Coordinated vulnerability disclosure

Nochtadh comhordaithe leochaileachtaí (CVD)

Conas leochaileachtaí slándála a thuairisciú, a fháil agus a chomhordú, le samplaí polasaithe.

Is téarma slándála ríomhairí é nochtadh comhordaithe leochaileachtaí (CVD). Déanann sé cur síos ar an gcaoi a bhféadfaidh daoine tuarascálacha a roinnt faoi shaincheisteanna slándála. Is iad seo a leanas samplaí: tuarascálacha ar fhabhtanna, rioscaí ionradh, rabhaidh haiceála, sceitheadh sonraí, sáruithe suíomh gréasáin, srl.

Aistriúcháin: العربية, Български, বাংলা, Čeština, Cymraeg, Dansk, Deutsch, Ελληνικά, English, Español, Eesti, Euskara, فارسی, Suomi, Français, Gaeilge, Gàidhlig, ગુજરાતી, Hausa, עברית, हिन्दी, Hrvatski, Magyar, Bahasa Indonesia, Íslenska, Italiano, 日本語, 한국어, Lietuvių, Latviešu, Nederlands, Polski, Português, Română, Русский, Slovenčina, Slovenščina, Svenska, Kiswahili, ไทย, Türkçe, Українська, اردو, Tiếng Việt, 中文

Ábhar:

Polasaithe:

Réamhrá

Míníonn an doiciméad seo nochtadh comhordaithe leochaileachtaí ar bhealaí a chabhródh le daoine oibriú le chéile.

Cuspóirí an doiciméid:

  1. Cabhrú le daoine a aimsíonn saincheisteanna slándála agus ar mian leo iad a thuairisciú.

  2. Cabhrú le hionadaithe cuideachtaí tuiscint a fháil ar riachtanais, cuspóirí, cleachtais agus cásanna speisialta an nochta fhreagraigh.

  3. Polasaithe samplacha um nochtadh comhordaithe leochaileachtaí a áireamh i bhfillteán an stórais.

Fáilteofar roimh iarratais tarraingthe, nó saincheisteanna GitHub, nó ríomhphost chuig security@joelparkerhenderson.com.

Cad is nochtadh comhordaithe leochaileachtaí ann?

Déanann nochtadh comhordaithe leochaileachtaí cur síos ar thrí chéim nuair a aimsíonn duine saincheist slándála (mar fhabht bogearraí) agus ar mian leis nó léi é a thuairisciú don léiritheoir (mar an chuideachta a dhéanann na bogearraí).

Céimeanna:

  1. Tuairiscíonn an t-aimsitheoir an cheist go príobháideach i ndea-chreideamh don léiritheoir.

  2. Déanann an léiritheoir iarracht úsáideoirí a chosaint i ndea-chreideamh agus déanann sé iarracht aghaidh a thabhairt ar an gceist.

  3. Tar éis tréimhse ama sonraithe, déantar an cheist slándála a phoibliú.

Céim 1: Tuairiscigh an cheist

Is don aimsitheoir é Céim 1: tuairiscigh an cheist go príobháideach i ndea-chreideamh.

  • Go maith: Seolann an t-aimsitheoir an fhaisnéis ábhartha chuig an léiritheoir, mar shampla trí ríomhphost chuig seoladh ríomhphoist slándála an léiritheora (de ghnáth "security@example.com") nó trí fhoirm ar leathanach gréasáin ar shuíomh gréasáin an léiritheora (de ghnáth "https://www.example.com/security").

  • Go dona: an tuarascáil a phostáil ar bhlag poiblí, nó na meáin a chur ar an eolas, nó bagairtí, nó iarrachtaí an cheist slándála a dhíol le haiceálaithe, srl.

  • Leid: féadfaidh an t-aimsitheoir a roghnú fanacht gan ainm; féadfaidh an léiritheoir fanacht gan ainm freisin.

Más mian leat, lean ort ag fanacht ar an eolas faoin gceist.

  • Go maith: línte cumarsáide a oscailt, nó faisnéis leantach a sholáthar, nó monatóireacht a dhéanamh ar an scéal.

