Coordinated vulnerability disclosure
← Manufofi

NCSC.nl

1. Gabatarwa

Al'umma tana ƙara komawa dijital. A yau, kusan dukkan matakai suna ƙunsar amfani da kwamfutoci a wani lokaci, tun daga wayoyin hannu har zuwa manhajoji na musamman. Duk da cewa wannan ci gaba yana haifar da sababbin dama da yawa, raunin tsaro a tsarukan IT na iya yin babban tasiri. Saboda haka, ya kamata a tafiyar da ilimi game da waɗannan raunin tsaro yadda ya kamata.

Wasu ƙungiyoyi sun fara buga manufa kan yadda ake bayar da rahoton raunin tsaro a farkon 2013. Bayan tuntuɓar waɗannan ɓangarori, Cibiyar Tsaron Intanet ta Ƙasa (NCSC) ta taƙaita ci gaban a cikin ‘Jagororin cimma aikin Bayyanawa Cikin Alhaki’ (‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘Jagororin’). Kamfanoni suna nuna ta wannan manufa cewa a shirye suke su karɓi rahotannin rashin tsaro daga waje, suna bayyana sharuɗɗansu kuma suna yin alƙawura. Wannan tsari ya samar da tsabta da yanayi mai aminci kaɗan ga ɓangarorin da ke bayar da rahoto don su bincika su kuma bayar da rahoton raunin tsaro ba tare da aikata laifi kai tsaye ba. A taron manyan jami'an EU kan tsaron intanet a 2016, ƙungiyoyi 29 sun sake jaddada muhimmancin manufar tafiyar da raunin tsaro ta hanyar sanya hannu kan Coordinated Vulnerability Disclosure Manifesto1 wanda CIO Platform Netherlands da Rabobank suka ƙaddamar tare da haɗin gwiwar NCSC.

Bayyana Rashin Tsaro a Haɗin Gwiwa (CVD) ya tabbatar da cewa yana da muhimmanci sosai ga ɓangarorin gwamnati da masu zaman kansu. Suna dogara sosai ga aikin tsarukan bayanai ba tare da katsewa ba a aikin yau da kullum. Rahotannin raunin tsaro a tsarukansu sun taimaka wajen inganta tsaro da dorewar tsarukan a cikin 'yan shekarun nan, ta hanyar magance raunin tsaro a gefe ɗaya da ba da gudummawa ga wayewar kan kamfanonin Holland game da tsaron IT a gefe guda.

A cikin 'yan shekarun nan, ya bayyana cewa ɓangarorin da ke bayar da rahoto a shirye suke su yi aiki cikin sharuɗɗan manufar CVD da ƙungiyoyi suka tsara. Ana bayar da rahotanni kai tsaye ko a kaikaice ga ƙungiyoyi daga ɓangarorin da ke bayar da rahoto. Aikin bayyanawa cikin alhaki ya nuna cewa ɓangarorin masu kyakkyawar niyya da ke bayar da rahoto da ƙungiyoyin da ke da rauni sun iya haɗa kai kuma ta haka suka ɗauki mataki na gaba wajen ƙara tsaron cibiyoyin sadarwa da tsarukan bayanai.

Don wannan bita, mun sake yin magana da faɗin ƙungiyar ɓangarorin da ke bayar da rahoto iri-iri, ɓangarorin masu zaman kansu da na gwamnati, da kuma Hukumar Gabatar da Ƙara ta Jama'a da 'Yan Sandan Ƙasa. Waɗannan tattaunawa sun tabbatar da aikin da ake yi a yanzu, kuma sun kai ga ƙari da gyare-gyare. Sabon batu mafi muhimmanci da ake ba hankali shi ne sadarwa tsakanin mai bayar da rahoton rashin tsaro da ƙungiya, da kuma tare da sauran ɓangarori bayan an magance raunin tsaron.

Surori masu zuwa suna tattauna ma'anar CVD, tubalan ginin manufar CVD da tsarin sadarwa.

Ƙarin bayani: Jagororin da suka gabata sun yi amfani da kalmar ‘bayyanawa cikin alhaki’, wadda ita ce kalmar da aka saba amfani da ita don wannan aiki a lokacin. A tsakanin lokaci ya bayyana cewa wannan kalma tana ba da fifiko fiye da kima ga alhakin ɓangaren da ke bayar da rahoto, alhali ƙa'idar asali ita ce ɓangaren da ke bayar da rahoto da ƙungiyar da za ta iya samun rauni su zama abokan tarayya daidai a tattaunawar. Ana kama wannan ra'ayi da kyau a kalmar da ake amfani da ita yanzu ‘Bayyana Rashin Tsaro a Haɗin Gwiwa’ (CVD), wadda kuma ita ce sunan da ma'aunin ISO 29147 da 30111 kan wannan tsari suke amfani da shi.

2. Rashin Tsaro a Haɗin Gwiwa

An yi amfani da hanyoyi daban-daban cikin shekaru 30 da suka gabata don wayar da kai game da raunin tsaro a tsarukan IT. Misalai sun haɗa da:

  • ‘Cikakken Bayyanawa’ (Full Disclosure), sanya rashin tsaro ya zama bayyananne ga jama'a gaba ɗaya;

  • ‘Rashin bayyanawa’ (Non-disclosure), sayarwa ko amfani da rashin tsaro da kanka;

  • ‘Bayyana Rashin Tsaro a Haɗin Gwiwa’ (CVD), bayyana rashin tsaro cikin haɗin gwiwa.

Ana fifita aikin na ƙarshe a sarari.

Al'ummar IT ta nuna babbar niyyar raba ilimi da gogewa. Don haka, neman haɗin kai da wannan al'umma na iya taimakawa wajen inganta tsaron tsarukan gaba ɗaya.

