NCSC.nl

1. પરિચય

સમાજ વધુને વધુ ડિજિટલ બની રહ્યો છે. આજકાલ, લગભગ બધી પ્રક્રિયાઓમાં કોઈ ને કોઈ તબક્કે કમ્પ્યુટરનો ઉપયોગ થાય છે, મોબાઇલ ફોનથી લઈને વિશિષ્ટ સોફ્ટવેર સુધી. આ વિકાસ ઘણી નવી તકો ઊભી કરે છે, છતાં IT સિસ્ટમોમાંની નબળાઈઓની મોટી અસર થઈ શકે છે. પરિણામે, આ નબળાઈઓ અંગેના જ્ઞાનને અસરકારક રીતે સંભાળવું જોઈએ.

2013 ની શરૂઆતમાં ઘણી સંસ્થાઓએ નબળાઈઓની જાણ કેવી રીતે કરવી તે અંગેની નીતિ પ્રકાશિત કરવાનું શરૂ કર્યું. આ પક્ષો સાથે પરામર્શ પછી, નેશનલ સાયબર સિક્યુરિટી સેન્ટર (NCSC) એ ‘જવાબદાર ખુલાસાની પ્રથા સુધી પહોંચવા માટેની માર્ગદર્શિકા’ (‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘માર્ગદર્શિકા’) ના સ્વરૂપમાં વિકાસનો સારાંશ આપ્યો. કંપનીઓ આ નીતિ દ્વારા દર્શાવે છે કે તેઓ બાહ્ય નબળાઈ રિપોર્ટ સ્વીકારવા માટે ખુલ્લી છે, તેમની પૂર્વશરતો વર્ણવે છે અને વચનો આપે છે. આ પ્રક્રિયાએ રિપોર્ટ કરનારા પક્ષો માટે ફોજદારી ગુનો સીધો કર્યા વિના નબળાઈઓની તપાસ કરવા અને જાણ કરવા માટે સ્પષ્ટતા અને કંઈક અંશે સલામત વાતાવરણ ઊભું કર્યું. 2016 માં સાયબર સુરક્ષા પરની EU ઉચ્ચ-સ્તરીય બેઠકમાં, 29 સંસ્થાઓએ NCSC ના સહયોગથી CIO Platform Netherlands અને Rabobank દ્વારા શરૂ કરાયેલા સંકલિત નબળાઈ ખુલાસા ઘોષણાપત્ર (Coordinated Vulnerability Disclosure Manifesto)1 પર હસ્તાક્ષર કરીને નબળાઈઓ સાથે કામ લેવા માટેની નીતિના મહત્વની પુનઃપુષ્ટિ કરી.

સંકલિત નબળાઈ ખુલાસો (CVD) જાહેર અને ખાનગી પક્ષો માટે ખૂબ મહત્વનો સાબિત થયો છે. રોજિંદી પ્રથામાં તેઓ માહિતી સિસ્ટમોના અવિક્ષેપિત કાર્ય પર ઘણો આધાર રાખે છે. તેમની સિસ્ટમોમાંની નબળાઈઓના રિપોર્ટોએ તાજેતરનાં વર્ષોમાં એક તરફ નબળાઈઓ દૂર કરીને અને બીજી તરફ IT સુરક્ષા અંગે ડચ કંપનીઓની સામાન્ય જાગૃતિમાં ફાળો આપીને સિસ્ટમોની સુરક્ષા અને સાતત્ય સુધારવામાં મદદ કરી છે.

તાજેતરનાં વર્ષોમાં સ્પષ્ટ થયું છે કે રિપોર્ટ કરનારા પક્ષો સંસ્થાઓએ ઘડેલી CVD નીતિની શરતોમાં રહીને કામ કરવા તૈયાર છે. રિપોર્ટ કરનારા પક્ષો દ્વારા સંસ્થાઓને સીધા કે આડકતરી રીતે રિપોર્ટ કરવામાં આવે છે. જવાબદાર ખુલાસાની પ્રથાએ દર્શાવ્યું છે કે સારા ઇરાદાવાળા રિપોર્ટ કરનારા પક્ષો અને સંવેદનશીલ સંસ્થાઓ સહકાર કરી શક્યા છે અને આમ નેટવર્ક અને માહિતી સિસ્ટમોની સુરક્ષા વધારવામાં આગળનું પગલું ભરી શક્યા છે.

આ સુધારા માટે, અમે ફરી એકવાર રિપોર્ટ કરનારા પક્ષો, ખાનગી અને જાહેર પક્ષો, તેમજ પબ્લિક પ્રોસિક્યુશન સર્વિસ અને નેશનલ પોલીસના વિશાળ અને વૈવિધ્યસભર જૂથ સાથે વાત કરી. આ વાતચીતોએ વર્તમાન પ્રથાની પુષ્ટિ કરી, અને ઉમેરાઓ તથા સુધારાઓ તરફ દોરી. ધ્યાન આપવા જેવો સૌથી મહત્વનો નવો મુદ્દો નબળાઈ રિપોર્ટ કરનાર અને સંસ્થા વચ્ચે, તેમજ નબળાઈ દૂર થયા પછી અન્ય પક્ષો સાથે, સંવાદ છે.

નીચેના પ્રકરણો CVD ની વ્યાખ્યા, CVD નીતિ માટેના મૂળભૂત ઘટકો અને સંવાદ પ્રક્રિયાની ચર્ચા કરે છે.

નોંધ: અગાઉની માર્ગદર્શિકામાં ‘જવાબદાર ખુલાસો’ શબ્દનો ઉપયોગ થયો હતો, જે તે સમયે આ પ્રથા માટેનો સામાન્ય શબ્દ હતો. દરમિયાન સ્પષ્ટ થયું છે કે આ શબ્દ રિપોર્ટ કરનાર પક્ષની જવાબદારી પર વધુ પડતો ભાર મૂકે છે, જ્યારે મૂળભૂત સિદ્ધાંત એ છે કે રિપોર્ટ કરનાર પક્ષ અને સંભવિત રીતે નબળી સંસ્થા સંવાદમાં સમાન ભાગીદારો હોવા જોઈએ. આ ભાવના વર્તમાનમાં સામાન્ય રીતે વપરાતા શબ્દ ‘સંકલિત નબળાઈ ખુલાસો’ (CVD) માં વધુ સારી રીતે ઝીલાય છે, જે આ પ્રક્રિયા પરના ISO 29147 અને 30111 ધોરણોમાં વપરાયેલું નામ પણ છે.

2. સંકલિત નબળાઈ

છેલ્લાં 30 વર્ષમાં IT સિસ્ટમોમાંની નબળાઈઓ અંગે જાગૃતિ લાવવા માટે વિવિધ પદ્ધતિઓનો ઉપયોગ થયો છે. ઉદાહરણોમાં આનો સમાવેશ થાય છે:

• ‘સંપૂર્ણ ખુલાસો’ (Full Disclosure), નબળાઈને સંપૂર્ણપણે જાહેર કરવી;

• ‘બિન-ખુલાસો’ (Non-disclosure), નબળાઈ વેચવી અથવા જાતે ઉપયોગમાં લેવી;

• ‘સંકલિત નબળાઈ ખુલાસો’ (CVD), નબળાઈનો સંકલિત ખુલાસો.

બાદની પ્રથાને સ્પષ્ટપણે પ્રાધાન્ય આપવામાં આવે છે.

IT સમુદાયે જ્ઞાન અને અનુભવ વહેંચવાની ઘણી તત્પરતા દર્શાવી છે. તેથી આ સમુદાય સાથે સહકાર માંગવાથી સિસ્ટમોની એકંદર સુરક્ષા સુધારવામાં મદદ મળી શકે છે.

સંકલિત નબળાઈ ખુલાસાનો હેતુ

CVD નો હેતુ નબળાઈઓ અંગેનું જ્ઞાન વહેંચીને IT સિસ્ટમોની સુરક્ષામાં ફાળો આપવાનો છે. CVD માં, રિપોર્ટ કરનાર પક્ષના સહયોગથી મળેલી નબળાઈ માટે સંયુક્ત ઉકેલ સુધી પહોંચવા માટે એક કે વધુ સંભવિત રીતે નબળી સંસ્થાઓ સાથે જ્ઞાન વહેંચવામાં આવે છે. નુકસાન કે હાનિને શક્ય તેટલી મર્યાદિત કરવા કે અટકાવવા માટે, અસરગ્રસ્ત સંસ્થાઓ પાસે કોઈપણ નબળાઈઓ દૂર કરવા કે સિસ્ટમોનું રક્ષણ કરવા માટે પૂરતો સમય હોય તે મહત્વનું છે. પ્રક્રિયાનો પાયાનો પથ્થર નિવારણ પછી નબળાઈઓ અંગેના જ્ઞાનનો ખુલાસો છે.

