC ahultasunari buruzko informazioa bere hautagaiekin partekatzeko ere inplika daiteke, ahultasunetik sortzen diren segurtasun-arrisku gehiago mugatzeko.

Ahultasunaren jakinarazpena jakinarazle-alderdiak espero bezala ez bada joaten, edo ahultasuna erakundeari zuzenean jakinarazi nahi ez badu, NCSC-rekin harremanetan jar daiteke.4 Kasu honetan, NCSC bitartekari gisa jardun daiteke behar denean.

IT sistemaren jabea da beti sistemaren segurtasunaren erantzule. NCSC-k ezin dio sistemaren jabeari ahultasun bat konpontzera behartu, ezta jabeak jakinarazle-alderdiaren aurka lege-ekintzarik ez duela egingo bermatu ere. Ondorioz, jakinarazle-alderdiak erakundeentzat eta jakinarazle-alderdientzat aipatutako oinarrizko blokeak kontuan hartu behar ditu ahultasun bat bilatu eta jakinaraztean. Jakinarazle-alderdiak NCSC-k ahalik eta ahalegin handiena egitea espero dezake ahultasuna konpon dadin eta txostena konfidentzialtasunez trata dezan. NCSC-k ez du datu pertsonalik partekatzen, legez behartuta ez badago.

Posible bada, NCSC-k ahultasunei buruz lortutako informazioa erabiliko du, erakundeekin eta jakinarazle-alderdiekin kontsultatuta, ezagutza IT komunitatearekin gehiago partekatzeko. Adibidez, informazioaren zati bat argitaratuz, fitxa informatibo edo white paper bat idatziz edo eguneratuz, edo erakunde jakin batzuei informatuz egin dezake.

  • Dagokion erakundearen eta aurkitutako ahultasunaren izaeraren arabera, NCSC-k ahalegina egingo du ahultasuna dagokion erakundearen arreta-eremura eramateko. Hala ere, kasuan kasuko IT sistemaren jabea da sistemaren erantzule.

  • Posible eta beharrezkoa denean, NCSC-k dagokion erakundeari aholkuak emango dizkio ahultasuna nola konpondu.

  • NCSC-k txostenak konfidentzialtasunez tratatuko ditu eta ez ditu jakinarazle-alderdien edo hartzaile-erakundearen datu pertsonalak partekatuko adostasunik gabe, lege-betebehar batetik ondorioztatzen ez bada.

  • Ahal den guztietan, NCSC-k jakinarazle-alderdiari erakundearekiko harremanaren eta ahultasunaren konponketaren garapenaren berri emango dio.

  • NCSC-ri txosten bat egiten zaion kasuetan, NCSC-k jakinarazle-alderdia edo jakinarazle potentziala eta erakundea elkarren harremanetan jartzen saiatuko da.

Jakinarazle-alderdi batek software-produktu batean ahultasun bat aurkitu badu edo sistema desberdin askori eragiten dien ahultasun bat aurkitu badu, adibidez, jakinarazle-alderdiak NCSC-ri eska diezaioke ahultasunaren konponketa eta jakinarazpena koordinatzeko.

Jakinarazle-alderdiarekin, bazkideekin, garatzaileekin eta/edo software-garatzaileekin eta beste segurtasun-talde batzuekin batera, NCSC-k ahultasuna aztertzen, konpontzen edo konpontzen laguntzen, koordinatzen eta modu kontrolatuan jakinarazten lagunduko du. Prozesu hori guztia ahultasuna aurkitu duen jakinarazle-alderdiarekin estuki kontsultatuta gauzatzen da.

CVD politika batek oreka bat lortzen saiatzen da, alde batetik, ahultasunak ahalik eta azkarren jakinarazteko garrantziaren, neurriak har daitezen, eta, bestetik, garatzaileek zein hornitzaileek ahultasuna konpontzeko denbora nahikoa edukitzeko garrantziaren artean. Prozesu honetarako, NCSC-k txostenaren eta jakinarazpen publikoaren arteko 60 eguneko epe estandarra erabiltzen du. Hala ere, egon daitezke epe hau luzatzea edo laburtzea erabaki daitekeen zirkunstantziak.

