Coordinated vulnerability disclosure
← Käytännöt

NCSC.nl

1. Johdanto

Yhteiskunta digitalisoituu yhä enemmän. Nykyään lähes kaikkiin prosesseihin liittyy jossakin vaiheessa tietokoneiden käyttö matkapuhelimista erikoisohjelmistoihin. Vaikka tämä kehitys luo paljon uusia mahdollisuuksia, IT-järjestelmien haavoittuvuuksilla voi olla suuri vaikutus. Tämän vuoksi tietoa näistä haavoittuvuuksista tulisi käsitellä tehokkaasti.

Useat organisaatiot alkoivat julkaista haavoittuvuuksien ilmoittamista koskevia käytäntöjä vuoden 2013 alussa. Näiden tahojen kanssa käytyjen neuvottelujen jälkeen kansallinen kyberturvallisuuskeskus (National Cyber Security Centre, NCSC) tiivisti kehityksen asiakirjaan "Ohjeet vastuullisen julkistamisen (Responsible Disclosure) käytännön saavuttamiseksi" ("Leidraad om te komen tot een praktijk van Responsible Disclosure"; "Ohjeet"). Yritykset ilmaisevat tämän käytännön kautta olevansa avoimia ulkopuolisten haavoittuvuusilmoitusten vastaanottamiselle, kuvaavat edellytyksensä ja antavat lupauksia. Tämä prosessi toi selkeyttä ja jokseenkin turvallisen ympäristön ilmoittaville tahoille haavoittuvuuksien tutkimiseen ja ilmoittamiseen syyllistymättä suoraan rikokseen. EU:n korkean tason kyberturvallisuuskokouksessa 2016 29 organisaatiota vahvisti uudelleen haavoittuvuuksien käsittelyä koskevan käytännön tärkeyden allekirjoittamalla koordinoidun haavoittuvuuksien julkistamisen manifestin (Coordinated Vulnerability Disclosure Manifesto)1, jonka aloittivat CIO Platform Netherlands ja Rabobank yhteistyössä NCSC:n kanssa.

Koordinoitu haavoittuvuuksien julkistaminen (Coordinated Vulnerability Disclosure, CVD) on osoittautunut erittäin tärkeäksi julkisille ja yksityisille tahoille. Ne ovat erittäin riippuvaisia tietojärjestelmien häiriöttömästä toiminnasta jokapäiväisessä käytännössä. Ilmoitukset haavoittuvuuksista niiden järjestelmissä ovat auttaneet parantamaan järjestelmien tietoturvaa ja jatkuvuutta viime vuosina, yhtäältä korjaamalla haavoittuvuuksia ja toisaalta lisäämällä hollantilaisten yritysten yleistä tietoisuutta IT-tietoturvasta.

Viime vuosina on käynyt selväksi, että ilmoittavat tahot ovat valmiita toimimaan organisaatioiden laatimien CVD-käytännön ehtojen puitteissa. Ilmoittavat tahot tekevät ilmoitukset suoraan tai epäsuorasti organisaatioille. Vastuullisen julkistamisen käytäntö on osoittanut, että hyvää tarkoittavat ilmoittavat tahot ja haavoittuvat organisaatiot ovat onnistuneet tekemään yhteistyötä ja ottamaan näin seuraavan askeleen verkko- ja tietojärjestelmien tietoturvan parantamisessa.

Tätä tarkistusta varten keskustelimme jälleen laajan ja monipuolisen ilmoittavien tahojen joukon, yksityisten ja julkisten tahojen sekä syyttäjälaitoksen ja kansallisen poliisin kanssa. Nämä keskustelut ovat vahvistaneet nykyisen käytännön ja johtaneet lisäyksiin ja parannuksiin. Tärkein uusi huomionkohde on viestintä haavoittuvuuden ilmoittajan ja organisaation välillä sekä muiden tahojen kanssa haavoittuvuuden korjaamisen jälkeen.

Seuraavissa luvuissa käsitellään CVD:n määritelmää, CVD-käytännön rakennuspalikoita ja viestintäprosessia.

Sivuhuomautus: Aiemmissa Ohjeissa käytettiin termiä "responsible disclosure" (vastuullinen julkistaminen), joka oli tuolloin yleinen termi tälle käytännölle. Sittemmin on käynyt selväksi, että tämä termi korostaa liikaa ilmoittavan tahon vastuuta, kun perusperiaate on, että ilmoittavan tahon ja mahdollisesti haavoittuvan organisaation tulisi olla tasavertaisia kumppaneita vuoropuhelussa. Tämä näkemys ilmenee paremmin nykyisin yleisesti käytetyssä termissä "koordinoitu haavoittuvuuksien julkistaminen" (Coordinated Vulnerability Disclosure, CVD), jota käytetään myös tätä prosessia koskevissa ISO 29147- ja 30111-standardeissa.

2. Koordinoitu haavoittuvuus

Viimeisten 30 vuoden aikana on käytetty erilaisia menetelmiä IT-järjestelmien haavoittuvuuksien tietoisuuden lisäämiseksi. Esimerkkejä ovat:

  • "Full Disclosure" (täysi julkistaminen), haavoittuvuuden tekeminen täysin julkiseksi;

  • "Non-disclosure" (julkistamatta jättäminen), haavoittuvuuden myyminen tai itse hyödyntäminen;

  • "Coordinated Vulnerability Disclosure" (CVD), haavoittuvuuden koordinoitu julkistaminen.

Jälkimmäistä käytäntöä suositaan nimenomaisesti.

IT-yhteisö on osoittanut suurta halukkuutta jakaa tietoa ja kokemusta. Yhteistyön hakeminen tämän yhteisön kanssa voi siksi auttaa parantamaan järjestelmien yleistä tietoturvaa.