Manufar Bayyana Rashin Tsaro a Haɗin Gwiwa

Manufar CVD ita ce ba da gudummawa ga tsaron tsarukan IT ta raba ilimi game da raunin tsaro. A cikin CVD, ana raba ilimi da ƙungiya ɗaya ko fiye da za su iya samun rauni domin a cimma mafita ta haɗin gwiwa ga raunin tsaron da aka samu tare da ɓangaren da ke bayar da rahoto. Yana da muhimmanci cewa ƙungiyoyin da abin ya shafa su sami isasshen lokaci don magance duk wani rauni ko kare tsarukan domin a iyakance ko a hana asara ko lalacewa gwargwadon iko. Ginshiƙin tsarin shi ne bayyana ilimin game da raunin tsaron bayan an magance su.

Yana da muhimmanci a CVD cewa dukkan ɓangarori su bi yarjejeniyoyi kan yadda ake bayar da rahoton rashin tsaro da yadda ake tafiyar da shi. Abin da ke taimakawa shi ne idan ƙungiya ta buga sharuɗɗa tun da farko, kamar waɗanne tsarukan ne ke cikin iyaka da wane irin bincike za a iya yi. Muhimmiyar ƙa'ida ga waɗannan sharuɗɗa ita ce, ƙungiyar ba za ta kai ɓangaren da ke bayar da rahoto ga hukuma ba a mahangar ƙa'ida ko ta ɗauki wasu matakan shari'a idan an gudanar da bincike da bayar da rahoto cikin sharuɗɗan da aka tsara. Waɗannan Jagororin suna ba wa ƙungiyoyi jagora wajen tsara manufarsu don su aiwatar da ƙa'idojin CVD.

Kamar yadda sunan ya nuna, tsakiyar CVD shi ne ƙungiyar da ɓangaren da ke bayar da rahoto su yi haɗin kai da juna. Dangane da haka, ya kamata a sami ƙaramin adadin mahaɗa kamar yadda zai yiwu tsakanin mutumin da ke bayar da rahoton rashin tsaron da mutumin da ke cikin ƙungiyar mai alhakin warware matsalar.

Yana iya zama da muhimmanci a sanar da ɓangarori da dama a lokaci ɗaya idan rashin tsaro ya shafi tsarukan da yawa. A wannan yanayin, NCSC ko wasu ɓangarori a cikin al'ummar tsaro za su iya tallafa wa tsarin CVD daga matsayin mai daidaitawa.

3. Fannonin alhaki

Manufar bin manufar CVD ita ce ɓangarorin da ke bayar da rahoto da ƙungiyar su yi aiki tare don rage raunin tsaro a tsarukan IT. Ya kamata a ɗauki aiwatar da wannan manufa a matsayin ƙari ga matakan da ke akwai kan tsaron bayanai. Masu aiki daban-daban kowannensu yana da nasa rawar da alhakinsa. An bayyana waɗannan dalla-dalla a ƙasa.

Ƙungiyar da ke mallaka/tafiyar da tsari

Ƙungiyar da ke mallaka/tafiyar da ko samar da tsari ita ce ke da alhakin farko na tsaron wannan tsari. A wasu kalmomi, ƙungiyar kuma tana da alhakin bin diddigin rahoton rashin tsaro.

Ƙungiyar na iya zaɓar ta tsara manufarta ta CVD ta amfani da waɗannan Jagorori kuma ta sanar da wannan manufa ga ɓangarorin da za su iya bayar da rahoto. Ta hanyar buga manufar CVD, ƙungiyoyi suna nuna niyyarsu ta karɓar bayani game da raunin tsaro.

Ɓangaren da ya kafa manufar CVD zai iya yin alƙawarin ƙa'idar cewa ba zai kai ƙara ga 'yan sanda ba idan an mutunta dokokin da suka shafi manufar.

Da zarar ɓangaren da ke bayar da rahoto ya bayar da rahoton rashin tsaro, alhakin yana kan ƙungiyar. Yana da muhimmanci a fahimci cewa ɓangaren da ke bayar da rahoto sau da yawa mutum ne daga wajen ƙungiyar. Wannan ɓangare ba shi da ganin kai tsaye na tsare-tsaren cikin gida da za a iya jawo bayan an bayar da rahoton rashin tsaro. Sakamakon haka, ɓangarorin da ke bayar da rahoto za su yaba da a sanar da su ci gaban warware rashin tsaron. Wannan sadarwa mai ci gaba tana da muhimmanci kuma don samar da tsammanin da ya dace game da bibiya da kan lokaci na mafita.

Ɓangaren da ke bayar da rahoton rashin tsaro

Ta wata hanya ko wata, ɓangaren da ke bayar da rahoto ya iya gano rashin tsaro kuma yana son ba da gudummawa ga tsaron tsarukan IT ta sa a magance wannan rashin tsaro kuma wataƙila a bayyana shi ga jama'a a mataki na gaba. Ɓangaren da ke bayar da rahoto ya iya gano wani abu ta kallo ba tare da shiga ba ko ta gwada tsarin IT a aikace. Tabbas, wannan ɓangare yana da alhakin ayyukansa da kuma hanyar da ya gano rashin tsaron. Alhakin ɓangaren da ke bayar da rahoto ne ya san sharuɗɗan da ƙungiya ta shimfiɗa a manufarta ta CVD. Yawancin gwamnatoci da kamfanoni sun buga manufofinsu na CVD a shafukansu na yanar gizo.

Duk da haka, gano raunin tsaro na iya ƙunsar karya doka. A cikin yanayin CVD, ƙungiyar da ɓangaren da ke bayar da rahoto na iya amincewa cewa ba za su kai rahoto ba game da duk wani aikin laifi. Dangane da wannan, manufar CVD da ƙungiyar ta buga ita ce ƙa'idar jagora. Ɓangarorin kuma za su iya amincewa cewa ba za a ɗauki matakin farar hula ba.