NCSC-k ahultasunari buruzko informazioa hirugarrenekin partekatuko du beti jakinarazle-alderdiarekin kontsultatu ondoren soilik. Testuinguru honetan funtsezkoa da NCSC-k lankidetzan aritzea eta, beraz, ahultasunari buruzko informazioa interesdunekin partekatzea, ahultasuna modu koordinatuan jakinarazteko. Horretarako, NCSC-k ziurtatuko du alderdi egokiek ahultasuna konpontzeko lan egin dezaketela, edozein galera edo kalte mugatzen lagunduko duela eta aurkitutako ahultasunaren arreta deitzen lagunduko duela.

5. Komunikazioa eta jakinarazpen-prozesua

Bost urteko praktikak erakutsi du komunikazio argia dela CVD prozesu arrakastatsu baten oinarria. Arreta-puntuak daude CVD prozesuan, prozesuan zehar eta prozesuaren ondoren.

Jakinarazpen-prozesuari buruzko komunikazioa

CVD politika bat argitaratzea prozesuari buruzko komunikazioan lehen urratsa da. Politika publikoki argitaratuz, jakinarazle-alderdiak gonbidatzen dira aurkitutako edozein ahultasunen berri erakundeari emateko.

Alde batetik, erakundeak ahultasunak aurkitzeko egiten den ikerketarako eta harremana bilatzeko moduari buruzko baldintzak ezar ditzake. Beste aldetik, erakundeak printzipio honen aldeko konpromisoa hartu dezake: ez du poliziari salaketarik aurkeztuko politikaren arauak errespetatzen badira. Ikuspegi honek jakinarazle-alderdiaren posizioa babesten du.

CVD politika bat geroago aldatu edo eguneratu daiteke. Garrantzitsua da alderdi horretan aldaketak argi uztea. Jakinarazle-alderdiek interesa dute zer aldatu den eta noiz jakiteko. Adibidez, aldaketak argitzea egin daiteke CVD politikaren hasieran argitalpen-data bat sartuz, CVD politikaren azpian aldaketen laburpen bat deskribatuz edo CVD politikaren bertsio zaharren artxibo bat mantenduz.

CVD politikak prozesuan zehar nola komunikatu azaltzeko jarraibideak eman ditzake, adibidez posta elektronikoz edo web-portal baten bidez eguneraketa erregularrak adieraziz. Horrez gain, CVD politikak azal dezake jakinarazlea nola aitortu daitekeen, eguneraketa batean aipatuz, ospe-aretoan sartuz edo beste edozein sari motaren bidez.

Jakinarazpen-prozesuan zeharreko komunikazioa

Jakinarazle-alderdi batek CVD prozesu bat hasten du erakundeari mezu bat bidaliz. Mezu horretan, jakinarazle-alderdiak aurkitutako ahultasunaren deskribapen argia ematen du. Elementu garrantzitsuak dira eragindako sistemaren IP helbidea edo URLa eta ahultasuna erreproduzitzeko beharrezko urratsak.

Garrantzitsua da erakundeak jakinarazle-alderdiarekin argi komunikatzea, prozesuari buruzko itxaropenak argi egon daitezen.

Hori egin dezake jasotze-agiri bat bidaliz (automatikoa edo bestela), hasierako edo ondorengo erantzun sustantziboa zein epetan bidaliko den adierazten duena.

Epe hori irekita uztea ere posible da, eta txostenaren edukia ebaluatu ondoren epearen hasierako adierazpena ematea. Komeni da ahalik eta azkarren argi uztea zein epetan lor daitekeen konponbidea. Horrela, jakinarazleak badaki noiz espero daitekeen emaitza.

Zenbait kasutan posible izan daiteke argitalpen-data bat jakinarazle-alderdiarentzat dagoeneko argi egotea; adibidez, konferentzia bateko aurkezpen bat dela eta edo jakinarazle-alderdiak bere epe propioa finkatu duelako. Kasu honetan ere, garrantzitsua da jakinarazle-alderdiak kronograma hori argi komunikatzea, ahalik eta lasterren adieraztea eta data hori atzeratzeko aukerari/ezintasunari buruz argi egotea.