Koordinoidun haavoittuvuuksien julkistamisen tavoite

CVD:n tavoite on edistää IT-järjestelmien tietoturvaa jakamalla tietoa haavoittuvuuksista. CVD:ssä tietoa jaetaan yhden tai useamman mahdollisesti haavoittuvan organisaation kanssa, jotta löydetylle haavoittuvuudelle saavutetaan yhteinen ratkaisu yhteistyössä ilmoittavan tahon kanssa. On tärkeää, että vaikutuksen alaisilla organisaatioilla on riittävästi aikaa korjata mahdolliset haavoittuvuudet tai suojata järjestelmät, jotta menetykset tai vahingot rajoittuvat tai estyvät mahdollisimman paljon. Prosessin kulmakivi on haavoittuvuuksia koskevan tiedon julkistaminen korjauksen jälkeen.

CVD:ssä on olennaista, että kaikki osapuolet noudattavat sopimuksia siitä, miten haavoittuvuudesta ilmoitetaan ja miten sitä käsitellään. Auttaa, jos organisaatio julkaisee edellytykset etukäteen, kuten mitkä järjestelmät kuuluvat soveltamisalaan ja millaista tutkimusta voidaan tehdä. Tärkeä periaate näille edellytyksille on, että organisaatio ei lähtökohtaisesti ilmoita ilmoittavaa tahoa viranomaisille tai ryhdy muihin oikeudellisiin toimiin, jos tutkimus ja ilmoittaminen tehdään asetettujen ehtojen puitteissa. Nämä Ohjeet tarjoavat organisaatioille ohjausta oman käytäntönsä laatimiseen CVD:n periaatteiden toteuttamiseksi.

Kuten nimi osoittaa, CVD:n keskeistä on, että organisaatio ja ilmoittava taho koordinoivat keskenään. Tässä suhteessa haavoittuvuudesta ilmoittavan henkilön ja organisaation sisällä ongelman ratkaisemisesta vastaavan henkilön välillä tulisi olla mahdollisimman vähän välikäsiä.

Voi olla tärkeää tiedottaa useita osapuolia samanaikaisesti, jos haavoittuvuus vaikuttaa moniin järjestelmiin. Tällöin NCSC tai muut tahot tietoturvayhteisössä voivat tukea CVD-prosessia koordinoivassa roolissa.

3. Vastuualueet

CVD-käytännön noudattamisen tavoitteena on, että ilmoittavat tahot ja organisaatio tekevät yhteistyötä IT-järjestelmien haavoittuvuuksien vähentämiseksi. Tämän käytännön toteuttamista tulisi pitää täydennyksenä tietoturvan nykyisille toimenpiteille. Eri toimijoilla on kullakin oma roolinsa ja vastuunsa. Nämä selitetään tarkemmin alla.

Järjestelmän omistava/hallinnoiva organisaatio

Järjestelmän omistava/hallinnoiva tai toimittava organisaatio on ensisijaisesti vastuussa tämän järjestelmän tietoturvasta. Toisin sanoen organisaatio on myös vastuussa haavoittuvuusilmoituksen jatkotoimista.

Organisaatio voi päättää laatia oman CVD-käytäntönsä näiden Ohjeiden avulla ja viestiä tästä käytännöstä mahdollisille ilmoittaville tahoille. Julkaisemalla CVD-käytännön organisaatiot osoittavat halukkuutensa vastaanottaa tietoa haavoittuvuuksista.

CVD-käytännön laativa osapuoli voi sitoutua periaatteeseen, jonka mukaan se ei tee rikosilmoitusta poliisille, jos käytäntöön sovellettavia sääntöjä noudatetaan.

Kun ilmoittava taho on ilmoittanut haavoittuvuudesta, vastuu on organisaatiolla. On tärkeää ymmärtää, että ilmoittava taho on usein organisaation ulkopuolinen. Tällä taholla ei ole suoraa näkymää sisäisiin prosesseihin, jotka voivat käynnistyä haavoittuvuuden ilmoittamisen jälkeen. Tämän vuoksi ilmoittavat tahot arvostavat sitä, että heille kerrotaan haavoittuvuuden ratkaisemisen etenemisestä. Tämä jatkuva viestintä on tärkeää myös oikeiden odotusten luomiseksi ratkaisun jatkotoimista ja ajantasaisuudesta.

Haavoittuvuudesta ilmoittava taho

Ilmoittava taho on tavalla tai toisella pystynyt tunnistamaan haavoittuvuuden ja haluaa edistää IT-järjestelmien tietoturvaa saamalla tämän haavoittuvuuden korjatuksi ja mahdollisesti julkistetuksi myöhemmässä vaiheessa. Ilmoittava taho on voinut löytää jotakin passiivisen havainnoinnin kautta tai testaamalla IT-järjestelmää aktiivisesti. Tämä taho on tietenkin vastuussa omista toimistaan ja tavasta, jolla se löysi haavoittuvuuden. On ilmoittavan tahon oma vastuu olla tietoinen ehdoista, jotka organisaatio on asettanut CVD-käytännössään. Useimmat hallitukset ja yritykset ovat julkaisseet CVD-käytäntönsä verkkosivustoillaan.

Haavoittuvuuksien löytäminen voi kuitenkin tarkoittaa lain rikkomista. CVD:n puitteissa organisaatio ja ilmoittava taho voivat sopia, etteivät ne tee rikosilmoitusta mistään rikollisista teoista. Tässä suhteessa organisaation julkaisema CVD-käytäntö on ohjaava periaate. Osapuolet voivat myös sopia, ettei siviilioikeudellisiin toimiin ryhdytä.

Jos on epäilys siitä, että ilmoittava taho on rikkonut lakia, CVD-käytäntö voi ensinnäkin auttaa estämään ilmoittajan ilmoittamisen viranomaisille. Tämä menettely riippuu täysin käytännön edellytyksistä, joiden noudattamista organisaatio vaatii ilmoittavalta taholta, ja siitä, onko tämä noudattaminen saavutettu, mahdollisesti vastaavalla lupauksella olla tekemättä rikosilmoitusta niin kauan kuin taho toimii käytännön ehtojen puitteissa. Jos poliisille tehdään ilmoitus, CVD-käytännön olemassaolo ja noudattaminen on Alankomaissa merkityksellinen seikka, jonka syyttäjä ottaa huomioon päättäessään, aloitetaanko esitutkinta ja/tai nostetaanko syyte. Lähtökohtaisesti poliisi ja syyttäjälaitos (OM) eivät aloita rikostutkintaa, jos ilmoittava taho on selvästi noudattanut kyseisen organisaation CVD-käytännön sääntöjä. Syyttäjälaitos ja poliisi voivat kuitenkin tutkia tapausta edelleen, jos on viitteitä siitä, että ilmoittava taho on tietoisesti tai tiedostamatta mennyt toimissaan liian pitkälle ja/tai jättänyt noudattamatta CVD-käytäntöä. Tämän tutkinnan perusteella syyttäjälaitos voi päättää, nostetaanko syyte.