Idan akwai zargin cewa ɓangaren da ke bayar da rahoto ya karya doka, manufar CVD za ta iya fara taimakawa wajen hana a kai mai ba da rahoton ga hukuma. Wannan tsari ya dogara gaba ɗaya ne da sharuɗɗan manufar da ƙungiya ke buƙatar ɓangaren da ke bayar da rahoto ya bi da kuma ko an cimma wannan bin ƙa'ida, wataƙila tare da alƙawari daidai na ƙin shigar da ƙara ta laifi muddin ɓangaren yana aiki cikin sharuɗɗan manufar. Idan an kai rahoto ga 'yan sanda, kasancewar manufar CVD da bin ta suna da muhimmanci a Netherlands, wanda Mai Gabatar da Ƙara na Jama'a zai yi la'akari da shi lokacin yanke shawarar fara binciken laifi da/ko gurfanarwa. A ƙa'ida, 'yan sanda da Hukumar Gabatar da Ƙara ta Jama'a (OM) ba za su fara binciken laifi ba idan ɓangaren da ke bayar da rahoto ya bi ƙa'idojin manufar CVD na ƙungiyar da abin ya shafa a fili. Duk da haka, Hukumar Gabatar da Ƙara ta Jama'a da 'yan sanda na iya ci gaba da bincika lamarin idan akwai alamun cewa ɓangaren da ke bayar da rahoto ya wuce gona da iri a ayyukansa da gangan ko ba da gangan ba da/ko bai bi manufar CVD ba. Bisa wannan bincike, Hukumar Gabatar da Ƙara ta Jama'a za ta iya yanke shawarar ko za ta gurfanar.

Hukumar Gabatar da Ƙara ta Jama'a ta buga wasiƙar manufa wadda ta tattauna dalla-dalla abubuwan da suke da muhimmanci wajen yanke shawarar bincike da/ko gurfanarwa. Misali, ko ayyukan ɓangaren da ke bayar da rahoto sun yi wa muhimmin muradin jama'a hidima, ko ɓangaren ya yi aiki fiye da kima, da kuma ko ɓangaren zai iya yin aiki ta wata hanya dabam mai sauƙi. Wasiƙar manufar da ta dace tana ƙara bayyana waɗannan abubuwa.2 Hukunce-hukuncen kotu da suka dace tun 2013 sun nuna cewa ana la'akari da waɗannan abubuwa a kotu ma idan ƙungiya ba ta da manufar CVD.3

4. Tubalan ginin tsarin Bayyana Rashin Tsaro a Haɗin Gwiwa

Ga tubalan gina tsarin CVD ga ƙungiya, mai bayar da rahoto da NCSC a ƙasa.

Ƙungiyar

Haɓaka CVD yana farawa da ƙungiyar da ke mallakar tsarukan IT ko ke samar da samfur/tsarin IT. Bayan haka, wannan ƙungiya ce ke da alhakin farko na tsaron bayanan waɗannan tsarukan IT. Don yin aiki yadda ya kamata tare da ɓangarori daban-daban wajen warware raunin tsaro, ƙungiya na iya yanke shawarar tsara da buga manufar CVD. Tsara manufar CVD ta kanta tana ba wa ƙungiyar damar nuna yadda take tafiyar da rahotannin raunin tsaro. Ta wannan hanya, ƙungiya kuma za ta iya tsara yadda take so a karɓi sanarwa. Ana iya tsara irin wannan tsari kamar haka:

  • Ƙungiyar tana kafawa da buga manufar CVD.

  • A cikin wannan manufa, ƙungiyar tana ba da ƙa'idoji bayyanannu ga binciken da ɓangarorin da ke bayar da rahoto za su iya yi, kamar waɗanne dabaru aka yarda da su da waɗanne tsarukan ne ke cikin iyaka ko wajen iyaka.

  • Ƙungiyar tana sauƙaƙa wa ɓangaren da ke bayar da rahoto bayar da rahoto. Zaɓi ɗaya shi ne amfani da hanyar bayar da rahoto ta ma'auni; misali, takamaiman adireshin imel ko fom na kan layi. Bugu da ƙari, ƙungiyar za ta iya yanke shawarar ko za ta karɓi rahotanni ba tare da bayyana suna ba.

  • Ƙungiyar tana ajiye ƙarfin cikin gida kuma tana kafa tsari don amsa rahotanni yadda ya kamata. Ana ba da shawarar kafa tsari da za a iya magance duk wani rashin tsaro da aka samu yadda ya kamata. Dangane da wannan, asalin rahoton ba shi da muhimmanci. Wataƙila ma'aikacin cikin gida ne ya gano rashin tsaron, ko a lokacin gwaji, misali.

  • Ƙwarewar aiki ta nuna cewa za a sami ƙarin sha'awar bayar da rahoton raunin tsaro ga ƙungiyar bayan wallafa manufar CVD a karon farko. Ya kamata ƙungiyar ta yi la'akari da wannan lokacin da take tsara (ƙarin) ƙarfi.

  • Idan ƙungiyar ta karɓi rahoton rashin tsaro, tana tabbatar da cewa rahoton ya isa sashen da ya fi dacewa da tantancewa da tafiyar da rahoton da wuri-wuri.

  • Ƙungiyar tana aika tabbacin karɓar rahoto ga ɓangaren da ke bayar da rahoto, zai fi kyau a sanya hannu na dijital don jaddada fifiko.