CVD માં એ આવશ્યક છે કે બધા પક્ષો નબળાઈની જાણ કેવી રીતે કરવી અને તેની સાથે કેવી રીતે કામ લેવું તે અંગેના કરારોનું પાલન કરે. સંસ્થા પૂર્વશરતો અગાઉથી પ્રકાશિત કરે તો મદદ મળે છે, જેમ કે કઈ સિસ્ટમો અવકાશમાં છે અને કયા પ્રકારનું સંશોધન થઈ શકે છે. આ પૂર્વશરતો માટેનો એક મહત્વનો સિદ્ધાંત એ છે કે જો તપાસ અને રિપોર્ટિંગ નિર્ધારિત શરતોમાં રહીને કરવામાં આવે તો સંસ્થા સૈદ્ધાંતિક રીતે રિપોર્ટ કરનાર પક્ષ સામે ફરિયાદ નહીં કરે કે અન્ય કાનૂની પગલાં નહીં લે. આ માર્ગદર્શિકા સંસ્થાઓને CVD ના સિદ્ધાંતોને મૂર્ત કરતી પોતાની નીતિ ઘડવામાં માર્ગદર્શન આપે છે.

નામ સૂચવે છે તેમ, CVD માં સંસ્થા અને રિપોર્ટ કરનાર પક્ષ એકબીજા સાથે સંકલન કરે તે કેન્દ્રસ્થાને છે. આ સંદર્ભમાં, નબળાઈની જાણ કરનાર વ્યક્તિ અને સમસ્યા ઉકેલવા માટે જવાબદાર સંસ્થાની અંદરની વ્યક્તિ વચ્ચે શક્ય તેટલી ઓછી કડીઓ હોવી જોઈએ.

જો નબળાઈ ઘણી સિસ્ટમોને અસર કરતી હોય તો એક સાથે ઘણા પક્ષોને જાણ કરવી મહત્વની હોઈ શકે. તે કિસ્સામાં, NCSC કે સુરક્ષા સમુદાયના અન્ય પક્ષો સંકલન ભૂમિકામાંથી CVD પ્રક્રિયાને ટેકો આપી શકે છે.

3. જવાબદારીના ક્ષેત્રો

CVD નીતિ અનુસરવાનો હેતુ રિપોર્ટ કરનારા પક્ષો અને સંસ્થાએ IT સિસ્ટમોમાંની નબળાઈઓ ઘટાડવા સાથે મળીને કામ કરે તે છે. આ નીતિનો અમલ માહિતી સુરક્ષા અંગેના હાલના પગલાંના પૂરક તરીકે જોવો જોઈએ. વિવિધ કર્તાઓની દરેકની પોતાની ભૂમિકા અને જવાબદારીઓ છે. તે નીચે વધુ વિગતે સમજાવવામાં આવી છે.

સિસ્ટમની માલિકી ધરાવતી/સંચાલન કરતી સંસ્થા

સિસ્ટમની માલિકી ધરાવતી/સંચાલન કરતી અથવા પૂરી પાડતી સંસ્થા મુખ્યત્વે આ સિસ્ટમની સુરક્ષા માટે જવાબદાર છે. બીજા શબ્દોમાં, સંસ્થા નબળાઈ રિપોર્ટ પર ફોલોઅપ કરવા માટે પણ જવાબદાર છે.

સંસ્થા આ માર્ગદર્શિકાનો ઉપયોગ કરીને પોતાની CVD નીતિ ઘડવાનું અને સંભવિત રિપોર્ટ કરનારા પક્ષો સાથે આ નીતિની વાતચીત કરવાનું પસંદ કરી શકે છે. CVD નીતિ પ્રકાશિત કરીને, સંસ્થાઓ નબળાઈઓ અંગેની માહિતી સ્વીકારવાની પોતાની તત્પરતા દર્શાવે છે.

CVD નીતિ સ્થાપિત કરતો પક્ષ એ સિદ્ધાંતને પ્રતિબદ્ધ થઈ શકે છે કે નીતિને લાગુ પડતા નિયમોનું પાલન થાય તો તે પોલીસમાં ફરિયાદ નહીં કરે.

એકવાર રિપોર્ટ કરનાર પક્ષે નબળાઈની જાણ કરી દીધી પછી, જવાબદારી સંસ્થા પર રહે છે. એ સમજવું મહત્વનું છે કે રિપોર્ટ કરનાર પક્ષ ઘણીવાર સંસ્થાની બહારની વ્યક્તિ હોય છે. નબળાઈની જાણ થયા પછી શરૂ થઈ શકતી આંતરિક પ્રક્રિયાઓની તેને સીધી દૃશ્યતા હોતી નથી. પરિણામે, નબળાઈના નિરાકરણના વિકાસ અંગે માહિતગાર રહેવાની રિપોર્ટ કરનારા પક્ષો કદર કરશે. ઉકેલના ફોલોઅપ અને સમયસરતા અંગે યોગ્ય અપેક્ષાઓ ઊભી કરવા માટે પણ આ સતત સંવાદ મહત્વનો છે.

નબળાઈની જાણ કરનાર પક્ષ

કોઈ ને કોઈ રીતે, રિપોર્ટ કરનાર પક્ષ નબળાઈ ઓળખી શક્યો છે અને આ નબળાઈ દૂર કરાવીને અને શક્યતઃ પછીના તબક્કે જાહેર કરીને IT સિસ્ટમોની સુરક્ષામાં ફાળો આપવા માંગે છે. રિપોર્ટ કરનાર પક્ષે નિષ્ક્રિય નિરીક્ષણ દ્વારા અથવા IT સિસ્ટમનું સક્રિય પરીક્ષણ કરીને કશુંક શોધ્યું હોઈ શકે. અલબત્ત, આ પક્ષ પોતાની ક્રિયાઓ અને નબળાઈ કઈ રીતે શોધી તે માટે જવાબદાર છે. સંસ્થાએ પોતાની CVD નીતિમાં નિર્ધારિત કરેલી શરતો વિશે જાગૃત રહેવાની જવાબદારી રિપોર્ટ કરનાર પક્ષની પોતાની છે. મોટાભાગની સરકારો અને કંપનીઓએ તેમની CVD નીતિઓ તેમની વેબસાઇટ પર પ્રકાશિત કરી છે.

તેમ છતાં, નબળાઈઓ શોધવામાં કાયદાનો ભંગ સામેલ હોઈ શકે છે. CVD ના સંદર્ભમાં, સંસ્થા અને રિપોર્ટ કરનાર પક્ષ સંમત થઈ શકે છે કે કોઈપણ ફોજદારી કૃત્યો અંગે તેઓ ફરિયાદ નોંધાવશે નહીં. આ સંબંધે, સંસ્થા દ્વારા પ્રકાશિત CVD નીતિ માર્ગદર્શક સિદ્ધાંત છે. પક્ષો એ પણ સંમત થઈ શકે છે કે કોઈ દીવાની કાર્યવાહી કરવામાં નહીં આવે.

જો રિપોર્ટ કરનાર પક્ષ દ્વારા કાયદાનો ભંગ થયો હોવાની શંકા હોય, તો CVD નીતિ સૌ પ્રથમ રિપોર્ટરને સત્તાવાળાઓ સમક્ષ રિપોર્ટ થતો અટકાવવામાં મદદ કરી શકે છે. આ પ્રક્રિયા સંપૂર્ણપણે એ નીતિની પૂર્વશરતો પર આધાર રાખે છે જેનું પાલન સંસ્થા રિપોર્ટ કરનાર પક્ષ પાસે કરાવે છે અને એ પાલન થયું છે કે નહીં તેના પર, શક્યતઃ પક્ષ નીતિની શરતોમાં રહીને કામ કરે ત્યાં સુધી ફોજદારી ફરિયાદ નહીં કરવાના અનુરૂપ વચન સાથે. જો પોલીસ રિપોર્ટ કરવામાં આવે, તો નેધરલેન્ડ્સમાં CVD નીતિનું અસ્તિત્વ અને તેનું પાલન એક સુસંગત સંજોગ છે, જેને પબ્લિક પ્રોસિક્યુટર ફોજદારી તપાસ શરૂ કરવી કે કાર્યવાહી કરવી તે નક્કી કરતી વખતે ધ્યાનમાં લે છે. સૈદ્ધાંતિક રીતે, જો રિપોર્ટ કરનાર પક્ષે સંબંધિત સંસ્થાની CVD નીતિના નિયમોનું સ્પષ્ટપણે પાલન કર્યું હોય, તો પોલીસ અને પબ્લિક પ્રોસિક્યુશન સર્વિસ (OM) ફોજદારી તપાસ શરૂ કરશે નહીં. જો કે, જો એવા સંકેતો હોય કે રિપોર્ટ કરનાર પક્ષ તેની ક્રિયાઓમાં જાણી-જોઈને કે અજાણતાં હદ વટાવી ગયો હોય અને/અથવા CVD નીતિનું પાલન કરવામાં નિષ્ફળ ગયો હોય, તો પબ્લિક પ્રોસિક્યુશન સર્વિસ અને પોલીસ કેસની વધુ તપાસ કરી શકે છે. આ તપાસના આધારે, પબ્લિક પ્રોસિક્યુશન સર્વિસ કાર્યવાહી કરવી કે નહીં તે નક્કી કરી શકે છે.