Syyttäjälaitos on julkaissut linjauskirjeen, jossa käsitellään tarkemmin näkökohtia, jotka ovat tärkeitä tutkinta- ja/tai syytepäätöksen tekemisessä. Esimerkiksi palveliko ilmoittavan tahon toiminta tärkeää yleistä etua, toimiko taho suhteettomasti ja olisiko taho mahdollisesti voinut toimia toisella, vähemmän ankaralla tavalla. Asiaa koskeva linjauskirje käsittelee näitä näkökohtia tarkemmin.2 Vuodesta 2013 alkaen relevantti oikeuskäytäntö3 osoittaa, että nämä näkökohdat otetaan huomioon myös tuomioistuimessa, jos organisaatiolla ei ole CVD-käytäntöä.

4. Koordinoidun haavoittuvuuksien julkistamisen prosessin rakennuspalikat

Alla esitetään rakennuspalikat CVD-prosessin muotoilemiseksi organisaation, ilmoittajan ja NCSC:n kannalta.

Organisaatio

CVD:n edistäminen alkaa organisaatiosta, joka omistaa IT-järjestelmiä tai joka toimittaa IT-tuotteen/-järjestelmän. Tämä organisaatio on loppujen lopuksi ensisijaisesti vastuussa näiden IT-järjestelmien tietoturvasta. Voidakseen toimia tehokkaasti eri tahojen kanssa haavoittuvuuksien ratkaisemiseksi organisaatio voi päättää laatia ja julkaista CVD-käytännön. Oman CVD-käytännön laatiminen antaa organisaatiolle mahdollisuuden osoittaa, miten se käsittelee haavoittuvuusilmoituksia. Näin organisaatio voi myös muotoilla tavan, jolla se haluaa vastaanottaa ilmoituksia. Tällainen prosessi voidaan järjestää seuraavasti:

  • Organisaatio laatii ja julkaisee CVD-käytännön.

  • Tässä käytännössä organisaatio antaa selkeät säännöt tutkimukselle, jota ilmoittavat tahot voivat tehdä, kuten mitkä tekniikat ovat sallittuja ja mitkä järjestelmät kuuluvat soveltamisalaan tai sen ulkopuolelle.

  • Organisaatio tekee ilmoittavalle taholle ilmoituksen tekemisen helpoksi. Yksi vaihtoehto on vakioidun ilmoitustavan käyttö; esimerkiksi tietty sähköpostiosoite tai verkkolomake. Lisäksi organisaatio voi päättää, otetaanko vastaan nimettömiä ilmoituksia.

  • Organisaatio varaa sisäistä kapasiteettia ja luo prosessin, jotta se voi reagoida ilmoituksiin asianmukaisesti. On suositeltavaa luoda prosessi, jolla löydetyt haavoittuvuudet voidaan korjata asianmukaisesti. Tässä suhteessa ilmoituksen alkuperällä ei ole merkitystä. Haavoittuvuuden on voinut myös tunnistaa esimerkiksi sisäinen työntekijä tai testin aikana.

  • Käytännön kokemus osoittaa, että kiinnostus haavoittuvuuksista ilmoittamiseen organisaatiolle on suurempaa CVD-käytännön ensimmäisen julkaisun jälkeen. Organisaation tulisi ottaa tämä huomioon suunnitellessaan (lisä)kapasiteettia.

  • Kun organisaatio vastaanottaa haavoittuvuusilmoituksen, se varmistaa, että ilmoitus saavuttaa osaston, joka soveltuu parhaiten ilmoituksen arviointiin ja käsittelyyn, mahdollisimman pian.

  • Organisaatio lähettää ilmoittavalle taholle vastaanottokuittauksen, mieluiten digitaalisesti allekirjoitettuna prioriteetin korostamiseksi.

  • Tämän jälkeen organisaatio neuvottelee ilmoittavan tahon kanssa määrittääkseen ajanjakson, jonka kuluessa mahdollinen julkaisu tapahtuu. Tämä ajanjakso riippuu suuresti haavoittuvuuden luonteesta ja järjestelmän tyypistä.

  • Ohjeellisena ajanjaksona käytetään usein noin 60 päivää ohjelmistohaavoittuvuuksille. Laitteistohaavoittuvuuksien korjaaminen on vaikeampaa; ohjeena voidaan käyttää 6 kuukautta.

  • Tämän ajanjakson pidentäminen tai lyhentäminen keskinäisellä sopimuksella voi olla toivottavaa sen mukaan, kuinka monta IT-järjestelmää on riippuvaisia järjestelmästä, jonka haavoittuvuudesta ilmoitettiin, tai onko haavoittuvuus helpompi tai vaikeampi ratkaista.

  • Haavoittuvuus voi osoittautua vaikeaksi tai mahdottomaksi ratkaista, tai sen ratkaisemiseen voi liittyä suuria kustannuksia. Tällaisissa tapauksissa organisaatio voi sopia pitävänsä haavoittuvuutta hyväksyttynä riskinä eikä korjaa sitä, mahdollisesti neuvotellen ilmoittavan tahon kanssa.

  • Organisaatio pitää ilmoittavan tahon ajan tasalla prosessin etenemisestä.

  • Lisäksi organisaatio voi tarjota, että ilmoittavalle taholle annetaan julkinen tunnustus haavoittuvuuden julkaisemisesta. On myös mahdollista valita yhteinen julkistaminen ulkomaailmalle.