Jakinarazle-alderdia sarritan erakundetik kanpoko norbait da, txosten batek abiaraz ditzakeen barne-prozesuen ikuspegirik ez duena. Erakundeek jakinarazle-alderdiari prozesuaren garapenaren berri eman diezaiokete eguneraketa erregularren bidez. Ikuspegi honek argi uzten dio jakinarazle-alderdiari konponbide baten gainean lanean ari direla. Behar denean, erakundeak prozesuan zehar argibideak edo konponbide bat probatzea eskatu dezake.

Erakundeak hasierako ebazpen-epea bete ezin badu, jakinarazlearekin hitz egin daiteke hori atzeratzeko. Komunikazio erregularrak egoera hori jakinarazleari lehenago argi uzten lagun dezake.

CVD-ren helburu nagusia ahultasuna arintzea da, baina ahultasunaren ‘jakinarazpen osoa’ beti da aukera bat jakinarazle-alderdiarentzat, prozesua luzeegia izango dela sentitzen badu. Neurri hau jakinarazle-alderdiak eskura duen ‘makila handia’ da, esaera zaharrak dioen bezala. Jakina, egoera hau ahalik eta gehien saihestu behar da.

Jakinarazpen-prozesuaren ondorengo komunikazioa

Arrazoi posible asko daude jakinarazle-alderdi batek ahultasunak bilatzeko eta CVD prozesuaren bidez erakundeei jakinarazteko. Jakinarazle-alderdi askorentzat, pizgarri garrantzitsu bat (aitortza publikoa) da.

Jakinarazle-alderdiek aitortza publikoa jasotzen dute eguneraketa bateko esker onaren edo ospe-aretoan sartzearen bidez. Hala ere, aitortza publikorako beharra ez da jakinarazle-alderdi guztientzat aplikatzen; batzuek, egia esan, ez dute publikoak jakin dezan nahi. Erakundearen komunikazioaren kasuan, beraz, komeni da jakinarazle-alderdiaren adostasuna lortzea izendatzeko.

Gainera, jakinarazle-alderdiek txosten bati buruz komunikatzea ere erabaki dezakete CVD prozesua amaitu ondoren. Adibidez, jakinarazle-alderdiak aurkikuntza-prozesua deskriba dezake edo besteei ahultasunari buruz ohar diezaieke. Jakinarazleak argitalpena erakunde bati aurkeztea erabaki dezake informazio helburuekin. CVD prozesua, printzipioz, ahultasuna kendu ondoren amaitzen denez, jakinarazle-alderdia libre dago ondoren horri buruz komunikatzeko, politikan edo prozesuan zehar akordio gehigarririk egin ez bada.

Zerrenda

Jakinarazpen-prozesuari buruzko komunikazioa

  • CVD politikaren argitalpena webgunean

  • Argi izan murrizketei buruz (ikusi 6. kapitulua ikuspegi desberdinetarako)

  • Ikerketa-metodoen murrizketak

  • Komunikazioari buruzko jarraibideak

  • Sari posibleei buruzko jarraibideak: ospe-aretoa, diru-saria, kamiseta, etab.

  • Argi izan CVD politikaren edozein eguneraketari buruz, aldaketen data barne

Jakinarazpen-prozesuan zeharreko komunikazioa

  • Jakinarazleak erakundearekin harremanetan jartzen da aurkitutako ahultasun bati buruz.

  • Erakundeak itxaropenak kudeatzen ditu, hala nola lehen erantzun teknikorako erantzun-denbora

  • Erakundeak eta jakinarazleak elkarri argitasuna ematen diote espero den ebazpen-epeari buruz

  • Erakundeak maiz ematen du (prozesuaren) eguneraketa bat

  • Behar denean, jakinarazleak eta erakundeak beste erakunde garrantzitsu batzuekin harremanetan jartzeko aukera eztabaidatzen dute

Jakinarazpen-prozesuaren ondorengo komunikazioa

  • Eztabaidatu jakinarazlearen aitortza (publikoa) eta saria

  • Antolatu ahultasunari buruzko informazioa nola argitaratuko den, hala nola ikerketa-fasea edo beste erakunde batzuei informatzea

6. Ahultasunen Jakinarazpen Koordinatuaren politika-adibideak

Ahultasunen Jakinarazpen Koordinatuari buruzko testu-forma asko daude. Argitaratutako CVD politikak jakinarazle potentzialentzako seinale gisa jarduten duenez, ziurtatu politika honen forma erakundearen politika eta estrategiarekin bat datorrela.