પબ્લિક પ્રોસિક્યુશન સર્વિસે એક નીતિ પત્ર પ્રકાશિત કર્યો છે જેમાં તે તપાસ કરવા અને/અથવા કાર્યવાહી કરવાનો નિર્ણય લેવામાં મહત્વના પાસાંઓ સાથે વધુ ચોક્કસપણે કામ લે છે. ઉદાહરણ તરીકે, રિપોર્ટ કરનાર પક્ષની ક્રિયાઓ કોઈ મહત્વના જાહેર હિતમાં હતી કે કેમ, પક્ષે અપ્રમાણસર રીતે કામ કર્યું કે કેમ અને પક્ષ કદાચ અન્ય, ઓછી આકરી રીતે કામ કરી શક્યો હોત કે કેમ. સંબંધિત નીતિ પત્ર આ પાસાંઓની વધુ વિગતે વાત કરે છે.2 2013 પછીનો સંબંધિત કેસ કાયદો દર્શાવે છે કે જો સંસ્થા પાસે CVD નીતિ ન હોય તો પણ અદાલતમાં આ પાસાંઓને ધ્યાનમાં લેવામાં આવે છે.3

4. સંકલિત નબળાઈ ખુલાસા પ્રક્રિયાના મૂળભૂત ઘટકો

સંસ્થા, રિપોર્ટ કરનાર અને NCSC માટે CVD પ્રક્રિયાને ઘડવાના મૂળભૂત ઘટકો નીચે આપ્યા છે.

સંસ્થા

CVD ને પ્રોત્સાહન આપવાની શરૂઆત IT સિસ્ટમોની માલિકી ધરાવતી અથવા IT ઉત્પાદન/સિસ્ટમ પૂરી પાડતી સંસ્થાથી થાય છે. છેવટે, આ સંસ્થા મુખ્યત્વે આ IT સિસ્ટમોની માહિતી સુરક્ષા માટે જવાબદાર છે. નબળાઈઓ ઉકેલવા માટે વિવિધ પક્ષો સાથે અસરકારક રીતે કામ કરવા, સંસ્થા CVD નીતિ ઘડવાનું અને પ્રકાશિત કરવાનું નક્કી કરી શકે છે. પોતાની CVD નીતિ ઘડવાથી સંસ્થા દર્શાવી શકે છે કે તે નબળાઈઓના રિપોર્ટ સાથે કેવી રીતે કામ લે છે. આ રીતે, સંસ્થા પોતે કેવી રીતે સૂચનાઓ મેળવવા માંગે છે તેને પણ આકાર આપી શકે છે. આવી પ્રક્રિયા આ રીતે ગોઠવી શકાય:

• સંસ્થા CVD નીતિ સ્થાપિત કરે છે અને પ્રકાશિત કરે છે.

• આ નીતિમાં, સંસ્થા રિપોર્ટ કરનારા પક્ષો જે સંશોધન કરી શકે તે માટે સ્પષ્ટ નિયમો આપે છે, જેમ કે કઈ તકનીકોની મંજૂરી છે અને કઈ સિસ્ટમો અવકાશની અંદર કે બહાર છે.

• સંસ્થા રિપોર્ટ કરનાર પક્ષ માટે રિપોર્ટ કરવાનું સરળ બનાવે છે. એક વિકલ્પ પ્રમાણિત રિપોર્ટિંગ પદ્ધતિનો ઉપયોગ છે; ઉદાહરણ તરીકે, ચોક્કસ ઇમેઇલ સરનામું અથવા ઓનલાઇન ફોર્મ. વધુમાં, સંસ્થા અનામી રિપોર્ટ સ્વીકારવા કે નહીં તે નક્કી કરી શકે છે.

• સંસ્થા આંતરિક ક્ષમતા અનામત રાખે છે અને રિપોર્ટનો યોગ્ય રીતે પ્રતિસાદ આપવા માટે પ્રક્રિયા ગોઠવે છે. મળેલી કોઈપણ નબળાઈઓ યોગ્ય રીતે દૂર કરી શકાય તેવી પ્રક્રિયા ગોઠવવી સલાહભરી છે. આ સંબંધે, રિપોર્ટનું મૂળ અપ્રસ્તુત છે. ઉદાહરણ તરીકે, નબળાઈ આંતરિક કર્મચારી દ્વારા અથવા પરીક્ષણ દરમિયાન પણ ઓળખાઈ હોઈ શકે.

• વ્યવહારુ અનુભવ દર્શાવે છે કે CVD નીતિના પ્રથમ પ્રકાશન પછી સંસ્થાને નબળાઈઓની જાણ કરવામાં વધુ રસ રહેશે. (વધારાની) ક્ષમતાનું આયોજન કરતી વખતે સંસ્થાએ આ ધ્યાનમાં લેવું જોઈએ.

• જ્યારે સંસ્થાને નબળાઈ રિપોર્ટ મળે છે, ત્યારે તે ખાતરી કરે છે કે રિપોર્ટ શક્ય તેટલી જલદી તેનું મૂલ્યાંકન કરવા અને તેની સાથે કામ લેવા માટે સૌથી યોગ્ય વિભાગ સુધી પહોંચે.

• સંસ્થા રિપોર્ટ કરનાર પક્ષને રિપોર્ટની પ્રાપ્તિની સ્વીકૃતિ મોકલે છે, પ્રાધાન્યરૂપે અગ્રતા પર ભાર મૂકવા ડિજિટલ રીતે હસ્તાક્ષરિત.

• ત્યારબાદ, સંસ્થા રિપોર્ટ કરનાર પક્ષ સાથે પરામર્શ કરશે જેથી કોઈપણ પ્રકાશન કઈ સમયગાળામાં થશે તે નક્કી થાય. આ સમયગાળો નબળાઈની પ્રકૃતિ અને સિસ્ટમના પ્રકાર પર ખૂબ આધાર રાખશે.

• માર્ગદર્શક તરીકે, સોફ્ટવેર નબળાઈઓ માટે ઘણીવાર લગભગ 60 દિવસનો સમયગાળો વપરાય છે. હાર્ડવેરમાં નબળાઈઓ દૂર કરવી હાંસલ કરવી વધુ મુશ્કેલ છે; 6 મહિનાની માર્ગદર્શિકા વાપરી શકાય.

• જે સિસ્ટમ માટે નબળાઈની જાણ કરવામાં આવી તેના પર કેટલી ઓછી કે વધુ IT સિસ્ટમો આધાર રાખે છે તેના આધારે, અથવા નબળાઈ ઉકેલવી સરળ કે વધુ મુશ્કેલ છે તેના આધારે, પરસ્પર સંમતિથી આ સમયગાળો લંબાવવો કે ટૂંકો કરવો ઇચ્છનીય હોઈ શકે.

• નબળાઈ ઉકેલવી મુશ્કેલ કે અશક્ય પુરવાર થઈ શકે, અથવા તેને ઉકેલવામાં ઊંચો ખર્ચ સામેલ હોઈ શકે. આવા કિસ્સાઓમાં, સંસ્થા શક્યતઃ રિપોર્ટ કરનાર પક્ષ સાથે પરામર્શમાં, નબળાઈને સ્વીકૃત જોખમ ગણવા અને તેને દૂર ન કરવા સંમત થઈ શકે.

• સંસ્થા રિપોર્ટ કરનાર પક્ષને પ્રક્રિયાના વિકાસ અંગે માહિતગાર રાખશે.

• વધુમાં, સંસ્થા નબળાઈ પ્રકાશિત કરવા બદલ રિપોર્ટ કરનાર પક્ષને જાહેરમાં સ્વીકારવાની ઓફર કરી શકે છે. બહારની દુનિયા સમક્ષ સંયુક્ત ખુલાસા માટે પસંદગી કરવી પણ શક્ય છે.

• જો પક્ષે CVD નીતિના નિયમોનું પાલન કર્યું હોય, તો સિસ્ટમોમાંની નબળાઈઓની જાણ કરવા બદલ રિપોર્ટ કરનાર પક્ષને પુરસ્કૃત કરવું પ્રાધાન્યક્ષમ છે. પુરસ્કારની રકમ રિપોર્ટની ગુણવત્તા પર આધારિત હોઈ શકે. રિપોર્ટ કરનાર પક્ષને પુરસ્કૃત કરવાથી તે પક્ષ અને સંસ્થા વચ્ચે વધુ સારો સંબંધ બની શકે છે, તેમજ CVD નીતિ અનુસાર નવા રિપોર્ટ કરવાની લોકોની તત્પરતા વધી શકે છે.