  • On suositeltavaa palkita ilmoittavaa tahoa haavoittuvuuksista ilmoittamisesta järjestelmissä, jos taho on noudattanut CVD-käytännön sääntöjä. Palkkion suuruus voi riippua ilmoituksen laadusta. Ilmoittavan tahon palkitseminen voi luoda paremman suhteen kyseisen tahon ja organisaation välille sekä lisätä ihmisten halukkuutta tehdä uusia ilmoituksia CVD-käytännön mukaisesti.

  • Neuvottelussa ilmoittavan tahon kanssa organisaatio voi sopia tiedottavansa laajempaa IT-yhteisöä haavoittuvuudesta, jos on uskottavaa, että haavoittuvuus on myös muualla.

  • CVD-käytännössään organisaatio voi sitoutua periaatteeseen, jonka mukaan se ei tee rikosilmoitusta poliisille, jos ilmoittava taho on noudattanut käytännössä esitettyjä sääntöjä.

Ilmoittava taho

Ilmoittava taho on onnistuneen CVD-prosessin avain. Tavalla tai toisella tämä taho on pystynyt tunnistamaan haavoittuvuuden ja haluaa edistää IT-järjestelmien tietoturvaa saamalla organisaation korjaamaan tämän haavoittuvuuden ja julkistamaan sen. Näin tehdessään ilmoittavat tahot tunnustavat, että he voivat antaa tärkeän panoksen yhteiskunnalle paljastamalla haavoittuvuuksia koordinoidulla tavalla. Onnistuneen CVD- prosessin saavuttamiseksi seuraavat rakennuspalikat ovat tärkeitä ilmoittavalle taholle:

  • Ilmoittava taho on vastuussa omista toimistaan ja sen on noudatettava suhteellisuusperiaatetta sekä toissijaisuusperiaatetta haavoittuvuuksia tutkiessaan ja ilmoittaessaan. Toisin sanoen ilmoittavan tahon ei tulisi tehdä enempää kuin on tarpeen haavoittuvuuden osoittamiseksi, ja sen tulisi aina ilmoittaa haavoittuvuudesta ensin järjestelmän/tiedon omistajalle.

  • Ilmoittavan tahon on ilmoitettava ongelmasta mahdollisimman pian, jotta estetään pahantahtoisia tahoja löytämästä haavoittuvuutta ja hyödyntämästä sitä.

  • Ilmoittavan tahon on tehtävä ilmoitus organisaatiolle luottamuksellisesti estääkseen muita pääsemästä käsiksi tähän tietoon.

  • Ilmoittava taho ei saa tehdä ilmoituksen tekemistä tai lisätietojen antamista riippuvaiseksi palkkiosta. Aloite palkkion myöntämiseksi ilmoituksen yhteydessä on vastaanottavalla organisaatiolla, joka voi esittää edellytykset julkaisemassaan käytännössä.

  • Ilmoittava taho ja organisaatio sopivat selkeästi haavoittuvuuden julkistamisesta. Jos mukana on useampi kuin yksi organisaatio, perusperiaate on, että haavoittuvuudet voidaan julkaista vain, jos kaikki organisaatiot suostuvat siihen. Näiden sopimusten tekeminen varhaisessa vaiheessa on suositeltavaa.

  • Ilmoittava taho ja asianomainen organisaatio voivat sopia laajemman IT-yhteisön tiedottamisesta. Esimerkiksi tämä tilanne voi koskea haavoittuvuutta (olipa se jo tunnettu tai ei), jonka tiedetään olevan useammassa kuin yhdessä paikassa. Kansallinen kyberturvallisuuskeskus (NCSC) voidaan ottaa mukaan tähän prosessiin tukemaan keskushallinnon ja kriittisen infrastruktuurin kohderyhmiä tai tiedottamaan useita tahoja sellaisen haavoittuvuuden yhteydessä, joka vaikuttaa moniin järjestelmiin.

NCSC

CVD-prosessi on ensisijaisesti organisaatioiden ja ilmoittavien tahojen asia. Siitä huolimatta NCSC kannustaa CVD-prosessin käyttöön. Neuvottelussa ilmoittavan tahon ja organisaation kanssa NCSC voi myös olla mukana jakamassa tietoa haavoittuvuudesta sidosryhmänsä kanssa haavoittuvuudesta aiheutuvien lisätietoturvariskien rajoittamiseksi.

Jos haavoittuvuuden ilmoittaminen ei suju niin kuin ilmoittava taho odottaa, tai jos hän mieluummin ei ilmoita haavoittuvuudesta suoraan organisaatiolle, hän voi ottaa yhteyttä NCSC:hen.4 Tässä tapauksessa NCSC voi toimia välittäjänä tarvittaessa.

IT-järjestelmän omistaja on aina vastuussa järjestelmän tietoturvasta. NCSC ei voi pakottaa järjestelmän omistajaa korjaamaan haavoittuvuutta, eikä se voi taata, ettei omistaja ryhdy oikeustoimiin ilmoittavaa tahoa vastaan. Tämän vuoksi ilmoittavan tahon on otettava huomioon edellä mainitut organisaatioiden ja ilmoittavien tahojen rakennuspalikat etsiessään ja ilmoittaessaan haavoittuvuutta. Ilmoittava taho voi odottaa NCSC:n tekevän kaikkensa haavoittuvuuden korjaamiseksi ja käsittelevän ilmoituksen luottamuksellisesti. NCSC ei jaa henkilötietoja, ellei se ole lain nojalla velvollinen siihen.

Mahdollisuuksien mukaan NCSC käyttää haavoittuvuuksista saatuja tietoja organisaatioiden ja ilmoittavien tahojen kanssa neuvotellen tiedon jakamiseksi edelleen IT-yhteisön kanssa. Se voi esimerkiksi tehdä niin julkaisemalla osan tiedoista, kirjoittamalla tai päivittämällä tietolehtisen (fact sheet) tai valkoisen kirjan (white paper) tai tiedottamalla tiettyjä organisaatioita.