  • Daga baya, ƙungiyar za ta shiga tattaunawa da ɓangaren da ke bayar da rahoto don tantance lokacin da duk wata wallafa za ta gudana. Wannan lokaci zai dogara sosai ga yanayin rashin tsaron da nau'in tsarin.

  • A matsayin jagora, ana yawan amfani da lokacin kimanin kwanaki 60 ga raunin tsaro na manhaja. Magance raunin tsaro a kayan aiki (hardware) ya fi wahalar cimmawa; ana iya amfani da jagorar watanni 6.

  • Yana iya zama abin so a tsawaita ko a rage wannan lokaci ta yarjejeniyar juna dangane da yawa ko ƙarancin tsarukan IT da suka dogara ga tsarin da aka bayar da rahoton rashin tsaronsa ko idan rashin tsaron ya fi sauƙi ko wahalar warwarewa.

  • Rashin tsaro na iya zama mai wahala ko ba zai yiwu a warware shi ba, ko kuma akwai tsadar kuɗi mai yawa wajen warware shi. A irin waɗannan lokuta, ƙungiyar na iya amincewa ta ɗauki rashin tsaron a matsayin haɗarin da aka karɓa kuma kada ta magance shi, wataƙila tare da tuntuɓar ɓangaren da ke bayar da rahoto.

  • Ƙungiyar za ta ci gaba da sanar da ɓangaren da ke bayar da rahoto game da ci gaban tsarin.

  • Bugu da ƙari, ƙungiyar za ta iya ba da damar yaba wa ɓangaren da ke bayar da rahoto a bainar jama'a saboda wallafa rashin tsaron. Hakanan yana yiwuwa a zaɓi bayyanawa tare ga waje.

  • Ya fi kyau a ba wa ɓangaren da ke bayar da rahoto lada saboda bayar da rahoton raunin tsaro a tsarukan idan ɓangaren ya bi ƙa'idojin manufar CVD. Adadin ladan na iya dogara ga ingancin rahoton. Ba wa ɓangaren da ke bayar da rahoto lada na iya samar da kyakkyawar dangantaka tsakanin wannan ɓangare da ƙungiyar, da kuma ƙara niyyar mutane ta yin sababbin rahotanni daidai da manufar CVD.

  • Bayan tuntuɓar ɓangaren da ke bayar da rahoto, ƙungiyar za ta iya amincewa ta sanar da faɗin al'ummar IT game da rashin tsaron idan akwai yiwuwar rashin tsaron yana kuma wasu wurare.

  • A cikin manufarta ta CVD, ƙungiyar za ta iya yin alƙawarin ƙa'idar cewa ba za ta kai ƙara ga 'yan sanda ba idan ɓangaren da ke bayar da rahoto ya bi ƙa'idojin da aka bayyana a manufar.

Ɓangaren da ke bayar da rahoto

Ɓangaren da ke bayar da rahoto shi ne mabuɗin tsarin CVD mai nasara. Ta wata hanya ko wata, wannan ɓangare ya iya gano rashin tsaro, kuma yana son ba da gudummawa ga tsaron tsarukan IT ta sa ƙungiya ta magance wannan rashin tsaro a bayyana shi ga jama'a. Ta yin haka, ɓangarorin da ke bayar da rahoto sun amince cewa za su iya ba da muhimmiyar gudummawa ga al'umma ta bayyana raunin tsaro cikin haɗin gwiwa. Don cimma tsarin CVD mai nasara, waɗannan tubalan gini suna da muhimmanci ga ɓangaren da ke bayar da rahoto:

  • Ɓangaren da ke bayar da rahoto yana da alhakin ayyukansa kuma dole ne ya kiyaye ƙa'idodin daidaito da kuma ƙarami-kafin-babba (subsidiarity) lokacin bincike da bayar da rahoton raunin tsaro. A wasu kalmomi, bai kamata ɓangaren da ke bayar da rahoto ya yi fiye da abin da ya wajaba don nuna rashin tsaron ba kuma koyaushe ya kamata ya fara bayar da rahoton rashin tsaron ga mai mallakar tsarin/bayanin.

  • Dole ne ɓangaren da ke bayar da rahoto ya bayar da rahoton matsalar da wuri-wuri don hana ɓangarori masu mugun nufi gano rashin tsaron su ci moriyarsa.

  • Dole ne ɓangaren da ke bayar da rahoto ya yi rahoton ga ƙungiyar cikin sirri don hana wasu samun damar wannan bayani.

  • Ba a yarda ɓangaren da ke bayar da rahoto ya sa shigar da rahoto ko ƙarin bayar da bayani su dogara ga lada ba. Ƙaddamar da ba da lada idan an bayar da rahoto yana hannun ƙungiyar da ke karɓa, wadda za ta iya bayyana sharuɗɗa a manufarta da aka buga.

  • Ɓangaren da ke bayar da rahoto da ƙungiyar suna yin yarjejeniyoyi bayyanannu kan bayyana rashin tsaron. Idan ƙungiyoyi fiye da ɗaya suna da hannu, ƙa'idar asali ita ce a iya buga raunin tsaro ne kawai idan dukkan ƙungiyoyi sun amince da hakan. Yin waɗannan yarjejeniyoyi a farkon mataki abu ne da ake ba da shawara.

  • Ɓangaren da ke bayar da rahoto da ƙungiyar da abin ya shafa za su iya yin yarjejeniyoyi kan sanar da faɗin al'ummar IT. Misali, wannan yanayi na iya shafar rashin tsaro (ko an riga an san shi ko ba a sani ba) wanda aka sani yana wuri fiye da ɗaya. Ana iya shigar da Cibiyar Tsaron Intanet ta Ƙasa (NCSC) a wannan tsari don tallafa wa rukunonin da aka yi niyya na gwamnatin tsakiya da muhimman kayayyakin more rayuwa ko don sanar da ɓangarori da dama idan rashin tsaro ya shafi tsarukan da yawa.