• રિપોર્ટ કરનાર પક્ષ સાથે પરામર્શમાં, જો નબળાઈ અન્ય સ્થળોએ પણ હાજર હોવાની સંભાવના હોય તો, સંસ્થા વ્યાપક IT સમુદાયને નબળાઈ અંગે જાણ કરવા સંમત થઈ શકે.

• પોતાની CVD નીતિમાં, જો રિપોર્ટ કરનાર પક્ષે નીતિમાં રૂપરેખા આપેલા નિયમોનું પાલન કર્યું હોય, તો સંસ્થા પોતાને એ સિદ્ધાંતને પ્રતિબદ્ધ કરી શકે કે તે પોલીસમાં ફરિયાદ નહીં કરે.

રિપોર્ટ કરનાર પક્ષ

સફળ CVD પ્રક્રિયા માટે રિપોર્ટ કરનાર પક્ષ ચાવીરૂપ છે. કોઈ ને કોઈ રીતે, આ પક્ષ નબળાઈ ઓળખી શક્યો છે, અને સંસ્થા દ્વારા આ નબળાઈ દૂર કરાવીને અને જાહેર કરાવીને IT સિસ્ટમોની સુરક્ષામાં ફાળો આપવા માંગે છે. આમ કરવામાં, રિપોર્ટ કરનારા પક્ષો સ્વીકારે છે કે તેઓ નબળાઈઓને સંકલિત રીતે પ્રગટ કરીને સમાજમાં મહત્વનો ફાળો આપી શકે છે. સફળ CVD પ્રક્રિયા હાંસલ કરવા માટે, રિપોર્ટ કરનાર પક્ષ માટે નીચેના મૂળભૂત ઘટકો મહત્વના છે:

• રિપોર્ટ કરનાર પક્ષ પોતાની ક્રિયાઓ માટે જવાબદાર છે અને નબળાઈઓની તપાસ અને રિપોર્ટિંગ કરતી વખતે પ્રમાણસરતા તેમજ પૂરકતા (subsidiarity) ના સિદ્ધાંતોનું પાલન કરવું જોઈએ. બીજા શબ્દોમાં, રિપોર્ટ કરનાર પક્ષે નબળાઈ દર્શાવવા માટે જે જરૂરી હોય તેનાથી વધુ કરવું ન જોઈએ અને નબળાઈની જાણ હંમેશા પહેલાં સિસ્ટમ/માહિતીના માલિકને કરવી જોઈએ.

• દૂષિત પક્ષો નબળાઈ શોધીને તેનો લાભ ઉઠાવતા અટકાવવા માટે રિપોર્ટ કરનાર પક્ષે સમસ્યાની જાણ શક્ય તેટલી જલદી કરવી જોઈએ.

• અન્ય લોકો આ માહિતી સુધી પહોંચતા અટકાવવા માટે રિપોર્ટ કરનાર પક્ષે સંસ્થાને રિપોર્ટ ગોપનીય રીતે કરવો જોઈએ.

• રિપોર્ટ કરનાર પક્ષ રિપોર્ટ ફાઇલ કરવાને કે વધુ માહિતી આપવાને પુરસ્કાર પર આધારિત બનાવી શકે નહીં. રિપોર્ટના કિસ્સામાં પુરસ્કાર આપવાની પહેલ પ્રાપ્તકર્તા સંસ્થાની છે, જે પોતાની પ્રકાશિત નીતિમાં પૂર્વશરતોની રૂપરેખા આપી શકે છે.

• રિપોર્ટ કરનાર પક્ષ અને સંસ્થા નબળાઈના ખુલાસા અંગે સ્પષ્ટ કરારો કરે છે. જો એકથી વધુ સંસ્થા સામેલ હોય, તો મૂળભૂત સિદ્ધાંત એ છે કે બધી સંસ્થાઓ આ હકીકત સાથે સંમત થાય તો જ નબળાઈઓ પ્રકાશિત થઈ શકે. આ કરારો વહેલા તબક્કે કરવા સલાહભર્યું છે.

• રિપોર્ટ કરનાર પક્ષ અને સંબંધિત સંસ્થા વ્યાપક IT સમુદાયને જાણ કરવા અંગે કરારો કરી શકે છે. ઉદાહરણ તરીકે, આ પરિસ્થિતિ એવી નબળાઈ (જાણીતી હોય કે ન હોય) ને લાગુ પડી શકે જે એક કરતાં વધુ સ્થળોએ હાજર હોવાનું જાણીતું હોય. કેન્દ્ર સરકાર અને નિર્ણાયક માળખાના લક્ષ્ય જૂથોને ટેકો આપવા અથવા ઘણી સિસ્ટમોને અસર કરતી નબળાઈના કિસ્સામાં ઘણા પક્ષોને જાણ કરવા માટે નેશનલ સાયબર સિક્યુરિટી સેન્ટર (NCSC) ને આ પ્રક્રિયામાં સામેલ કરી શકાય.

NCSC

CVD પ્રક્રિયા મુખ્યત્વે સંસ્થાઓ અને રિપોર્ટ કરનારા પક્ષોની બાબત છે. તેમ છતાં, NCSC CVD પ્રક્રિયાના ઉપયોગને પ્રોત્સાહન આપશે. રિપોર્ટ કરનાર પક્ષ અને સંસ્થા સાથે પરામર્શમાં, નબળાઈથી ઊભા થતા વધુ સુરક્ષા જોખમોને મર્યાદિત કરવા માટે NCSC ને તેના ઘટકો સાથે નબળાઈ અંગેની માહિતી વહેંચવામાં પણ સામેલ કરી શકાય.

જો નબળાઈનો રિપોર્ટિંગ રિપોર્ટ કરનાર પક્ષની અપેક્ષા મુજબ ન ચાલે, અથવા જો તેઓ નબળાઈની જાણ સંસ્થાને સીધી ન કરવાનું પસંદ કરે, તો તેઓ NCSC નો સંપર્ક કરી શકે છે.4 આ કિસ્સામાં, જરૂર પડ્યે NCSC મધ્યસ્થી તરીકે કામ કરી શકે છે.

IT સિસ્ટમનો માલિક હંમેશા સિસ્ટમની સુરક્ષા માટે જવાબદાર છે. NCSC સિસ્ટમના માલિકને નબળાઈ દૂર કરવા ફરજ પાડી શકતું નથી, કે માલિક રિપોર્ટ કરનાર પક્ષ સામે કાનૂની પગલાં નહીં લે તેની ખાતરી પણ આપી શકતું નથી. પરિણામે, નબળાઈ શોધતી અને તેની જાણ કરતી વખતે રિપોર્ટ કરનાર પક્ષે સંસ્થાઓ અને રિપોર્ટ કરનારા પક્ષો માટેના ઉપર જણાવેલા મૂળભૂત ઘટકોને ધ્યાનમાં લેવા જોઈએ. રિપોર્ટ કરનાર પક્ષ NCSC પાસેથી અપેક્ષા રાખી શકે કે તે નબળાઈ દૂર કરાવવા માટે શ્રેષ્ઠ પ્રયત્ન કરશે અને રિપોર્ટને ગોપનીય રીતે સંભાળશે. કાયદેસર રીતે ફરજિયાત ન હોય ત્યાં સુધી NCSC કોઈ અંગત ડેટા વહેંચતું નથી.

જો શક્ય હોય, તો સંસ્થાઓ અને રિપોર્ટ કરનારા પક્ષો સાથે પરામર્શમાં નબળાઈઓ અંગે મેળવેલી માહિતીનો ઉપયોગ NCSC IT સમુદાય સાથે જ્ઞાન વધુ વહેંચવા માટે કરશે. ઉદાહરણ તરીકે, તે માહિતીનો અમુક ભાગ પ્રકાશિત કરીને, ફેક્ટ શીટ કે વ્હાઇટ પેપર લખીને કે અપડેટ કરીને, અથવા ચોક્કસ સંસ્થાઓને જાણ કરીને આમ કરી શકે.

• સંબંધિત સંસ્થા અને સ્થાપિત થયેલી નબળાઈની પ્રકૃતિના આધારે, NCSC નબળાઈને સંબંધિત સંસ્થાના ધ્યાન પર લાવવાનો પ્રયત્ન કરશે. જો કે, સંબંધિત IT સિસ્ટમનો માલિક સિસ્ટમ માટે જવાબદાર રહે છે.

• જ્યાં શક્ય અને જરૂરી હોય, ત્યાં NCSC સંબંધિત સંસ્થાને નબળાઈ કેવી રીતે દૂર કરવી તે અંગે સલાહ આપશે.

• NCSC રિપોર્ટને ગોપનીય રીતે સંભાળશે અને, કાનૂની ફરજમાંથી નીકળતું ન હોય ત્યાં સુધી, સંમતિ વિના રિપોર્ટ કરનારા પક્ષો કે પ્રાપ્તકર્તા સંસ્થાનો અંગત ડેટા વહેંચશે નહીં.