Elementu hauek garrantzitsuak dira CVD politika batean:

  • komunikazio seguruetarako harreman-metodoa;

  • jakinarazle-alderdientzako aurrebaldintzak;

  • txosten bat kudeatzeko itxaropen argiak;

  • txosten bat sari bidez aitortzeko metodoa;

  • bertsio-zenbakia eta azken berrikuspenaren data.

Hona hemen hiru adibide: Herbehereetako erakunde askok ResponsibleDisclosure.nl-en oinarrizko adibidea hartu dute oinarri. Beste erakunde batzuek aurrebaldintza gehigarriak sartzen dituzte, ikusi Fox IT-ren politika. Oraindik beste erakunde batzuek formatu askeago bat erabiltzen dute beren helburuko publikoarekin bat etortzeko, ikusi Bits of Freedom-en politika.

Adibidea: ResponsibleDisclosure.nl

Testu hau Floor Terra-k idatzi du eta Creative Commons Attribution 3.0 Unported lizentziarekin argitaratu da.

Acme Corporation-en, gure sistemen segurtasuna lehentasun gorena dela uste dugu. Baina sistemen segurtasunean zenbat ahalegin egin ere, ahultasunak egon daitezke.

Ahultasun bat aurkitzen baduzu, jakin nahiko genuke, ahalik eta azkarren konpontzeko urratsak eman ditzagun.

Eskatuko genizuke laguntzea gure bezeroak eta gure sistemak hobeto babesten.

Mesedez, egin hau:

  • Bidali zure aurkikuntzak cert@example.com helbidera posta elektronikoz. Zifratu zure aurkikuntzak gure PGP gakoarekin, funtsezko informazio hori esku okerretan erori ez dadin,

  • Ez aprobetxatu aurkitu duzun ahultasuna edo arazoa, adibidez ahultasuna frogatzeko beharrezkoa baino datu gehiago deskargatuz edo beste pertsonen datuak ezabatuz edo aldatuz,

  • Ez jakinarazi arazoa besteei konpondu arte,

  • Ez erabili eraso fisikorik, ingeniaritza sozialik, zerbitzu-ukatze banatuko erasorik, spam-ik edo hirugarrenen aplikaziorik, eta

  • Eman informazio nahikoa arazoa erreproduzitzeko, ahalik eta azkarren konpon dezagun. Normalean, eragindako sistemaren IP helbidea edo URLa eta ahultasunaren deskribapena nahikoa dira, baina ahultasun konplexuek azalpen gehiago behar dezakete.

Zer agintzen dugun:

  • Zure txostenari 3 lanegunen barruan erantzungo diogu, txostenaren ebaluazioarekin eta konponketa-data aurreikusiarekin,

  • Goiko jarraibideak bete badituzu, ez dugu inolako lege-ekintzarik egingo zure aurka txosten horri dagokionez,

  • Zure txostena zorrotz konfidentzialtasunez tratatuko dugu, eta zure datu pertsonalak ez dizkiegu hirugarrenei emango zure baimenik gabe,

  • Arazoa konpontzeko aurrerapenaren berri emango dizugu,

  • Jakinarazitako arazoari buruzko informazio publikoan, zure izena emango dugu arazoaren aurkitzaile gisa (besterik nahi ez baduzu), eta

  • Zure laguntzagatiko esker onaren seinale gisa, guk oraindik ezagutzen ez genuen segurtasun-arazo baten txosten bakoitzagatik sari bat eskaintzen dugu. Sariaren zenbatekoa filtrazioaren larritasunaren eta txostenaren kalitatearen arabera zehaztuko da. Gutxieneko saria 50 €-ko opari-ziurtagiri bat izango da.

Arazo guztiak ahalik eta azkarren konpontzen ahalegintzen gara, eta konpondu ondoren arazoaren azken argitalpenean rol aktiboa izatea gustatuko litzaigukete.