NCSC

Tsarin CVD musamman al'amari ne na ƙungiyoyi da ɓangarorin da ke bayar da rahoto. Duk da haka, NCSC za ta ƙarfafa amfani da tsarin CVD. Bayan tuntuɓar ɓangaren da ke bayar da rahoto da ƙungiyar, NCSC za ta iya shiga wajen raba bayani game da rashin tsaron da al'ummarta don iyakance ƙarin haɗarin tsaro da ke fitowa daga rashin tsaron.

Idan bayar da rahoton rashin tsaro bai tafi yadda ɓangaren da ke bayar da rahoto yake tsammani ba, ko kuma idan sun gwammace kada su bayar da rahoton rashin tsaron kai tsaye ga ƙungiyar, za su iya tuntuɓar NCSC.4 A wannan yanayin, NCSC za ta iya aiki a matsayin mai shiga tsakani idan ya zama dole.

Mai mallakar tsarin IT yana da alhakin tsaron tsarin a kowane lokaci. NCSC ba za ta iya tilasta wa mai mallakar tsarin ya magance rashin tsaro ba, kuma ba za ta iya tabbatar da cewa mai mallakar ba zai ɗauki matakin shari'a a kan ɓangaren da ke bayar da rahoto ba. Sakamakon haka, dole ne ɓangaren da ke bayar da rahoto ya yi la'akari da tubalan ginin da aka ambata ga ƙungiyoyi da ɓangarorin da ke bayar da rahoto lokacin neman da bayar da rahoton rashin tsaro. Ɓangaren da ke bayar da rahoto na iya tsammanin NCSC za ta yi iyakar ƙoƙarinta don a magance rashin tsaron kuma ta tafiyar da rahoton cikin sirri. NCSC ba ta raba wani bayanin kai sai dai idan doka ta wajabta mata yin haka.

Idan zai yiwu, NCSC za ta yi amfani da bayanin da aka samu game da raunin tsaro tare da tuntuɓar ƙungiyoyi da ɓangarorin da ke bayar da rahoto don ƙarin raba ilimin da al'ummar IT. Misali, za ta iya yin hakan ta wallafa wani ɓangare na bayanin, rubuta ko sabunta takardar gaskiya ko takardar fari (white paper), ko ta sanar da takamaiman ƙungiyoyi.

  • Dangane da ƙungiyar da abin ya shafa da yanayin rashin tsaron da aka tabbatar, NCSC za ta yi ƙoƙari don jawo hankalin ƙungiyar da abin ya shafa ga rashin tsaron. Duk da haka, mai mallakar tsarin IT da ake magana yana ci gaba da zama mai alhakin tsarin.

  • Idan zai yiwu kuma ya zama dole, NCSC za ta ba wa ƙungiyar da abin ya shafa shawara kan yadda za a magance rashin tsaron.

  • NCSC za ta tafiyar da rahotanni cikin sirri kuma ba za ta raba bayanan kai na ɓangarorin da ke bayar da rahoto ko ƙungiyar da ke karɓa ba tare da yarda ba, sai dai idan ya biyo bayan wajibcin doka.

  • Duk lokacin da zai yiwu, NCSC za ta ci gaba da sanar da ɓangaren da ke bayar da rahoto game da ci gaba a tuntuɓar da ƙungiyar da kuma magance rashin tsaron.

  • A lokuta da aka yi rahoto ga NCSC, NCSC za ta yi ƙoƙarin sa ɓangaren da ke bayar da rahoto ko mai yuwuwar bayar da rahoto da ƙungiyar su tuntuɓi juna.

Idan ɓangaren da ke bayar da rahoto ya sami rashin tsaro a samfurin manhaja ko rashin tsaro da ke shafar tsarukan daban-daban da yawa, misali, ɓangaren da ke bayar da rahoto zai iya neman NCSC ta daidaita magance da bayyana rashin tsaron.

Tare da ɓangaren da ke bayar da rahoto, abokan hulɗa, masu haɓakawa da/ko masu haɓaka manhaja da sauran ƙungiyoyin tsaro, NCSC za ta taimaka wajen tantance, magance ko sa a magance, daidaitawa da bayyana rashin tsaron ta hanyar da aka sarrafa. Dukkan wannan tsari yana gudana cikin tuntuɓa ta kut-da-kut da ɓangaren da ke bayar da rahoto wanda ya gano rashin tsaron.

Manufar CVD tana ƙoƙarin daidaita muhimmancin bayyana raunin tsaro da wuri-wuri, domin a ɗauki matakai, da muhimmancin masu haɓakawa da masu samarwa su sami isasshen lokaci don magance rashin tsaron. Don wannan tsari, NCSC tana amfani da ma'aunin lokaci na kwanaki 60 tsakanin rahoton da bayyanawa ga jama'a. Duk da haka, ana iya samun yanayi da za a yanke shawarar tsawaita ko rage wannan lokaci.

NCSC za ta raba bayani game da rashin tsaron da ɓangarori na uku ne kawai bayan tuntuɓar ɓangaren da ke bayar da rahoto. A wannan mahallin yana da muhimmanci NCSC ta yi haɗin kai kuma saboda haka ta raba bayani game da rashin tsaron da masu ruwa da tsaki domin a bayyana rashin tsaro a haɗin gwiwa. NCSC za ta tabbatar a yin haka cewa ɓangarorin da suka dace za su iya yin aiki kan magance rashin tsaron, ta taimaka wajen iyakance duk wata asara ko lalacewa, kuma ta taimaka wajen jawo hankali ga rashin tsaron da aka samu.