• જ્યાં પણ શક્ય હોય, NCSC રિપોર્ટ કરનાર પક્ષને સંસ્થા સાથેના સંપર્કના અને નબળાઈ દૂર કરવાના વિકાસ અંગે માહિતગાર રાખશે.

• જે કિસ્સાઓમાં NCSC ને રિપોર્ટ કરવામાં આવે છે, ત્યાં NCSC રિપોર્ટ કરનાર પક્ષ અથવા સંભવિત રિપોર્ટ કરનાર પક્ષ અને સંસ્થાને એકબીજા સાથે સંપર્કમાં લાવવાનો પ્રયત્ન કરશે.

જો રિપોર્ટ કરનાર પક્ષને, ઉદાહરણ તરીકે, સોફ્ટવેર ઉત્પાદનમાં નબળાઈ મળી હોય અથવા ઘણી જુદી જુદી સિસ્ટમોને અસર કરતી નબળાઈ મળી હોય, તો રિપોર્ટ કરનાર પક્ષ NCSC ને નબળાઈ દૂર કરવાનું અને જાહેર કરવાનું સંકલન કરવા કહી શકે છે.

રિપોર્ટ કરનાર પક્ષ, ભાગીદારો, ડેવલપરો અને/અથવા સોફ્ટવેર ડેવલપરો અને અન્ય સુરક્ષા ટીમો સાથે મળીને, NCSC નબળાઈનું વિશ્લેષણ કરવામાં, તેને દૂર કરવામાં કે દૂર કરાવવામાં, તેનું સંકલન કરવામાં અને તેને નિયંત્રિત રીતે જાહેર કરવામાં મદદ કરશે. આ બધી પ્રક્રિયા નબળાઈ શોધનાર રિપોર્ટ કરનાર પક્ષ સાથે નજીકના પરામર્શમાં થાય છે.

CVD નીતિ નબળાઈઓ શક્ય તેટલી જલદી જાહેર કરવાના મહત્વ, જેથી પગલાં લઈ શકાય, અને ડેવલપરો તેમજ સપ્લાયરો પાસે નબળાઈ દૂર કરવા માટે પૂરતો સમય હોય તેના મહત્વ વચ્ચે સંતુલન સાધવાનો પ્રયત્ન કરે છે. આ પ્રક્રિયા માટે, NCSC રિપોર્ટ અને જાહેર ખુલાસા વચ્ચે 60 દિવસનો પ્રમાણભૂત સમયગાળો વાપરે છે. જો કે, એવા સંજોગો હોઈ શકે જેમાં આ સમયગાળો લંબાવવાનો કે ટૂંકો કરવાનો નિર્ણય લેવાય.

NCSC નબળાઈ અંગેની માહિતી ત્રીજા પક્ષો સાથે રિપોર્ટ કરનાર પક્ષ સાથે પરામર્શ પછી જ વહેંચશે. આ સંદર્ભમાં એ આવશ્યક છે કે NCSC સહકાર કરે અને તેથી નબળાઈ અંગેની માહિતી હિતધારકો સાથે વહેંચે, જેથી નબળાઈ સંકલિત રીતે જાહેર થાય. આમ કરતી વખતે NCSC ખાતરી કરશે કે યોગ્ય પક્ષો નબળાઈ દૂર કરવા પર કામ કરી શકે, કોઈપણ નુકસાન કે હાનિ મર્યાદિત કરવામાં મદદ કરે અને મળેલી નબળાઈ તરફ ધ્યાન દોરવામાં મદદ કરે.

5. સંવાદ અને ખુલાસા પ્રક્રિયા

પાંચ વર્ષની પ્રથાએ દર્શાવ્યું છે કે સ્પષ્ટ સંવાદ સફળ CVD પ્રક્રિયાનો પાયાનો પથ્થર છે. CVD પ્રક્રિયા દરમિયાન, તે પહેલાં અને પછી ધ્યાન આપવાના મુદ્દાઓ છે.

ખુલાસા પ્રક્રિયા અંગેનો સંવાદ

CVD નીતિ પ્રકાશિત કરવી એ પ્રક્રિયા અંગે સંવાદ કરવાનું પ્રથમ પગલું છે. નીતિ જાહેરમાં પ્રકાશિત કરીને, રિપોર્ટ કરનારા પક્ષોને મળેલી કોઈપણ નબળાઈઓ અંગે સંસ્થાને જાણ કરવા આમંત્રણ આપવામાં આવે છે.

એક તરફ, સંસ્થા નબળાઈઓ શોધવા માટે કરાતા સંશોધન અને સંપર્ક કેવી રીતે કરવો તે માટે શરતો ઘડી શકે છે. બીજી તરફ, નીતિના નિયમોનું પાલન થાય તો તે પોલીસમાં ફરિયાદ નહીં કરે તે સિદ્ધાંતને સંસ્થા પોતાને પ્રતિબદ્ધ કરી શકે છે. આ અભિગમ રિપોર્ટ કરનાર પક્ષની સ્થિતિનું રક્ષણ કરે છે.

CVD નીતિ પછીની તારીખે બદલી કે અપડેટ કરી શકાય. આ સંબંધે ફેરફારો અંગે સ્પષ્ટ રહેવું મહત્વનું છે. રિપોર્ટ કરનારા પક્ષોને શું અને ક્યારે બદલાયું તે જાણવામાં રસ હોય છે. ઉદાહરણ તરીકે, CVD નીતિની શરૂઆતમાં પ્રકાશન તારીખ સામેલ કરીને, CVD નીતિ હેઠળ ફેરફારોનો સારાંશ વર્ણવીને, અથવા CVD નીતિના જૂના સંસ્કરણોનું આર્કાઇવ રાખીને ફેરફારો સ્પષ્ટ કરી શકાય.

CVD નીતિ પ્રક્રિયા દરમિયાન કેવી રીતે સંવાદ કરવો તે અંગે માર્ગદર્શિકા આપી શકે, જેમ કે ઇમેઇલ કે વેબ પોર્ટલ દ્વારા નિયમિત અપડેટ દર્શાવીને. વધુમાં, CVD નીતિ વર્ણવી શકે કે અપડેટના પ્રસંગે રિપોર્ટરનો ઉલ્લેખ કરીને, હોલ ઓફ ફેમમાં પ્રવેશ આપીને કે પુરસ્કારના અન્ય કોઈ સ્વરૂપ દ્વારા રિપોર્ટરને કેવી રીતે સ્વીકારી શકાય.

ખુલાસા પ્રક્રિયા દરમિયાનનો સંવાદ

રિપોર્ટ કરનાર પક્ષ સંસ્થાને સંદેશ મોકલીને CVD પ્રક્રિયા શરૂ કરે છે. આ સંદેશમાં, રિપોર્ટ કરનાર પક્ષ શોધાયેલી નબળાઈનું સ્પષ્ટ વર્ણન આપે છે. મહત્વના તત્ત્વો અસરગ્રસ્ત સિસ્ટમનું IP સરનામું કે URL અને નબળાઈને ફરીથી ઉત્પન્ન કરવા માટેનાં જરૂરી પગલાં છે.

સંસ્થા માટે રિપોર્ટ કરનાર પક્ષ સાથે સ્પષ્ટ રીતે સંવાદ કરવો મહત્વનો છે જેથી પ્રક્રિયા અંગેની અપેક્ષાઓ સ્પષ્ટ હોય.

તે પ્રાપ્તિની સ્વીકૃતિ (સ્વચાલિત કે અન્ય રીતે) મોકલીને આમ કરી શકે જેમાં પ્રારંભિક કે ત્યારબાદનો વાસ્તવિક પ્રતિસાદ કઈ મુદતમાં મોકલાશે તેનો સંકેત હોય.

આ સમયગાળો ખુલ્લો છોડવો અને રિપોર્ટની સામગ્રીનું મૂલ્યાંકન કર્યા પછી મુદતનો પ્રારંભિક સંકેત આપવો પણ શક્ય છે. ઉકેલ કયા સમયગાળામાં હાંસલ કરી શકાય તે અંગે શક્ય તેટલી જલદી સ્પષ્ટ થવું સલાહભર્યું છે. આ રીતે, રિપોર્ટરને ખબર પડે છે કે પરિણામની અપેક્ષા ક્યારે રાખી શકાય.

કેટલાક કિસ્સાઓમાં એવું બની શકે કે રિપોર્ટ કરનાર પક્ષ માટે પ્રકાશન તારીખ પહેલેથી સ્પષ્ટ હોય; ઉદાહરણ તરીકે, કોઈ પરિષદમાં પ્રસ્તુતિને કારણે અથવા રિપોર્ટ કરનાર પક્ષે પોતાની મુદત નક્કી કરી હોવાને કારણે. આ કિસ્સામાં, રિપોર્ટ કરનાર પક્ષ આ સમયરેખા સ્પષ્ટ રીતે જણાવે, શક્ય તેટલી વહેલી જણાવે અને આ તારીખ મુલતવી રાખવાની શક્યતા/અશક્યતા અંગે સ્પષ્ટ રહે તે હજુ પણ મહત્વનું છે.