Adibidea: Fox-IT

Fox-IT-n, gure sistemen, gure sarearen eta gure produktuen segurtasuna garrantzi handienekoa dela uste dugu. Segurtasunari ematen diogun kontu handia izan arren, ahulguneak geratu daitezke. Ahulgune hori aurkitu baduzu, ahalik eta azkarren jakin nahiko genuke, neurri egokiak ahalik eta azkarren har ditzagun.

Ahulguneak bi modutan aurki daitezke: ingurune digital baten ohiko erabileran zerbaitekin ustekabean topo egin dezakezu, edo berariaz ahalegina egin dezakezu horiek aurkitzeko.

Gure jakinarazpen arduratsuaren politika ez da gonbidapen bat gure negozio-sarea aktiboki eskaneatzeko ahulguneak aurkitzeko. Gure negozio-sarea geuk monitorizatzen dugu. Horrek esan nahi du aukera handia dagoela eskaneatzea detektatzeko eta gure Segurtasun Operazioen Zentroak (SOC) ikerketa bat egiteko, eta horrek kostu alferrikakoak ekar ditzake. Hala ere, gonbidatuta zaude gure produktuetako ahultasunak aktiboki bilatzera produkziokoa ez den lineaz kanpoko ingurune batean, eta zure aurkikuntzen berri ematera. Gure bezeroekiko dugun erantzukizunak esan nahi du gure asmoa ez dela haien azpiegituraren aurkako hackeatze-saiakerak sustatzea; hala ere, ahalik eta azkarren jakin nahiko genuke zure berri ahultasunak aurkitzen badira, behar bezala konpon ditzagun.

Zurekin lan egin nahiko genuke gure bezeroak eta gure sistemak hobeto babesteko.

Eskatzen dizugu:

  • Bidali zure aurkikuntzak ahalik eta azkarren security-alert@fox-it.com helbidera posta elektronikoz.

  • Ez erabili ahultasuna gaizki; adibidez, datuak deskargatuz, editatuz edo ezabatuz. Zure txostena beti serio hartuko dugu eta ahultasun baten edozein susmo ikertuko dugu, frogarik gabe ere.

  • Ez partekatu arazoa besteekin konpondu arte.

  • Ez erabili segurtasun fisikoaren aurkako erasorik, ingeniaritza sozialik edo hackeatze-tresnarik, hala nola ahultasun-eskanerrak.

  • Eman informazio egokia arazoa erreproduzitu ahal izateko, ahalik eta azkarren konpon dezagun. Normalean, eragindako sistemaren IP helbidea edo URLa eta ahultasunaren deskribapena nahikoa dira, nahiz eta ahultasun konplexuagoetarako informazio gehiago behar izan daitekeen.

Zer agintzen dugun:

  • Zure txostenari hiru lanegunen barruan erantzungo diogu, txostenaren ebaluazioarekin eta konponketa-data aurreikusiarekin.

  • Zure txostena konfidentzialtasunez tratatuko dugu, eta zure informazio pertsonala ez dugu hirugarrenekin partekatuko zure baimenik gabe. Salbuespena poliziak eta justiziak dira, auzipetzeko edo informazioa eskatzen bada.

  • Arazoaren konponbidearen aurrerapenaren berri emango dizugu.

  • Jakinarazitako arazoari buruzko komunikazioan, zure izena emango dugu arazoa aurkitu duen alderdi gisa, nahi baduzu.

  • Zoritxarrez, ezin da aldez aurretik bermatu ez dela zure aurkako lege-ekintzarik egingo. Egoera bakoitza banaka aztertu ahal izatea espero dugu. Moralki behartuta gaudela uste dugu zu salatzera, ahulgunea edo datuak gaizki erabiltzen ari direla susmatzen badugu, edo ahulgunearen ezagutza besteekin partekatu duzula susmatzen badugu. Lasai egon zaitezke: gure lineako inguruneko ustekabeko aurkikuntza batek ez du auzipetzerik ekarriko.

  • Zure laguntzagatiko esker on gisa, guk ezagutzen ez dugun segurtasun-arazo baten txosten bakoitzagatik sari bat eskaintzen dugu. Sariaren balioa urraketaren larritasunaren eta txostenaren kalitatearen arabera zehazten dugu.