5. Sadarwa da tsarin bayyanawa

Shekaru biyar na aiki sun nuna cewa bayyanannar sadarwa ita ce ginshiƙin tsarin CVD mai nasara. Akwai abubuwan da za a ba hankali a lokacin, yayin da kuma bayan tsarin CVD.

Sadarwa game da tsarin bayyanawa

Buga manufar CVD mataki ne na farko wajen sadarwa game da tsarin. Ta hanyar buga manufa a bainar jama'a, ana gayyatar ɓangarorin da ke bayar da rahoto su sanar da ƙungiyar duk wani rashin tsaro da suka samu.

A gefe ɗaya, ƙungiyar za ta iya tsara sharuɗɗa ga binciken da ake yi don gano raunin tsaro da hanyar da ake neman tuntuɓa. A gefe guda kuma, ƙungiyar za ta iya yin alƙawarin ƙa'idar cewa ba za ta kai ƙara ga 'yan sanda ba idan an mutunta dokokin manufar. Wannan hanya tana kare matsayin ɓangaren da ke bayar da rahoto.

Ana iya canja ko sabunta manufar CVD a wani lokaci na gaba. Yana da muhimmanci a bayyana canje-canjen. Ɓangarorin da ke bayar da rahoto suna da muradin sanin abin da aka canja da lokacin da aka canja shi. Misali, ana iya bayyana canje-canje ta sa ranar wallafawa a farkon manufar CVD, ta bayyana taƙaitaccen canje-canje a ƙarƙashin manufar CVD ko ta ajiye taskar tsoffin sigogin manufar CVD.

Manufar CVD za ta iya ba da jagorori kan yadda ake sadarwa a lokacin tsarin, kamar ta nuna sabuntawa akai-akai ta imel ko mashigar yanar gizo. Bugu da ƙari, manufar CVD za ta iya bayyana yadda za a yaba wa mai bayar da rahoto ta ambatonsa a lokacin sabuntawa, shigarsa dandalin girmamawa (hall of fame) ko kowane irin lada.

Sadarwa yayin tsarin bayyanawa

Ɓangaren da ke bayar da rahoto yana fara tsarin CVD ta aika saƙo ga ƙungiyar. A cikin wannan saƙo, ɓangaren da ke bayar da rahoto yana ba da bayyanannen bayanin rashin tsaron da aka gano. Muhimman abubuwa su ne adireshin IP ko URL na tsarin da abin ya shafa da matakan da suka wajaba don sake haifar da rashin tsaron.

Yana da muhimmanci ga ƙungiyar ta yi bayyanannar sadarwa ga ɓangaren da ke bayar da rahoto domin tsammanin game da tsarin ya zama a bayyane.

Ƙungiyar za ta iya yin haka tuni ta aika tabbacin karɓa (na atomatik ko akasin haka) wanda ke ƙunshe da alamar wa'adin da za a aika da amsa ta farko ko ta gaba mai ma'ana.

Hakanan yana yiwuwa a bar wannan lokaci a buɗe a ba da alamar farko ta wa'adi bayan tantance abin da ke cikin rahoton. Ana ba da shawarar a bayyana da wuri-wuri game da lokacin da za a iya cimma mafita. Ta wannan hanya, mai bayar da rahoto ya san lokacin da za a iya tsammanin sakamako.

A wasu lokuta yana yiwuwa ranar wallafawa ta riga ta bayyana ga ɓangaren da ke bayar da rahoto; misali, saboda gabatarwa a taro ko saboda ɓangaren da ke bayar da rahoto ya tsara nasa wa'adin. A wannan yanayin, har yanzu yana da muhimmanci ɓangaren da ke bayar da rahoto ya bayyana wannan jadawali a sarari, ya faɗe shi da wuri-wuri kuma ya fito fili game da yiwuwa/rashin yiwuwar jinkirta wannan rana.

Ɓangaren da ke bayar da rahoto sau da yawa mutum ne daga wajen ƙungiyar, wanda ba shi da wani hangen nesa na tsare-tsaren cikin gida da rahoto zai iya jawowa. Ƙungiyoyi za su iya ci gaba da sanar da ɓangaren da ke bayar da rahoto game da ci gaban tsarin ta sabuntawa akai-akai. Wannan hanya tana bayyana wa ɓangaren da ke bayar da rahoto cewa ana aiki kan mafita. Idan ya zama dole, ƙungiya za ta iya neman bayani ko a gwada mafita yayin tsarin.

Idan ƙungiya ta kasa cika wa'adin warwarewa na farko, ana iya tattauna da mai bayar da rahoto don jinkirta shi. Sadarwa akai-akai na iya bayyana wannan yanayi ga mai bayar da rahoto a mataki na farko.

Babban nufin CVD shi ne rage tasirin rashin tsaron, amma ‘cikakken bayyanawa’ na rashin tsaron koyaushe zaɓi ne ga ɓangaren da ke bayar da rahoto idan yana ganin tsarin zai ɗauki lokaci mai tsawo. Wannan mataki shi ne ‘babban sanda’ da aka ambata a karin magana wanda ɓangaren da ke bayar da rahoto yake da shi. A zahiri, ya kamata a hana wannan yanayi gwargwadon iko.

Sadarwa bayan tsarin bayyanawa

Dalilai da yawa masu yiwuwa suna wanzuwa da ya sa ɓangaren da ke bayar da rahoto zai iya neman raunin tsaro sannan ya bayar da rahotonsu ga ƙungiyoyi ta tsarin CVD. Ga adadi mai yawa na ɓangarori masu bayar da rahoto, muhimmin abin ƙarfafawa shi ne yabo (na jama'a).