  • Go dona: dearmad a dhéanamh ar an gceist,

  • Leid: féadfaidh an t-aimsitheoir a roghnú cabhrú nó gan cabhrú, agus féadfaidh sé nó sí a roghnú a bheith i dteagmháil nó gan a bheith, agus féadfaidh sé nó sí an socrú a athrú má athraíonn imthosca.

Más mian leat, nocht an cheist do dhaoine eile.

  • Go maith: fanacht leis an tréimhse ama shonraithe agus ansin dul poiblí, mar shampla an fhaisnéis ábhartha a phostáil ar shuíomh nuachta slándála, nó dul i dteagmháil le taighdeoirí slándála tríú páirtí ábhartha, nó an cheist a fhógairt ar aon suíomh sóisialta poiblí, srl.

  • Go dona: gan an cheist a nochtadh do dhaoine eile, mura gceapann tú go gcuirfeadh sé níos mó ná an méid comparáideach riosca ort féin nó ar dhaoine eile.

  • Leid: má athraíonn imthosca, mar shampla má aimsítear riosca níos airde nó saothrú gníomhach amuigh sa saol, féadfaidh an t-aimsitheoir an cheist a nochtadh do dhaoine eile níos luaithe.

Céim 2: Cinntigh teagmhálacha.

Is don léiritheoir é Céim 2: cinntigh go bhfuil na teagmhálacha inchuir i bhfeidhm.

  • Go maith: Foilsíonn an léiritheoir seoladh ríomhphoist teagmhála slándála (de réir gnáthaimh "security@example.com") agus, go hidéalach, eochair criptithe ríomhphoist shlán.

  • Go maith: Foilsíonn an léiritheoir leathanach gréasáin teagmhála slándála (de réir gnáthaimh "https://www.example.com/security") agus, go hidéalach, déanann sé an leathanach éasca a aimsiú, mar shampla trí fhuiseog an tsuímh, léarscáil an tsuímh agus cuardach.

  • Go dona: Ní sholáthraíonn an léiritheoir seoladh ríomhphoist ná leathanach gréasáin, nó ní dhéanann sé éasca iad a aimsiú.

Cinntigh cumais na foirne.

  • Go maith: Cuireann an léiritheoir oiliúint ar fhoireann tacaíochta maidir leis an méid ba cheart a dhéanamh má fhaigheann siad fiosrúchán slándála, mar shampla conas freagra a thabhairt le faisnéis teagmhála, nó conas an fiosrúchán a chur ar aghaidh chuig an bhfoireann inmheánach cheart.

  • Go maith: Fíoraíonn an léiritheoir go tréimhsiúil go bhfuil cumais na foirne ag obair.

  • Go dona: Ní chuireann an léiritheoir oiliúint ar fáil nó ní dhéanann sé fíorú.

Freagair an t-aimsitheoir laistigh den amlíne.

  • Mura sonraíonn an t-aimsitheoir amlíne, bain úsáid as lá oibre amháin, mar is caighdeán tionscail é seo agus is é an cleachtas is fearr sa tionscal faoi láthair.

  • Má chuireann an t-aimsitheoir ceisteanna, freagair iad. Tá sé seo thar a bheith tábhachtach má iarrann an t-aimsitheoir cead tástála. Cinntigh go bhfuil na freagraí uile soiléir agus díreach.

Freagair an t-aimsitheoir trí theagmháil slándála údaraithe agus/nó próiseas slándála údaraithe.

  • Go maith: freagra ó sheoladh ríomhphoist slándála-shonrach, mar "security@example.com".

  • Mar shampla, seo samplaí dona: freagra ó sheoladh ríomhphoist ginearálta, mar "help@example.com", nó ó aon duine nach gairmí slándála údaraithe é.

Cuir in iúl don aimsitheoir go n-aithnítear an cheist mar thuarascáil slándála.

  • Go maith: focháil slándála-shonrach, mar "Fuair ár bhfoireann slándála do thuarascáil nochta fhreagraigh", nó "Tá na céimeanna seo a leanas ag ár bpróiseas slándála", nó "Tá d'fhaisnéis i dtrácálaí slándála againn anois le huimhir aitheantais XYZ", srl.