  • Asianomaisesta organisaatiosta ja todetun haavoittuvuuden luonteesta riippuen NCSC pyrkii saattamaan haavoittuvuuden asianomaisen organisaation tietoon. Kyseisen IT-järjestelmän omistaja on kuitenkin edelleen vastuussa järjestelmästä.

  • Mahdollisuuksien mukaan ja tarvittaessa NCSC antaa asianomaiselle organisaatiolle neuvoja haavoittuvuuden korjaamiseksi.

  • NCSC käsittelee ilmoituksia luottamuksellisesti eikä jaa ilmoittavien tahojen tai vastaanottavan organisaation henkilötietoja ilman suostumusta, ellei se johdu lakisääteisestä velvoitteesta.

  • Mahdollisuuksien mukaan NCSC pitää ilmoittavan tahon ajan tasalla organisaation kanssa käytävän yhteydenpidon ja haavoittuvuuden korjaamisen etenemisestä.

  • Tapauksissa, joissa ilmoitus tehdään NCSC:lle, NCSC yrittää saattaa ilmoittavan tahon tai mahdollisen ilmoittavan tahon ja organisaation yhteyteen toistensa kanssa.

Jos ilmoittava taho on löytänyt haavoittuvuuden esimerkiksi ohjelmistotuotteesta tai haavoittuvuuden, joka vaikuttaa moniin eri järjestelmiin, ilmoittava taho voi pyytää NCSC:tä koordinoimaan haavoittuvuuden korjaamista ja julkistamista.

Yhdessä ilmoittavan tahon, kumppaneiden, kehittäjien ja/tai ohjelmistokehittäjien sekä muiden tietoturvatiimien kanssa NCSC auttaa analysoimaan, korjaamaan tai korjauttamaan, koordinoimaan ja julkistamaan haavoittuvuuden hallitusti. Kaikki tämä prosessi tapahtuu tiiviissä neuvottelussa haavoittuvuuden löytäneen ilmoittavan tahon kanssa.

CVD-käytäntö pyrkii löytämään tasapainon haavoittuvuuksien mahdollisimman nopean julkistamisen tärkeyden välillä, jotta toimenpiteisiin voidaan ryhtyä, ja kehittäjien sekä toimittajien riittävän ajan saamisen tärkeyden välillä haavoittuvuuden korjaamiseksi. Tässä prosessissa NCSC käyttää vakiotermiä 60 päivää ilmoituksen ja julkisen julkistamisen välillä. Voi kuitenkin olla olosuhteita, joissa voidaan päättää pidentää tai lyhentää tätä ajanjaksoa.

NCSC jakaa tietoa haavoittuvuudesta kolmansille osapuolille vain neuvoteltuaan ilmoittavan tahon kanssa. Tässä yhteydessä on olennaista, että NCSC tekee yhteistyötä ja jakaa siksi tietoa haavoittuvuudesta sidosryhmien kanssa julkistaakseen haavoittuvuuden koordinoidusti. Näin tehdessään NCSC varmistaa, että oikeat tahot voivat työskennellä haavoittuvuuden korjaamiseksi, auttaa rajoittamaan menetyksiä tai vahinkoja ja auttaa kiinnittämään huomiota löydettyyn haavoittuvuuteen.

5. Viestintä ja julkistamisprosessi

Viiden vuoden käytäntö on osoittanut, että selkeä viestintä on onnistuneen CVD-prosessin kulmakivi. CVD-prosessin aikana, sen alussa ja sen jälkeen on huomionkohtia.

Viestintä julkistamisprosessista

CVD-käytännön julkaiseminen on ensimmäinen askel prosessista viestimisessä. Julkaisemalla käytäntö julkisesti ilmoittavia tahoja kutsutaan ilmoittamaan organisaatiolle kaikista löytämistään haavoittuvuuksista.

Yhtäältä organisaatio voi laatia ehdot haavoittuvuuksien löytämiseksi tehtävälle tutkimukselle ja tavalle, jolla yhteyttä otetaan. Toisaalta organisaatio voi sitoutua periaatteeseen, jonka mukaan se ei tee rikosilmoitusta poliisille, jos käytännön sääntöjä noudatetaan. Tämä lähestymistapa suojaa ilmoittavan tahon asemaa.

CVD-käytäntöä voidaan muuttaa tai päivittää myöhemmin. On tärkeää olla selkeä muutoksista tässä suhteessa. Ilmoittavilla tahoilla on intressi tietää, mitä on muutettu ja milloin. Esimerkiksi muutoksia voidaan selventää sisällyttämällä julkaisupäivämäärä CVD-käytännön alkuun, kuvaamalla muutosten yhteenveto CVD-käytännön alla tai pitämällä arkistoa CVD-käytännön vanhoista versioista.

CVD-käytäntö voi antaa ohjeita siitä, miten prosessin aikana viestitään, esimerkiksi osoittamalla säännölliset päivitykset sähköpostitse tai verkkoportaalissa. Lisäksi CVD-käytäntö voi kuvata, miten ilmoittajalle voidaan antaa tunnustusta mainitsemalla hänet päivityksessä, hyväksymällä kunniagalleriaan (hall of fame) tai muulla palkkiomuodolla.

Viestintä julkistamisprosessin aikana

Ilmoittava taho käynnistää CVD-prosessin lähettämällä viestin organisaatiolle. Tässä viestissä ilmoittava taho antaa selkeän kuvauksen löydetystä haavoittuvuudesta. Tärkeitä elementtejä ovat vaikutuksen alaisen järjestelmän IP-osoite tai URL ja tarvittavat vaiheet haavoittuvuuden toistamiseksi.

Organisaation on tärkeää viestiä selkeästi ilmoittavalle taholle, jotta prosessia koskevat odotukset ovat selkeät.

Se voi tehdä sen jo lähettämällä vastaanottokuittauksen (automaattisen tai muun), joka sisältää viitteen määräajasta, jonka kuluessa ensimmäinen tai seuraava asiasisältöinen vastaus lähetetään.