Arazo guztiak ahalik eta azkarren konpontzen, inplikatutako alderdi guztiak informatuta mantentzen ahalegintzen gara, eta arazoari buruzko edozein argitalpenetan parte hartzea gustatuko litzaigukete, konpondu ondoren.

Adibidea: Bits of Freedom

Azpiegitura digitalarekiko dugun mendekotasuna etengabe handitzen ari da. Hori gizarte osoari aplikatzen zaio, baina baita geure buruari ere. Beraz, gure iritziz gobernuek eta erakundeek (gureak barne) gogor konprometitu beharko lukete gure azpiegitura digitala segurua izateko. Jakitun gara, gure asmo onenak eta kontu handiena izan arren, gure sistemetan ahultasunak egon daitezkeela. Ahulgune horietako bat aurkitzen baduzu, pozik jasoko genuke zure berria, arazoa konpon dezagun.

Zer espero dugun zuregandik

  • Gure sistemetako bat ikertzen ari zarenean, kontuan izan erasoaren proportzionaltasuna. Ez dago zertan frogatu behar gure webgunea interneten historiako DDoS eraso handienaren mende jartzen baduzu, gunea ezin izango dela atzitu. Hori badakigu. Ulertzen dugu ere bulldozer bat gure bulegoan sartzen baduzu, ziurrenik gure ordenagailu eramangarrietako bat harrapatu ahal izango duzula.

  • Proportzionaltasun-printzipio hau ahultasuna bera frogatzerakoan ere garrantzitsua da. Ez zenuke zure aurkikuntzaren baliozkotasuna berresteko zorrozki beharrezkoa baino datu gehiago aztertu edo aldatu behar. Adibidez, gure hasiera-orria aldatzeko gai bazara, gehitu hitz bakar bat, eztabaidagarria ez dena, orri osoa hartu beharrean. Datu-base batera sartzeko aukera lortzen baduzu, nahikoa da bertan dauden taulen zerrenda erakustea, edo agian taula horietako baten lehen erregistroa.

  • Gure sistemetako baten ahultasuna ahalik eta azkarren jakinarazi behar da, security@bof.nl helbidera mezu elektronikoa bidaliz. Hobe da zure mezua OpenPGP erabiliz zifratzea. Mesedez, eman informazio nahikoa arazoa erreproduzitu eta ikertu ahal izan dezagun.

  • security@bof.nl helbidearen OpenPGP gako publikoa

  • Ez duzu ahultasunari buruzko zure ezagutza beste alderdi batzuekin partekatuko, arazoari aurre egin ez diogun bitartean eta arazoaren berri eman zenuenetik denbora-tarte arrazoizkoaren barruan gauden bitartean.

  • Zure ikerketan lortutako informazio konfidentzial guztia ezabatuko duzu, ahultasuna konpondu bezain laster.

Zer espera dezakezun gugandik

  • Zure txostenari hiru eguneko epean erantzungo diogu, modu zehatzean. Arazoari aurre egiteko beharko dugun denboraren zenbatespen bat sartuko dugu. Jakina, gure aurrerapenaren berri emango dizugu aldiro.

  • Ahultasuna ahalik eta azkarren konponduko dugu. Hemen ere proportzionaltasuna garrantzitsua da: ahultasun bat konpontzeko behar den denbora hainbat faktoreren araberakoa da, besteak beste, arazoaren larritasuna eta konplexutasuna.

  • Hemen ezarritako jarraibideak betetzen badituzu, ez dugu lege-ekintzarik egingo zure aurka zure txostenari dagokionez.

  • Garrantzitsua da guretzat egindakoagatik aitortza ematea - nahi baduzu. Zure izena ahultasunari buruzko argitalpen batean aipatuko dugu soilik horrekin ados bazaude.

  • Gure sistemak hobeto babesten laguntzeagatiko eskerrak emateko, une horretan guretzat ezezaguna zen ahultasun baten txosten bakoitza saritu nahi dugu. Saria ahultasunaren larritasunaren eta txostenaren kalitatearen araberakoa izango da.

Erabiltzen dugun hirugarrenen softwarean ahultasun bat aurkitzen baduzu eta ahultasun hori bug bounty programa batek estaltzen badu, ez dugu saiatuko sari hori eskatzen; zuk eskatu beharko zenuke.