  • Go dona: focháil ghinearálta, mar "Is mór againn do ghnó", nó "Tógaimid slándáil dáiríre", focháil a chuireann an cúram ar dhuine eile, mar "Chuireamar do ríomhphost chuig roinn eile", srl.

Céim 3: Oibrigh i dea-chreideamh

Is don aimsitheoir agus don léiritheoir le chéile é Céim 3: oibrígí i dea-chreideamh.

Tuig gur próiseas dea-chreidimh é nochtadh comhordaithe leochaileachtaí.

  • Is é an sprioc #1 dea-chreideamh chun cabhrú le húsáideoirí iad féin a chosaint ar rioscaí slándála.

  • Is é an sprioc #2 dea-chreideamh chun aghaidh a thabhairt ar an gceist slándála.

  • Féadfaidh an t-aimsitheoir agus/nó an léiritheoir a roghnú i ndea-chreideamh daoine slándála eile a chur i gceist, mar dul i dteagmháil le taighdeoirí slándála ábhartha eile chun cabhrú leis an gceist.

Tuig nach gcruthaíonn nochtadh comhordaithe leochaileachtaí aon oibleagáid.

  • Féadfaidh an t-aimsitheoir agus/nó an léiritheoir éirí as ag am ar bith, ar chúis ar bith, le rabhadh nó gan rabhadh. Is cúirtéiseach é gach duine ábhartha a choinneáil ar an eolas agus cothrom le dáta, ach ní féidir sin a dhéanamh i gcónaí, ná níl sé praiticiúil nó inmhianaithe i gcónaí.

  • Ní chruthaíonn nochtadh comhordaithe leochaileachtaí aon chomhaontú dlíthiúil. Má tá comhaontú dlíthiúil ann cheana idir an t-aimsitheoir agus an léiritheoir, molaimid do gach duine lena mbaineann dul i gcomhairle leis na dlíodóirí cuí; ná húsáid an doiciméad seo mar chomhairle dhlíthiúil.

Tuig go mbíonn sé mar aidhm ag nochtadh comhordaithe leochaileachtaí cumarsáid mhaith a úsáid agus bagairtí a dhiúltú.

  • Is fearr nochtadh comhordaithe leochaileachtaí nuair a thuigeann gach duine lena mbaineann gurb é sprioc #1 cabhrú le húsáideoirí iad féin a chosaint ar rioscaí slándála, agus gurb é sprioc #2 aghaidh a thabhairt ar an gceist slándála.

  • Diúltaíonn nochtadh comhordaithe leochaileachtaí d'aon chineál bagartha díoltais, imeaglaithe, fionraí, aisghairme, dúmháil, ualach leantach, nó milleán a chur ar an íobartach.

Tuig go bhféadfadh brí dhifriúil a bheith ag nochtadh comhordaithe leochaileachtaí do dhaoine éagsúla.

  • Féadfaidh tuiscint dhifriúil a bheith ag an aimsitheoir agus ag an léiritheoir ar nochtadh comhordaithe leochaileachtaí. B'fhéidir nach gcomhoibreoidh na tuiscintí seo lena chéile. Áirítear le dea-chreideamh go dtuigeann gach duine lena mbaineann é seo.

  • Foilsíonn roinnt léiritheoirí polasaithe um nochtadh comhordaithe leochaileachtaí. Is féidir leo seo a bheith ina dtreoir úsáideach. Má roghnaíonn aimsitheoir cineál difriúil nochtadh comhordaithe leochaileachtaí a úsáid, nó tuiscint dhifriúil a bheith aige nó aici ar nochtadh freagrach, tá sé sin go hiomlán ceart.

Tuig go ginearálta go mbíonn an t-aimsitheoir ag déanamh fabhair don fhoilsitheoir.

  • De ghnáth ní bhíonn cead aon duine de dhíth ar an aimsitheoir chun leochaileachtaí a fhoilsiú.

  • De ghnáth cabhraíonn faisnéis an aimsitheora leis an bhfoilsitheoir.

Fíoraigh an rath

Tar éis an fhadhb a réiteach, ní mór don léiritheoir an rath a fhíorú.