Ɓangarorin da ke bayar da rahoto suna samun yabo na jama'a ta godiya a cikin sabuntawa ko shiga dandalin girmamawa. Duk da haka, bukatar yabo na jama'a ba ta shafi dukkan ɓangarorin da ke bayar da rahoto ba; wasu ma ba sa son jama'a su san su. A yanayin sadarwa daga ƙungiyar, don haka ana ba da shawarar a samu yarjejeniyar ɓangaren da ke bayar da rahoto kafin a ambace shi.

Bugu da ƙari, ɓangarorin da ke bayar da rahoto na iya yanke shawarar yin sadarwa game da rahoto bayan kammala tsarin CVD. Misali, ɓangaren da ke bayar da rahoto zai iya bayyana tsarin gano rashin tsaron ko ya gargaɗi wasu game da rashin tsaron. Mai bayar da rahoto zai iya yanke shawarar mika wallafar ga ƙungiya don dalilai na bayani. Tun da tsarin CVD a ƙa'ida ya kammala bayan cire rashin tsaron, ɓangaren da ke bayar da rahoto yana da 'yanci daga nan ya yi magana game da shi, sai dai idan an yi ƙarin yarjejeniyoyi a manufar ko yayin tsarin.

Jeri

Sadarwa game da tsarin bayyanawa

  • Buga manufar CVD a shafin yanar gizo

  • Bayyana game da hani (duba babi na 6 don hanyoyi daban-daban)

  • Hani a hanyoyin bincike

  • Jagorori game da sadarwa

  • Jagorori game da yiwuwar lada: Dandalin girmamawa, lada na kuɗi, riga, da sauransu.

  • Bayyana game da duk wani sabuntawa ga manufar CVD, ciki har da ranar canje-canje

Sadarwa yayin tsarin bayyanawa

  • Mai bayar da rahoto yana tuntuɓar ƙungiya game da rashin tsaron da aka gano.

  • Ƙungiyar tana sarrafa tsammani, kamar lokacin amsa ga amsar fasaha ta farko

  • Ƙungiyar da mai bayar da rahoto suna bayyana wa juna lokacin warwarewa da ake tsammani

  • Ƙungiyar tana ba da sabuntawa (na tsari) akai-akai

  • Idan ya zama dole, mai bayar da rahoto da ƙungiya suna tattauna tuntuɓar wasu ƙungiyoyi masu dacewa

Sadarwa bayan tsarin bayyanawa

  • Tattauna yabo (na jama'a) da lada na mai bayar da rahoto

  • Tsara yadda za a buga bayani game da rashin tsaron, kamar matakin bincike ko sanar da wasu ƙungiyoyi

6. Misalan manufar Bayyana Rashin Tsaro a Haɗin Gwiwa

Akwai nau'ikan rubutun manufa da yawa kan Bayyana Rashin Tsaro a Haɗin Gwiwa. Domin manufar CVD da aka buga tana aiki a matsayin alamar hanya ga ɓangarorin da za su iya bayar da rahoto, tabbatar cewa tsarin wannan manufa ya dace da manufa da dabarun ƙungiyar.

Waɗannan abubuwa suna da muhimmanci a manufar CVD:

  • hanyar tuntuɓa don sadarwa mai tsaro;

  • sharuɗɗa ga ɓangarorin da ke bayar da rahoto;

  • bayyanannen tsammani wajen tafiyar da rahoto;

  • hanyar ba da lada ga rahoto;

  • lambar sigar da ranar sabuntawa ta ƙarshe.

A ƙasa akwai misalai uku: Ƙungiyoyi da yawa a Netherlands sun ɗauki daga ainihin misalin ResponsibleDisclosure.nl. Wasu ƙungiyoyi suna ƙara ƙarin sharuɗɗa, duba manufar Fox IT. Har yanzu wasu ƙungiyoyi suna amfani da tsari mafi 'yanci don dacewa da masu sauraronsu, duba manufar Bits of Freedom.

Misali: ResponsibleDisclosure.nl

Floor Terra ne ya rubuta wannan rubutu kuma an buga shi da lasisin Creative Commons Attribution 3.0 Unported.

A Acme Corporation, muna ɗaukar tsaron tsarukanmu a matsayin babban fifiko. Amma komai yawan ƙoƙarin da muka yi wajen tsaron tsarin, har yanzu ana iya samun raunin tsaro.

Idan ka gano rashin tsaro, muna so mu sani don mu ɗauki matakan magance shi da wuri-wuri.

Muna so mu roƙe ka ka taimaka mana mu fi kare abokan cinikinmu da tsarukanmu.

Da fatan za ka yi haka:

  • Aika sakamakon binciken ka ta imel zuwa cert@example.com. Ɓoye sakamakon ta amfani da maɓallin PGP ɗinmu don hana wannan muhimmin bayani faɗawa hannun da bai dace ba,

  • Kada ka ci moriyar rashin tsaron ko matsalar da ka gano, misali ta zazzage bayanai fiye da abin da ya wajaba don nuna rashin tsaron ko share ko canja bayanan wasu mutane,

  • Kada ka bayyana matsalar ga wasu har sai an warware ta,

  • Kada ka yi amfani da hare-hare a kan tsaron zahiri, dabarun yaudara, hana sabis da aka rarraba, saƙonnin banza ko manhajojin ɓangarori na uku, kuma

  • Ka bayar da isasshen bayani don sake haifar da matsalar, domin mu iya warware ta da wuri-wuri. Yawanci, adireshin IP ko URL na tsarin da abin ya shafa da bayanin rashin tsaron zai isa, amma rashin tsaro mai sarƙaƙiya na iya buƙatar ƙarin bayani.