On myös mahdollista jättää tämä ajanjakso avoimeksi ja antaa alustava viite määräajasta ilmoituksen sisällön arvioinnin jälkeen. On suositeltavaa olla selkeä mahdollisimman pian ajanjaksosta, jonka kuluessa ratkaisu voidaan saavuttaa. Näin ilmoittaja tietää, milloin tulosta voidaan odottaa.

Joissakin tapauksissa julkaisupäivämäärä voi olla ilmoittavalle taholle jo selvä; esimerkiksi konferenssiesityksen vuoksi tai koska ilmoittava taho on asettanut oman määräaikansa. Tässä tapauksessa on silti tärkeää, että ilmoittava taho viestii tämän aikataulun selkeästi, ilmoittaa sen mahdollisimman varhain ja on selkeä tämän päivämäärän siirtämisen mahdollisuudesta/mahdottomuudesta.

Ilmoittava taho on usein organisaation ulkopuolinen henkilö, jolla ei ole näkymää sisäisiin prosesseihin, jotka ilmoitus voi käynnistää. Organisaatiot voivat pitää ilmoittavan tahon ajan tasalla prosessin etenemisestä säännöllisillä päivityksillä. Tämä lähestymistapa tekee ilmoittavalle taholle selväksi, että ratkaisun parissa työskennellään. Tarvittaessa organisaatio voi pyytää selvennystä tai testata ratkaisua prosessin aikana.

Jos organisaatio ei pysty noudattamaan alkuperäistä ratkaisun määräaikaa, siitä voidaan keskustella ilmoittajan kanssa sen siirtämiseksi. Säännöllinen viestintä voi tehdä tämän tilanteen ilmoittajalle selväksi aiemmassa vaiheessa.

CVD:n päätarkoitus on lieventää haavoittuvuutta, mutta haavoittuvuuden "täysi julkistaminen" on aina vaihtoehto ilmoittavalle taholle, jos se kokee, että prosessi kestää liian kauan. Tämä toimenpide on ilmoittavan tahon käytettävissä oleva sananparren mukainen "iso keppi" (big stick). Luonnollisesti tämä tilanne on estettävä mahdollisimman pitkälle.

Viestintä julkistamisprosessin jälkeen

On monia mahdollisia syitä, miksi ilmoittava taho saattaa etsiä haavoittuvuuksia ja ilmoittaa niistä sitten organisaatioille CVD-prosessin kautta. Suurelle joukolle ilmoittavia tahoja tärkeä kannustin on (julkinen) tunnustus.

Ilmoittavat tahot saavat julkisen tunnustuksen kiitoksen kautta päivityksessä tai pääsyllä kunniagalleriaan (hall of fame). Tarve julkiselle tunnustukselle ei kuitenkaan päde kaikkiin ilmoittaviin tahoihin; jotkut eivät itse asiassa halua olla yleisön tiedossa. Organisaation viestinnän tapauksessa on siksi suositeltavaa saada ilmoittavan tahon suostumus hänen nimeämiseensä.

Lisäksi ilmoittavat tahot voivat myös päättää viestiä ilmoituksesta CVD-prosessin päättymisen jälkeen. Esimerkiksi ilmoittava taho voi kuvata löytämisprosessin tai varoittaa muita haavoittuvuudesta. Ilmoittaja voi päättää toimittaa julkaisun organisaatiolle tiedoksi. Koska CVD-prosessi on periaatteessa päättynyt haavoittuvuuden poistamisen jälkeen, ilmoittava taho on tämän jälkeen vapaa viestimään siitä, ellei käytännössä tai prosessin aikana sovita lisäsopimuksista.

Luettelo

Viestintä julkistamisprosessista

  • CVD-käytännön julkaiseminen verkkosivustolla

  • Rajoitusten selkeys (eri lähestymistavoista katso luku 6)

  • Tutkintamenetelmien rajoitukset

  • Viestintää koskevat ohjeet

  • Mahdollisia palkkioita koskevat ohjeet: kunniagalleria (hall of fame), rahallinen palkkio, T-paita jne.

  • Selkeys kaikista CVD-käytännön päivityksistä, mukaan lukien muutosten päivämäärä

Viestintä julkistamisprosessin aikana

  • Ilmoittaja ottaa yhteyttä organisaatioon löydetystä haavoittuvuudesta.

  • Organisaatio hallitsee odotuksia, kuten ensimmäisen teknisen vastauksen vasteaikaa

  • Organisaatio ja ilmoittaja antavat toisilleen selkeyden odotetusta ratkaisuajasta

  • Organisaatio antaa usein (prosessi)päivityksen

  • Tarvittaessa ilmoittaja ja organisaatio keskustelevat yhteydenotosta muihin asiaan liittyviin organisaatioihin

Viestintä julkistamisprosessin jälkeen

  • Keskustellaan ilmoittajan (julkisesta) tunnustuksesta ja palkitsemisesta

  • Sovitaan, miten tietoa haavoittuvuudesta julkaistaan, kuten tutkimusvaihe tai muiden organisaatioiden tiedottaminen

6. Esimerkkejä koordinoidun haavoittuvuuksien julkistamisen käytännöstä

Koordinoidun haavoittuvuuksien julkistamisen käytäntötekstejä on monia eri muotoja. Koska julkaistu CVD-käytäntö toimii tienviittana mahdollisille ilmoittaville tahoille, varmista, että tämän käytännön muoto on linjassa organisaation käytännön ja strategian kanssa.

Seuraavat elementit ovat tärkeitä CVD-käytännössä:

  • yhteydenottotapa turvalliselle viestinnälle;

  • edellytykset ilmoittaville tahoille;

  • selkeät odotukset ilmoituksen käsittelylle;

  • menetelmä ilmoituksen palkitsemiselle;

  • versionumero ja viimeisimmän tarkistuksen päivämäärä.

Alla on kolme esimerkkiä: Monet organisaatiot Alankomaissa ovat ottaneet mallia ResponsibleDisclosure.nl:n perusesimerkistä. Muut organisaatiot sisällyttävät lisäedellytyksiä, katso Fox ITn käytäntö. Vielä muut organisaatiot soveltavat vapaampaa muotoa kohdeyleisönsä mukaan, katso Bits of Freedomin käytäntö.