  • Ar láimhseáil na daoine agus na próisis uile an nochtadh go rathúil? Más ea, go maith. Mura ndearna, smaoinigh ar thaighde iar-ghníomhaíochta a dhéanamh, mar anailís ar bhunchúis (RCA), tuarascálacha iarbháis, léaráidí Isikawa, nó anailís chúiseach bunaithe ar theoiric chórais (CAST).

  • An ndéantar aon saincheisteanna gan réiteach a thriáisiú agus a rianú?

  • An dtuigeann an léiritheoir agus an t-aimsitheoir araon cad atá le déanamh le haghaidh aon chéimeanna eile? Tá sé seo thar a bheith tábhachtach a fháil ceart ar eagla go mbeadh nochtaí comhordaithe leochaileachtaí leantacha ann.

Treoir

Is féidir treoir maidir le nochtadh comhordaithe leochaileachtaí a theacht ó go leor réimsí, mar shaineolaithe eitice, abhcóidí dlíthiúla, ionchais réasúnta an phobail i gcoitinne, srl.

Má tá treoir á lorg agat, b'fhéidir go mbeadh suim agat sna trí réimse seo, a ndéantar cur síos orthu go léir thíos.

  • Samárach Maith

  • Dualgas tarrthála

  • Dualgas cúraim

Samárach Maith

Vicipéid: Good Samaritan law

Tugann dlíthe an tSamárach Mhaith cosaint dhlíthiúil do dhaoine a thugann cúnamh réasúnta dóibh siúd atá, nó a gcreideann siad atá, gortaithe, tinn, i mbaol, nó éagumasaithe ar shlí eile. Is é is aidhm don chosaint drogall na bhfaiteoirí cabhrú a laghdú, ar eagla go gcúisfí iad nó go ndéanfaí caingean dlí ina gcoinne.

Dualgas tarrthála

Vicipéid: Duty to rescue

Is coincheap é dualgas tarrthála a dhéanann cur síos ar chúinse ina bhféadfaí páirtí a bhrath faoi dhliteanas as gan teacht i gcabhair ar pháirtí eile atá i mbaol. D'fhéadfadh réimsí morálta agus/nó dlíthiúla a bheith ag dualgas tarrthála.

Dualgas cúraim

Vicipéid: Duty of care

Is oibleagáid é dualgas cúraim chun caighdeán cúraim réasúnta a chomhlíonadh agus aon ghníomhartha á ndéanamh a d'fhéadfadh dochar a dhéanamh do dhaoine eile go intuartha. D'fhéadfadh réimsí morálta agus/nó dlíthiúla a bheith ag dualgas cúraim. Is gné le smaoineamh orthu: intuarthacht an dochair nó na gortaithe, méid féideartha an dochair nó na gortaithe féideartha, tábhacht nó luach sóisialta na gníomhaíochta a bhfuil an cosantóir ag gabháil di, úsáidteacht an iompair don chosantóir, indéantacht iompair mhalartaigh, na costais agus na hualaí a bhaineann leis an iompar malartach, úsáidteacht choibhneasta an iompair mhalartaigh, agus sábháilteacht choibhneasta an iompair mhalartaigh.

Cásanna speisialta

Chonaic ár bhfoirne slándála raon leathan cásanna speisialta.

Déanaimid cur síos orthu anseo chun cabhrú le daoine tuiscint a fháil ar na háiteanna a bhfuil raon leathan tuairimí ann maidir leis an méid atá ceart agus an méid nach bhfuil. Molaimid do gach duine lena mbaineann cumarsáid a dhéanamh i ndea-chreideamh faoi seo.

Rochtain ar fhaisnéis úsáideoirí eile

Sampla: aimsíonn tú go bhfuil d'aitheantas úsáideora in URL, agus go nochtann sé fabht, agus creideann tú gur féidir leat an URL a chur in eagar chun d'aitheantas úsáideora a athrú go haitheantas úsáideora eile.

  • An bhfuil sé ceart don aimsitheoir é seo a dhéanamh, mar shampla leis an aon sprioc amháin a fháil amach an bhfuil sé ag dul i bhfeidhm ar úsáideoirí eile freisin?

  • An bhfuil sé níos tábhachtaí leithead an riosca do gach úsáideoir a thuiscint go tapa, ná dhá úsáideoir a chosaint a bhféadfadh a bhfaisnéis a bheith infheicthe cheana féin do haiceálaithe?