રિપોર્ટ કરનાર પક્ષ ઘણીવાર સંસ્થાની બહારની વ્યક્તિ હોય છે, જેને રિપોર્ટથી શરૂ થઈ શકતી આંતરિક પ્રક્રિયાઓની કોઈ સમજ હોતી નથી. સંસ્થાઓ નિયમિત અપડેટ દ્વારા રિપોર્ટ કરનાર પક્ષને પ્રક્રિયાના વિકાસ અંગે માહિતગાર રાખી શકે છે. આ અભિગમ રિપોર્ટ કરનાર પક્ષને સ્પષ્ટ કરે છે કે ઉકેલ પર કામ ચાલી રહ્યું છે. જ્યાં જરૂરી હોય, ત્યાં સંસ્થા પ્રક્રિયા દરમિયાન સ્પષ્ટતા માંગી શકે અથવા ઉકેલનું પરીક્ષણ કરવા કહી શકે.

જો સંસ્થા પ્રારંભિક નિરાકરણ સમયમર્યાદા પૂરી કરવામાં અસમર્થ હોય, તો તેને મુલતવી રાખવા અંગે રિપોર્ટર સાથે ચર્ચા કરી શકાય. નિયમિત સંવાદ આ પરિસ્થિતિ રિપોર્ટરને વહેલા તબક્કે સ્પષ્ટ કરી શકે છે.

CVD નો મુખ્ય ઈરાદો નબળાઈને હળવી કરવાનો છે, પરંતુ જો રિપોર્ટ કરનાર પક્ષને લાગે કે પ્રક્રિયા ખૂબ લાંબી ચાલશે, તો નબળાઈનો ‘સંપૂર્ણ ખુલાસો’ હંમેશા તેના માટે એક વિકલ્પ છે. આ પગલું રિપોર્ટ કરનાર પક્ષ પાસે ઉપલબ્ધ કહેવતરૂપ ‘મોટી લાકડી’ છે. સ્વાભાવિક રીતે, આ પરિસ્થિતિ શક્ય તેટલી ટાળવી જોઈએ.

ખુલાસા પ્રક્રિયા પછીનો સંવાદ

રિપોર્ટ કરનાર પક્ષ નબળાઈઓ શોધે અને પછી CVD પ્રક્રિયા દ્વારા સંસ્થાઓને તેની જાણ કરે તેના ઘણાં સંભવિત કારણો છે. રિપોર્ટ કરનારા મોટી સંખ્યામાં પક્ષો માટે, (જાહેર) માન્યતા એક મહત્વનું પ્રોત્સાહન છે.

રિપોર્ટ કરનારા પક્ષોને અપડેટમાં આભાર દ્વારા અથવા હોલ ઓફ ફેમમાં પ્રવેશ દ્વારા જાહેર માન્યતા મળે છે. જો કે, જાહેર માન્યતાની જરૂરિયાત બધા રિપોર્ટ કરનારા પક્ષોને લાગુ પડતી નથી; કેટલાક તો જનતા સમક્ષ જાણીતા થવા માંગતા જ નથી. તેથી સંસ્થા દ્વારા સંવાદના કિસ્સામાં, રિપોર્ટ કરનાર પક્ષનું નામ આપવા માટે તેની સંમતિ મેળવવી સલાહભર્યું છે.

વધુમાં, રિપોર્ટ કરનારા પક્ષો CVD પ્રક્રિયા પૂર્ણ થયા પછી રિપોર્ટ અંગે સંવાદ કરવાનું પણ નક્કી કરી શકે છે. ઉદાહરણ તરીકે, રિપોર્ટ કરનાર પક્ષ શોધ પ્રક્રિયાનું વર્ણન કરી શકે અથવા અન્ય લોકોને નબળાઈ અંગે ચેતવણી આપી શકે. રિપોર્ટર માહિતીના હેતુઓ માટે પ્રકાશન સંસ્થાને સુપરત કરવાનું નક્કી કરી શકે. નબળાઈ દૂર થયા પછી CVD પ્રક્રિયા સૈદ્ધાંતિક રીતે પૂર્ણ થતી હોવાથી, નીતિમાં કે પ્રક્રિયા દરમિયાન વધારાના કરારો ન કરાયા હોય તો, રિપોર્ટ કરનાર પક્ષ ત્યારબાદ તેના વિશે સંવાદ કરવા માટે મુક્ત છે.

યાદી

ખુલાસા પ્રક્રિયા અંગેનો સંવાદ

• વેબસાઇટ પર CVD નીતિનું પ્રકાશન

• પ્રતિબંધો અંગે સ્પષ્ટ રહો (વિવિધ અભિગમો માટે પ્રકરણ 6 જુઓ)

• તપાસ પદ્ધતિઓમાં પ્રતિબંધો

• સંવાદ અંગે માર્ગદર્શિકા

• સંભવિત પુરસ્કારો અંગે માર્ગદર્શિકા: હોલ ઓફ ફેમ, નાણાકીય પુરસ્કાર, ટી-શર્ટ વગેરે.

• ફેરફારોની તારીખ સહિત, CVD નીતિના કોઈપણ અપડેટ અંગે સ્પષ્ટ રહો

ખુલાસા પ્રક્રિયા દરમિયાનનો સંવાદ

• રિપોર્ટર શોધાયેલી નબળાઈ અંગે સંસ્થાનો સંપર્ક કરે છે.

• સંસ્થા અપેક્ષાઓનું સંચાલન કરે છે, જેમ કે પ્રથમ તકનીકી પ્રતિસાદ માટેનો પ્રતિસાદ સમય

• સંસ્થા અને રિપોર્ટર અપેક્ષિત નિરાકરણ સમયગાળા અંગે એકબીજાને સ્પષ્ટતા આપે છે

• સંસ્થા વારંવાર (પ્રક્રિયા) અપડેટ આપે છે

• જ્યાં જરૂરી હોય, ત્યાં રિપોર્ટર અને સંસ્થા અન્ય સંબંધિત સંસ્થાઓનો સંપર્ક કરવા અંગે ચર્ચા કરે છે

ખુલાસા પ્રક્રિયા પછીનો સંવાદ

• રિપોર્ટરની (જાહેર) માન્યતા અને પુરસ્કાર અંગે ચર્ચા કરો

• નબળાઈ અંગેની માહિતી કેવી રીતે પ્રકાશિત થશે તેની ગોઠવણ કરો, જેમ કે સંશોધન તબક્કો કે અન્ય સંસ્થાઓને જાણ કરવી

6. સંકલિત નબળાઈ ખુલાસા નીતિના ઉદાહરણો

સંકલિત નબળાઈ ખુલાસા અંગે નીતિ લખાણોના ઘણા જુદા જુદા સ્વરૂપો છે. પ્રકાશિત CVD નીતિ સંભવિત રિપોર્ટ કરનારા પક્ષો માટે દિશાસૂચક તરીકે કામ કરતી હોવાથી, ખાતરી કરો કે આ નીતિનું સ્વરૂપ સંસ્થાની નીતિ અને વ્યૂહરચના સાથે સુસંગત છે.

CVD નીતિમાં નીચેના તત્ત્વો મહત્વના છે:

• સુરક્ષિત સંવાદ માટેની સંપર્ક પદ્ધતિ;

• રિપોર્ટ કરનારા પક્ષો માટેની પૂર્વશરતો;

• રિપોર્ટને સંભાળવા અંગેની સ્પષ્ટ અપેક્ષાઓ;

• રિપોર્ટને પુરસ્કૃત કરવાની પદ્ધતિ;

• સંસ્કરણ નંબર અને તાજેતરના સુધારાની તારીખ.

નીચે ત્રણ ઉદાહરણો છે: નેધરલેન્ડ્સની ઘણી સંસ્થાઓએ ResponsibleDisclosure.nl ના મૂળભૂત ઉદાહરણમાંથી લીધું છે. અન્ય સંસ્થાઓ વધારાની પૂર્વશરતો સામેલ કરે છે, Fox IT ની નીતિ જુઓ. હજુ અન્ય સંસ્થાઓ તેમના લક્ષ્ય પ્રેક્ષકો સાથે સુસંગત થવા વધુ મુક્ત સ્વરૂપ અપનાવે છે, Bits of Freedom ની નીતિ જુઓ.

ઉદાહરણ: ResponsibleDisclosure.nl

આ લખાણ Floor Terra દ્વારા લખાયેલું છે અને Creative Commons Attribution 3.0 Unported લાઇસન્સ હેઠળ પ્રકાશિત થયેલું છે.

Acme Corporation માં, અમે અમારી સિસ્ટમોની સુરક્ષાને સર્વોચ્ચ પ્રાથમિકતા ગણીએ છીએ. પરંતુ સિસ્ટમ સુરક્ષા માટે અમે ગમે તેટલો પ્રયત્ન કરીએ, નબળાઈઓ હજુ પણ હાજર હોઈ શકે છે.