Esimerkki: ResponsibleDisclosure.nl

Tämän tekstin on kirjoittanut Floor Terra, ja se on julkaistu Creative Commons Attribution 3.0 Unported -lisenssillä.

Acme Corporationissa pidämme järjestelmiemme tietoturvaa ensisijaisena. Mutta riippumatta siitä, kuinka paljon vaivaa näemme järjestelmien tietoturvan eteen, haavoittuvuuksia voi silti olla olemassa.

Jos löydät haavoittuvuuden, haluamme tietää siitä, jotta voimme ryhtyä toimiin sen korjaamiseksi mahdollisimman nopeasti.

Pyydämme sinua auttamaan meitä suojaamaan asiakkaitamme ja järjestelmiämme paremmin.

Toimi seuraavasti:

  • Lähetä löydöksesi sähköpostilla osoitteeseen cert@example.com. Salaa löydöksesi PGP- avaimellamme, jotta tämä kriittinen tieto ei päädy vääriin käsiin,

  • Älä hyödynnä löytämääsi haavoittuvuutta tai ongelmaa, esimerkiksi lataamalla enemmän dataa kuin on tarpeen haavoittuvuuden osoittamiseksi tai poistamalla tai muokkaamalla muiden ihmisten dataa,

  • Älä paljasta ongelmaa muille, ennen kuin se on ratkaistu,

  • Älä käytä fyysiseen turvallisuuteen kohdistuvia hyökkäyksiä, sosiaalista manipulointia, hajautettua palvelunestoa, roskapostia tai kolmansien osapuolten sovelluksia, ja

  • Anna riittävästi tietoa ongelman toistamiseksi, jotta voimme ratkaista sen mahdollisimman nopeasti. Yleensä kohteena olevan järjestelmän IP-osoite tai URL ja haavoittuvuuden kuvaus riittävät, mutta monimutkaiset haavoittuvuudet voivat vaatia lisäselvitystä.

Mitä lupaamme:

  • Vastaamme raporttiisi 3 arkipäivän kuluessa arviollamme raportista ja odotetulla ratkaisupäivällä,

  • Jos olet noudattanut yllä olevia ohjeita, emme ryhdy oikeustoimiin sinua vastaan raporttiin liittyen,

  • Käsittelemme raporttisi tiukasti luottamuksellisesti emmekä välitä henkilötietojasi kolmansille osapuolille ilman lupaasi,

  • Pidämme sinut ajan tasalla ongelman ratkaisemisen edistymisestä,

  • Ilmoitetusta ongelmasta kertovassa julkisessa tiedossa mainitsemme nimesi ongelman löytäjänä (ellet toisin halua), ja

  • Kiitokseksi avustasi tarjoamme palkkion jokaisesta tietoturvaongelman raportista, joka ei ollut meille vielä tiedossa. Palkkion suuruus määräytyy vuodon vakavuuden ja raportin laadun perusteella. Vähimmäispalkkio on 50 euron lahjakortti.

Pyrimme ratkaisemaan kaikki ongelmat mahdollisimman nopeasti, ja haluamme olla aktiivisessa roolissa ongelmaa koskevassa lopullisessa julkaisussa sen ratkaisemisen jälkeen.

Esimerkki: Fox-IT

Fox-IT:ssä pidämme järjestelmiemme, verkkomme ja tuotteidemme tietoturvaa erittäin tärkeänä. Vaikka noudatamme tietoturvassa suurta huolellisuutta, heikkoja kohtia voi silti jäädä. Jos olet löytänyt tällaisen heikkouden, haluaisimme kuulla siitä mahdollisimman pian, jotta voimme ryhtyä asianmukaisiin toimenpiteisiin mahdollisimman nopeasti.

Heikkoja kohtia voidaan löytää kahdella tavalla: voit törmätä johonkin vahingossa digitaalisen ympäristön tavallisen käytön aikana, tai voit nimenomaisesti yrittää parhaasi löytääksesi ne.

Vastuullisen julkistamisen käytäntömme ei ole kutsu skannata aktiivisesti yritysverkkoamme heikkojen kohtien löytämiseksi. Valvomme yritysverkkoamme itse. Tämä tarkoittaa, että skannaus havaitaan suurella todennäköisyydellä ja että turvallisuusoperaatiokeskuksemme (Security Operation Center, SOC) tutkii sen, mikä voi aiheuttaa tarpeettomia kustannuksia. Sinua kuitenkin kutsutaan etsimään aktiivisesti haavoittuvuuksia tuotteistamme offline- ei-tuotantoympäristössä ja ilmoittamaan löydöksesi meille. Vastuumme asiakkaitamme kohtaan tarkoittaa, että aikomuksemme ei ole kannustaa hakkerointiyrityksiin heidän infrastruktuuriaan vastaan; haluaisimme kuitenkin kuulla sinusta mahdollisimman pian, jos haavoittuvuuksia löydetään, jotta voimme korjata ne asianmukaisesti.

Haluamme tehdä kanssasi yhteistyötä suojataksemme paremmin asiakkaitamme ja järjestelmiämme.

Pyydämme sinua:

  • Lähettämään löydöksesi sähköpostilla mahdollisimman pian osoitteeseen security-alert@fox-it.com.

  • Älä väärinkäytä haavoittuvuutta; esimerkiksi lataamalla, muokkaamalla tai poistamalla dataa. Otamme raporttisi aina vakavasti ja tutkimme kaikki haavoittuvuusepäilyt, vaikka todisteita ei olisikaan.

  • Älä jaa ongelmaa muille, ennen kuin se on ratkaistu.

  • Älä käytä fyysiseen turvallisuuteen kohdistuvia hyökkäyksiä, sosiaalista manipulointia tai hakkerointityökaluja, kuten haavoittuvuusskannereita.

  • Anna riittävästi tietoa ongelman toistamiseksi, jotta voimme ratkaista sen mahdollisimman nopeasti. Yleensä kohteena olevan järjestelmän IP-osoite tai URL ja haavoittuvuuden kuvaus riittävät, vaikka monimutkaisemmissa haavoittuvuuksissa voidaan tarvita lisätietoja.