  • An bhfuil sé ceart don aimsitheoir é a dhéanamh le oiread úsáideoirí agus is mian leat?

  • An bhfuil sé ceart don aimsitheoir iarracht a dhéanamh dul i dteagmháil le húsáideoirí chun a chur in iúl dóibh go bhfuil siad buailte? An bhfuil sé ceart moltaí maidir le maolú a thairiscint?

Diúltú seirbhíse

Sampla: aimsíonn tú fabht a chuireann do chuntas ar fionraí de thaisme, mar a bheadh glas pasfhocail á spreagadh.

  • An meastar gur ionsaí diúltaithe seirbhíse é seo?

Ríomhphost neamhiarrtha

Sampla: déanann tú iarracht saincheist slándála a thuairisciú do dhaoine sa chuideachta a gceapann tú atá ábhartha, agus a aimsíonn tú trí thaighde ar LinkedIn, Facebook, srl., nó trí chonarthaí ainmniúcháin mar "webmaster@example.com" nó "security@example.com" a úsáid.

  • An bhfuil sé seo ceart?

  • An meastar gur ríomhphost neamhiarrtha é seo?

  • An meastar gur ríomhphost neamhúdaraithe é seo?

Grúpaí eisiata

Sampla: tá tú i ngrúpa eisiata, mar a bheith i do mhionaoiseach, nó ar liosta smachtbhannaí, nó i dtír atá ar liosta smachtbhannaí.

  • An bhfuil sé ceart duit tuarascáil a dhéanamh?

  • An bhfuil sé ceart tuairisciú gan ainm?

  • An bhfuil sé ceart d'aon ghnó faisnéis a d'fhéadfadh tú a aithint a athrú, mar shampla chun éalú ón ngrúpa eisiata, agus leis an sprioc cabhrú leis an nochtadh na daoine ceart a shroicheadh?

Tríú páirtí

Sampla: aimsíonn tú go bhfuil fabht i mbogearraí cuideachta a bhaineann le tríú páirtí, mar chomhtháthú le píosa bogearraí eile nó le suíomh gréasáin eile.

  • An bhfuil sé ceart duit an fhaisnéis uile a aimsíonn tú a thuairisciú don dá pháirtí?

  • An bhfuil sé riachtanach dhá nochtadh freagracha éagsúla a dhéanamh, mar thuarascáil amháin do chuideachta amháin, agus tuarascáil dhifriúil do chuideachta an tríú páirtí, leis an sprioc teorainn a chur leis an bhfaisnéis a sheoltar chuig gach cuideachta?

  • An bhfuil sé ceart don aimsitheoir na cuideachtaí a chur i dteagmháil lena chéile?

Bogearraí suaiteacha

Sampla: tá tú oilte go leor chun víreas a scríobh a gcreideann tú gur dócha go gcabhróidh sé le húsáideoirí iad féin a chosaint ar an riosca slándála, nó a aithint an bhfuil siad i mbaol, nó an riosca slándála a shocrú.

  • An bhfuil sé ceart?

  • An bhfuil sé ceart don aimsitheoir úsáideoirí a threorú chuig bogearraí mar seo, agus/nó chuig treoracha nó seánna teagaisc a dhéanann cur síos ar conas an cineál seo bogearraí a chruthú?

Nochtadh comhordaithe leochaileachtaí vs. nochtadh freagrach

Is é nochtadh comhordaithe leochaileachtaí an téarma is fearr.

  • Is é an gné is tábhachtaí an chomhordú idir an t-aimsitheoir agus an léiritheoir.

Is téarma díspeagtha é nochtadh freagrach.

  • Tá dearcthaí difriúla ag daoine ar cad is ciall le bheith freagrach. Mar shampla, áitíonn roinnt daoine go bhfuil sé freagrach don aimsitheoir an pobal a chur ar an eolas láithreach beag beann ar aon idirghníomhú leis an léiritheoir, agus go bhfuil sé neamhfhreagrach nochtadh comhordaithe leochaileachtaí a dhéanamh toisc go gcuireann sé faisnéis i bhfolach ón bpobal.

Rianú