જો તમે કોઈ નબળાઈ શોધો, તો અમે તેના વિશે જાણવા માંગીએ છીએ જેથી અમે તેનો શક્ય તેટલો ઝડપથી ઉકેલ લાવવાનાં પગલાં લઈ શકીએ.

અમે તમને અમારા ગ્રાહકો અને અમારી સિસ્ટમોનું વધુ સારું રક્ષણ કરવામાં મદદ કરવા વિનંતી કરીએ છીએ.

કૃપા કરીને નીચે મુજબ કરો:

• તમારા તારણો cert@example.com પર ઇમેઇલ કરો. આ મહત્વપૂર્ણ માહિતી ખોટા હાથમાં ન પડે તે માટે અમારી PGP કીનો ઉપયોગ કરીને તમારા તારણો એન્ક્રિપ્ટ કરો,

• તમે શોધેલી નબળાઈ કે સમસ્યાનો લાભ ન ઉઠાવો, ઉદાહરણ તરીકે નબળાઈ દર્શાવવા માટે જરૂર કરતાં વધુ ડેટા ડાઉનલોડ કરીને અથવા અન્ય લોકોનો ડેટા કાઢી નાખીને કે બદલીને,

• સમસ્યાનો ઉકેલ ન આવે ત્યાં સુધી તે અન્ય લોકો સમક્ષ જાહેર ન કરો,

• ભૌતિક સુરક્ષા પરના હુમલા, સોશિયલ એન્જિનિયરિંગ, વિતરિત સેવા અવરોધ, સ્પામ કે ત્રીજા પક્ષની એપ્લિકેશનોનો ઉપયોગ ન કરો, અને

• સમસ્યાને ફરીથી ઉત્પન્ન કરવા માટે પૂરતી માહિતી આપો, જેથી અમે તેનો શક્ય તેટલો ઝડપથી ઉકેલ લાવી શકીએ. સામાન્ય રીતે, અસરગ્રસ્ત સિસ્ટમનું IP સરનામું કે URL અને નબળાઈનું વર્ણન પૂરતું હશે, પરંતુ જટિલ નબળાઈઓને વધુ સ્પષ્ટતાની જરૂર પડી શકે છે.

અમે શું વચન આપીએ છીએ:

• અમે તમારા રિપોર્ટનો 3 કાર્ય દિવસમાં રિપોર્ટના અમારા મૂલ્યાંકન અને અપેક્ષિત ઉકેલ તારીખ સાથે જવાબ આપીશું,

• જો તમે ઉપરની સૂચનાઓનું પાલન કર્યું હશે, તો અમે રિપોર્ટ સંબંધે તમારી સામે કોઈ કાનૂની કાર્યવાહી કરીશું નહીં,

• અમે તમારા રિપોર્ટને કડક ગોપનીયતા સાથે સંભાળીશું, અને તમારી પરવાનગી વિના તમારી અંગત વિગતો ત્રીજા પક્ષોને આપીશું નહીં,

• અમે સમસ્યાના ઉકેલ તરફની પ્રગતિ વિશે તમને માહિતગાર રાખીશું,

• જાણ કરાયેલી સમસ્યા અંગેની જાહેર માહિતીમાં, અમે સમસ્યાના શોધનાર તરીકે તમારું નામ આપીશું (સિવાય કે તમે અન્યથા ઇચ્છો), અને

• તમારી મદદ બદલ કૃતજ્ઞતાની નિશાની તરીકે, અમને હજુ સુધી અજાણી હોય તેવી સુરક્ષા સમસ્યાના દરેક રિપોર્ટ માટે અમે પુરસ્કાર આપીએ છીએ. પુરસ્કારની રકમ લીકની ગંભીરતા અને રિપોર્ટની ગુણવત્તાના આધારે નક્કી કરવામાં આવશે. ન્યૂનતમ પુરસ્કાર €50 નું ગિફ્ટ સર્ટિફિકેટ હશે.

અમે બધી સમસ્યાઓનો શક્ય તેટલો ઝડપથી ઉકેલ લાવવા પ્રયત્ન કરીએ છીએ, અને સમસ્યાનો ઉકેલ આવ્યા પછી તેના પરના અંતિમ પ્રકાશનમાં અમે સક્રિય ભૂમિકા ભજવવા માંગીએ છીએ.

ઉદાહરણ: Fox-IT

Fox-IT માં, અમે અમારી સિસ્ટમો, અમારા નેટવર્ક અને અમારા ઉત્પાદનોની સુરક્ષાને સર્વોચ્ચ મહત્વની ગણીએ છીએ. સુરક્ષા અંગે અમે ખૂબ કાળજી લેતા હોવા છતાં, નબળા બિંદુઓ હજુ રહી શકે છે. જો તમને આવી નબળાઈ મળી હોય, તો અમે તેના વિશે શક્ય તેટલી જલદી જાણવા માંગીએ છીએ જેથી અમે શક્ય તેટલી ઝડપથી યોગ્ય પગલાં લઈ શકીએ.

નબળા બિંદુઓ બે રીતે શોધી શકાય છે: તમે ડિજિટલ વાતાવરણના સામાન્ય ઉપયોગ દરમિયાન અકસ્માતે કશુંક શોધી શકો છો, અથવા તમે તેમને શોધવા માટે સ્પષ્ટપણે પ્રયત્ન કરી શકો છો.

અમારી જવાબદાર ખુલાસા નીતિ નબળા બિંદુઓ શોધવા માટે અમારા વ્યવસાયિક નેટવર્કને સક્રિય રીતે સ્કેન કરવાનું આમંત્રણ નથી. અમે અમારા વ્યવસાયિક નેટવર્ક પર જાતે નજર રાખીએ છીએ. આનો અર્થ એ છે કે સ્કેન પકડાવાની અને અમારા સિક્યુરિટી ઓપરેશન સેન્ટર (SOC) દ્વારા તપાસ કરવાની ઊંચી શક્યતા છે, જેનાથી બિનજરૂરી ખર્ચ થઈ શકે છે. જો કે, તમને અમારા ઉત્પાદનોમાં નબળાઈઓ ઓફલાઇન નોન-પ્રોડક્શન વાતાવરણમાં સક્રિય રીતે શોધવા અને તમારા તારણો અમને જણાવવા આમંત્રણ છે. અમારા ગ્રાહકો પ્રત્યેની અમારી જવાબદારીનો અર્થ એ છે કે તેમના માળખા પર હેકિંગના પ્રયાસોને પ્રોત્સાહન આપવાનો અમારો ઇરાદો નથી; જો કે, જો નબળાઈઓ મળે તો અમે શક્ય તેટલી જલદી તમારી પાસેથી સાંભળવા માંગીએ છીએ, જેથી અમે તેમનો યોગ્ય રીતે ઉકેલ લાવી શકીએ.

અમારા ગ્રાહકો અને અમારી સિસ્ટમોનું વધુ સારી રીતે રક્ષણ કરવા માટે અમે તમારી સાથે કામ કરવા માંગીએ છીએ.

અમે તમને વિનંતી કરીએ છીએ કે:

• તમારા તારણો શક્ય તેટલી જલદી security-alert@fox-it.com પર ઇમેઇલ કરો.

• નબળાઈનો દુરુપયોગ ન કરો; ઉદાહરણ તરીકે, ડેટા ડાઉનલોડ કરીને, સંપાદિત કરીને કે કાઢી નાખીને. અમે હંમેશા તમારા રિપોર્ટને ગંભીરતાથી લઈશું અને પુરાવા વિના પણ નબળાઈની કોઈપણ શંકાની તપાસ કરીશું.

• સમસ્યાનો ઉકેલ ન આવે ત્યાં સુધી તે અન્ય લોકો સાથે વહેંચશો નહીં.

• ભૌતિક સુરક્ષા પરના હુમલા, સોશિયલ એન્જિનિયરિંગ કે નબળાઈ સ્કેનર જેવા હેકિંગ ટૂલ્સનો ઉપયોગ ન કરો.

• સમસ્યાને ફરીથી ઉત્પન્ન કરી શકાય તે માટે પૂરતી માહિતી આપો જેથી અમે તેનો શક્ય તેટલો ઝડપથી ઉકેલ લાવી શકીએ. સામાન્ય રીતે, અસરગ્રસ્ત સિસ્ટમનું IP સરનામું કે URL અને નબળાઈનું વર્ણન પૂરતું હોય છે, જોકે વધુ જટિલ નબળાઈઓ માટે વધુ માહિતીની જરૂર પડી શકે છે.

અમે શું વચન આપીએ છીએ:

• અમે તમારા રિપોર્ટનો ત્રણ કાર્ય દિવસમાં રિપોર્ટના અમારા મૂલ્યાંકન અને અપેક્ષિત ઉકેલ તારીખ સાથે જવાબ આપીશું.