Mitä lupaamme:

  • Vastaamme raporttiisi kolmen arkipäivän kuluessa arviollamme raportista ja odotetulla ratkaisupäivällä.

  • Käsittelemme raporttisi luottamuksellisesti emmekä jaa henkilötietojasi kolmansille osapuolille ilman lupaasi. Poikkeuksena tähän ovat poliisi ja oikeuslaitos syytteeseenpanon yhteydessä tai jos tietoja vaaditaan.

  • Pidämme sinut ajan tasalla ongelman ratkaisun edistymisestä.

  • Ilmoitetusta ongelmasta viestittäessä mainitsemme nimesi ongelman löytäneenä osapuolena, jos haluat.

  • Valitettavasti ei ole mahdollista taata etukäteen, ettei sinua vastaan ryhdytä oikeustoimiin. Toivomme voivamme harkita jokaista tilannetta yksilöllisesti. Katsomme olevamme moraalisesti velvollisia ilmoittamaan sinusta, jos epäilemme heikkoutta tai dataa käytettävän väärin tai että olet jakanut tiedon heikkoudesta muiden kanssa. Voit olla varma, että vahingossa tehty löytö verkkoympäristössämme ei johda syytteeseen.

  • Kiitokseksi avustasi tarjoamme palkkion jokaisesta meille tuntemattomasta tietoturvaongelmasta tehdystä raportista. Määritämme palkkion arvon rikkomuksen vakavuuden ja raportin laadun perusteella.

Pyrimme ratkaisemaan kaikki ongelmat mahdollisimman nopeasti, pitämään kaikki asianosaiset osapuolet ajan tasalla, ja haluaisimme olla mukana kaikessa ongelmaa koskevassa julkaisussa sen ratkaisemisen jälkeen.

Esimerkki: Bits of Freedom

Riippuvuutemme digitaalisesta infrastruktuurista kasvaa jatkuvasti. Tämä pätee yhteiskuntaan kokonaisuutena, mutta myös meihin itseemme. Siksi olemme sitä mieltä, että hallitusten ja organisaatioiden (myös omamme) pitäisi sitoutua vahvasti digitaalisen infrastruktuurimme turvaamiseen. Ymmärrämme, että parhaista aikeistamme ja suurimmasta huolellisuudestamme huolimatta järjestelmissämme voi olla haavoittuvuuksia. Jos satut löytämään yhden näistä heikkouksista, kuulemme mielellämme sinusta, jotta voimme ratkaista ongelman.

Mitä odotamme sinulta

  • Kun tutkit jotakin järjestelmäämme, pidä mielessä hyökkäyksen suhteellisuus. Ei ole tarpeen osoittaa, että kun kohdistat verkkosivustoomme internetin historian suurimman DDoS-hyökkäyksen, sivusto voi muuttua tavoittamattomaksi. Tiedämme sen. Ymmärrämme myös, että jos ajat puskutraktorilla toimistoomme, saat todennäköisesti napattua yhden kannettavistamme.

  • Tämä suhteellisuusperiaate on olennainen myös haavoittuvuuden itsensä osoittamisessa. Älä tarkastele tai muokkaa enempää dataa kuin on ehdottoman välttämätöntä löydöksesi pätevyyden vahvistamiseksi. Jos esimerkiksi pystyt muokkaamaan etusivuamme, lisää siihen vain yksi kiistaton sana sen sijaan, että valtaisit koko sivun. Jos pääset käsiksi tietokantaan, riittää, että näytät meille luettelon siellä olevista taulukoista tai ehkä jonkin taulukon ensimmäisen tietueen.

  • Järjestelmämme haavoittuvuudesta tulisi ilmoittaa mahdollisimman pian lähettämällä sähköpostia osoitteeseen security@bof.nl. Mieluiten salaisit viestisi OpenPGP:llä. Anna riittävästi tietoa, jotta voimme toistaa ja tutkia ongelman.

  • Julkinen OpenPGP-avain osoitteelle security@bof.nl

  • Et jaa tietoasi haavoittuvuudesta muille osapuolille niin kauan kuin emme ole käsitelleet ongelmaa ja olemme edelleen kohtuullisessa aikarajassa siitä, kun ilmoitit ongelmasta.

  • Poistat kaiken luottamuksellisen tiedon, jonka olet saanut tutkimuksesi aikana, heti kun olemme ratkaisseet haavoittuvuuden.

Mitä voit odottaa meiltä

  • Vastaamme raporttiisi kolmen päivän kuluessa yksityiskohtaisesti. Liitämme mukaan arvion ajasta, jonka tarvitsemme ongelman ratkaisemiseen. Tietenkin pidämme sinut säännöllisesti ajan tasalla edistymisestämme.

  • Ratkaisemme haavoittuvuuden mahdollisimman pian. Tässäkin suhteellisuus on tärkeää: haavoittuvuuden korjaamiseen tarvittava aika riippuu useista tekijöistä, muun muassa käsillä olevan ongelman vakavuudesta ja monimutkaisuudesta.

  • Kun noudatat tässä esitettyjä ohjeita, emme ryhdy oikeustoimiin sinua vastaan raporttiisi liittyen.

  • Meille on tärkeää antaa sinulle tunnustusta tekemästäsi – jos haluat. Mainitsemme nimesi haavoittuvuutta koskevassa julkaisussa vain, jos suostut siihen.

  • Kiitokseksi siitä, että autat meitä suojaamaan järjestelmiämme paremmin, haluamme palkita jokaisen haavoittuvuusraportin, joka oli meille tuolloin tuntematon. Palkkio riippuu haavoittuvuuden vakavuudesta ja raportin laadusta.

  • Jos löydät haavoittuvuuden käyttämästämme kolmannen osapuolen ohjelmistosta ja kyseinen haavoittuvuus kuuluu bug bounty -ohjelman piiriin, emme yritä vaatia tätä palkkiota; sinun pitäisi.