• અમે તમારા રિપોર્ટને ગોપનીય રીતે સંભાળીશું, અને તમારી પરવાનગી વિના તમારી અંગત માહિતી ત્રીજા પક્ષો સાથે વહેંચીશું નહીં. આમાં અપવાદ પોલીસ અને ન્યાયતંત્ર છે, કાર્યવાહીના કિસ્સામાં અથવા જો માહિતીની માંગ કરવામાં આવે.

• અમે સમસ્યાના ઉકેલની પ્રગતિ વિશે તમને માહિતગાર રાખીશું.

• જાણ કરાયેલી સમસ્યા વિશેના સંવાદમાં, જો તમે ઇચ્છો તો, અમે સમસ્યા શોધનાર પક્ષ તરીકે તમારું નામ જણાવીશું.

• કમનસીબે, તમારી સામે કોઈ કાનૂની કાર્યવાહી નહીં થાય તેની અગાઉથી ખાતરી આપવી શક્ય નથી. અમને આશા છે કે અમે દરેક પરિસ્થિતિને વ્યક્તિગત રીતે ધ્યાનમાં લઈ શકીશું. જો અમને શંકા હોય કે નબળાઈ કે ડેટાનો દુરુપયોગ થઈ રહ્યો છે, અથવા તમે નબળાઈનું જ્ઞાન અન્ય લોકો સાથે વહેંચ્યું છે, તો તમારી જાણ કરવી એ અમે અમારી નૈતિક ફરજ માનીએ છીએ. તમે ખાતરી રાખી શકો કે અમારા ઓનલાઇન વાતાવરણમાં અકસ્માતે થયેલી શોધથી કાર્યવાહી નહીં થાય.

• તમારી મદદ બદલ આભાર સ્વરૂપે, અમને અજાણી હોય તેવી સુરક્ષા સમસ્યાના દરેક રિપોર્ટ માટે અમે પુરસ્કાર આપીએ છીએ. અમે ભંગની ગંભીરતા અને રિપોર્ટની ગુણવત્તાના આધારે પુરસ્કારનું મૂલ્ય નક્કી કરીએ છીએ.

અમે બધી સમસ્યાઓનો શક્ય તેટલો ઝડપથી ઉકેલ લાવવા, સંબંધિત બધા પક્ષોને માહિતગાર રાખવા પ્રયત્ન કરીએ છીએ, અને સમસ્યાનો ઉકેલ આવ્યા પછી તેના વિશેના કોઈપણ પ્રકાશનમાં સામેલ થવા માંગીએ છીએ.

ઉદાહરણ: Bits of Freedom

ડિજિટલ માળખા પરની આપણી નિર્ભરતા સતત વધી રહી છે. આ સમગ્ર સમાજને લાગુ પડે છે, પણ આપણને પોતાને પણ. તેથી અમારો અભિપ્રાય છે કે સરકારો અને સંસ્થાઓએ (અમારી સહિત) આપણા ડિજિટલ માળખાને સુરક્ષિત કરવા માટે દૃઢતાથી પ્રતિબદ્ધ થવું જોઈએ. અમે સમજીએ છીએ કે અમારા શ્રેષ્ઠ ઇરાદા અને સૌથી વધુ કાળજી છતાં, અમારી સિસ્ટમોમાં નબળાઈઓ હોઈ શકે છે. જો તમને આમાંની કોઈ નબળાઈ મળી જાય, તો અમને તમારી પાસેથી સાંભળવું ગમશે જેથી અમે સમસ્યાનો ઉકેલ લાવી શકીએ.

અમે તમારી પાસેથી શું અપેક્ષા રાખીએ છીએ

• જ્યારે તમે અમારી કોઈ સિસ્ટમની તપાસ કરી રહ્યા હો, ત્યારે હુમલાની પ્રમાણસરતાનું ધ્યાન રાખો. અમારી વેબસાઇટને ઇન્ટરનેટના ઇતિહાસના સૌથી મોટા DDoS હુમલાને આધીન કરવાથી સાઇટ અપ્રાપ્ય બની શકે છે એ દર્શાવવાની જરૂર નથી. અમે તે જાણીએ છીએ. અમે એ પણ સમજીએ છીએ કે જો તમે અમારી ઓફિસમાં બુલડોઝર ઘુસાડી દો, તો તમે કદાચ અમારા કોઈ લેપટોપને ઝૂંટવી શકશો.

• પ્રમાણસરતાનો આ સિદ્ધાંત નબળાઈ દર્શાવતી વખતે પણ સુસંગત છે. તમારા તારણની માન્યતા ચકાસવા માટે જે સખત રીતે જરૂરી હોય તેના કરતાં વધુ ડેટાની તપાસ કે ફેરફાર તમારે ન કરવા જોઈએ. ઉદાહરણ તરીકે, જો તમે અમારું હોમપેજ બદલી શકો, તો આખું પેજ કબજે કરવાને બદલે તેમાં ફક્ત એક બિન-વિવાદાસ્પદ શબ્દ ઉમેરો. જો તમે ડેટાબેઝની ઍક્સેસ મેળવી શકો, તો તેમાં રહેલા ટેબલોની યાદી, અથવા કદાચ તે ટેબલોમાંના એકનો પહેલો રેકોર્ડ બતાવવો પૂરતું છે.

• અમારી કોઈ સિસ્ટમમાંની નબળાઈની જાણ શક્ય તેટલી જલદી security@bof.nl પર ઇમેઇલ મોકલીને કરવી જોઈએ. પ્રાધાન્યરૂપે તમે તમારો સંદેશ OpenPGP વડે એન્ક્રિપ્ટ કરો. કૃપા કરીને પૂરતી માહિતી આપો જેથી અમે સમસ્યાને ફરીથી ઉત્પન્ન કરી તેની તપાસ કરી શકીએ.

• security@bof.nl માટેની જાહેર OpenPGP કી

• જ્યાં સુધી અમે સમસ્યાનો ઉકેલ ન લાવીએ અને તમે સમસ્યાની જાણ કર્યા પછી હજુ વાજબી સમયમર્યાદામાં હોઈએ ત્યાં સુધી તમે નબળાઈ અંગેનું તમારું જ્ઞાન અન્ય પક્ષો સાથે વહેંચશો નહીં.

• અમે નબળાઈનો ઉકેલ લાવીએ કે તરત તમે તમારી તપાસ દરમિયાન મેળવેલી બધી ગોપનીય માહિતી કાઢી નાખશો.

તમે અમારી પાસેથી શું અપેક્ષા રાખી શકો

• અમે તમારા રિપોર્ટનો ત્રણ દિવસમાં વિગતવાર રીતે જવાબ આપીશું. સમસ્યાનો ઉકેલ લાવવા માટે અમને જરૂરી સમયનો અંદાજ અમે તેમાં સામેલ કરીશું. અલબત્ત, અમે અમારી પ્રગતિ વિશે તમને નિયમિત રીતે માહિતગાર રાખીશું.

• અમે નબળાઈનો શક્ય તેટલો ઝડપથી ઉકેલ લાવીશું. અહીં પણ પ્રમાણસરતા મહત્વની છે: નબળાઈ સુધારવા માટે જરૂરી સમય અનેક પરિબળો પર આધાર રાખે છે, જેમાં સમસ્યાની ગંભીરતા અને જટિલતાનો સમાવેશ થાય છે.

• જ્યારે તમે અહીં આપેલી માર્ગદર્શિકાનું પાલન કરશો, ત્યારે અમે તમારા રિપોર્ટ સંબંધે તમારી સામે કોઈ કાનૂની કાર્યવાહી કરીશું નહીં.

• તમે જે કર્યું તેનો શ્રેય તમને આપવો અમારા માટે મહત્વનું છે - જો તમે ઇચ્છો તો. નબળાઈ અંગેના કોઈ પ્રકાશનમાં અમે તમારું નામ ફક્ત ત્યારે જ ઉલ્લેખીશું જો તમે તેની સંમતિ આપો.

• અમારી સિસ્ટમોનું વધુ સારું રક્ષણ કરવામાં મદદ કરવા બદલ આભાર સ્વરૂપે, તે સમયે અમને અજાણી હોય તેવી નબળાઈના દરેક રિપોર્ટને અમે પુરસ્કૃત કરવા માંગીએ છીએ. પુરસ્કાર નબળાઈની ગંભીરતા અને રિપોર્ટની ગુણવત્તા પર આધારિત રહેશે.

જો તમને અમે વાપરતા ત્રીજા પક્ષના સોફ્ટવેરમાં નબળાઈ મળે અને તે નબળાઈ બગ બાઉન્ટી પ્રોગ્રામ હેઠળ આવરી લેવાઈ હોય, તો અમે આ બાઉન્ટીનો દાવો કરવાનો પ્રયાસ કરીશું નહીં; તમારે કરવો જોઈએ.