Abin da muke alkawari:

  • Za mu amsa rahotonka cikin kwanakin aiki 3 da kimantawarmu ta rahoton da kuma ranar warwarewa da ake tsammani,

  • Idan ka bi umarnin da ke sama, ba za mu ɗauki wani mataki na shari'a a kanka dangane da rahoton ba,

  • Za mu tafiyar da rahotonka cikin tsananin sirri, kuma ba za mu mika bayananka na kanka ga ɓangarori na uku ba tare da izininka ba,

  • Za mu ci gaba da sanar da kai ci gaban da ake samu wajen warware matsalar,

  • A cikin bayanan jama'a game da matsalar da aka bayar da rahoto, za mu ambaci sunanka a matsayin wanda ya gano matsalar (sai dai idan ba ka so),

  • A matsayin alamar godiya ga taimakonka, muna ba da lada ga kowane rahoton matsalar tsaro wanda ba mu sani ba tukuna. Za a tantance adadin ladan bisa tsananin ɓarkewar da ingancin rahoton. Mafi ƙarancin ladan zai zama takardar kyauta ta €50.

Muna ƙoƙarin warware dukkan matsaloli da wuri-wuri, kuma muna so mu taka rawa mai ƙwazo a wallafa ƙarshe game da matsalar bayan an warware ta.

Misali: Fox-IT

A Fox-IT, muna ɗaukar tsaron tsarukanmu, hanyar sadarwarmu da samfuranmu a matsayin mafi muhimmanci. Duk da matuƙar kulawar da muke yi game da tsaro, har yanzu raunin tsaro na iya saura. Idan ka gano irin wannan rauni, za mu so mu ji game da shi da wuri-wuri don mu ɗauki matakan da suka dace da sauri.

Ana iya gano raunin tsaro ta hanyoyi biyu: za ka iya cin karo da wani abu bisa kuskure yayin amfani na yau da kullum da muhallin dijital, ko kuma za ka iya yin iya ƙoƙarinka a sarari don gano su.

Manufarmu ta bayyanawa cikin alhaki ba gayyata ba ce ta duba hanyar sadarwar kasuwancinmu don gano raunin tsaro. Muna sa ido kan hanyar sadarwar kasuwancinmu da kanmu. Wannan yana nufin akwai babbar dama cewa za a gano duba, kuma Cibiyar Ayyukan Tsaronmu (SOC) za ta yi bincike, wanda zai iya haifar da kuɗaɗen da ba dole ba. Duk da haka, an gayyace ka ka nemi raunin tsaro a samfuranmu a muhallin da ba na samarwa ba kuma ba na kan layi ba, kuma ka bayar da rahoton abin da ka gano. Alhakinmu ga abokan cinikinmu yana nufin cewa nufinmu ba shi ne mu ƙarfafa yunƙurin kutse a kayayyakin more rayuwarsu ba; duk da haka, muna so mu ji daga gare ka da wuri-wuri idan an gano raunin tsaro, don mu iya warware su yadda ya kamata.

Muna so mu yi aiki tare da kai don mu fi iya kare abokan cinikinmu da tsarukanmu.

Muna roƙonka:

  • Aika sakamakon binciken ka ta imel da wuri-wuri zuwa security-alert@fox-it.com.

  • Kada ka ci zarafin rashin tsaron; misali, ta zazzagewa, gyara ko share bayanai. Koyaushe za mu ɗauki rahotonka da muhimmanci kuma mu bincika duk wani zargin rashin tsaro, ko da ba tare da shaida ba.

  • Kada ka raba matsalar da wasu har sai an warware ta.

  • Kada ka yi amfani da hare-hare a kan tsaron zahiri, dabarun yaudara ko kayan aikin kutse, kamar na'urorin duba raunin tsaro.

  • Ka ba da isasshen bayani don a iya sake haifar da matsalar domin mu iya warware ta da wuri-wuri. Yawanci, adireshin IP ko URL na tsarin da abin ya shafa da bayanin rashin tsaron sun isa, ko da yake ana iya buƙatar ƙarin bayani don rashin tsaro mai sarƙaƙiya.

Abin da muke alkawari:

  • Za mu amsa rahotonka cikin kwanakin aiki uku, tare da kimantawarmu ta rahoton da kuma ranar warwarewa da ake tsammani.

  • Za mu tafiyar da rahotonka cikin sirri, kuma ba za mu raba bayananka na kanka da ɓangarori na uku ba tare da izininka ba. Banda wannan shi ne 'yan sanda da shari'a idan aka gurfanar ko aka nemi bayani.

  • Za mu ci gaba da sanar da kai ci gaban mafita ga matsalar.

  • A cikin sadarwa game da matsalar da aka bayar da rahoto, za mu ambaci sunanka a matsayin ɓangaren da ya gano matsalar, idan ka so.

  • Abin takaici, ba zai yiwu a tabbatar tun da farko cewa ba za a ɗauki wani mataki na shari'a a kanka ba. Muna fatan za mu iya duba kowane yanayi daban-daban. Muna ganin kanmu a matsayin masu wajibcin ɗabi'a na kai rahotonka idan muna zargin ana cin zarafin raunin ko bayanan, ko cewa ka raba ilimin raunin da wasu. Kana iya tabbata cewa gano bisa kuskure a muhallinmu na kan layi ba zai kai ga gurfanarwa ba.

  • A matsayin godiya ga taimakonka, muna ba da lada ga kowane rahoton matsalar tsaro wanda ba mu sani ba. Muna tantance darajar ladan bisa tsananin ɓarkewar da ingancin rahoton.

Muna ƙoƙarin warware dukkan matsaloli da wuri-wuri, mu ci gaba da sanar da dukkan ɓangarorin da abin ya shafa, kuma muna so mu shiga cikin duk wata wallafa game da matsalar bayan an warware ta.

Misali: Bits of Freedom

Dogaronmu ga kayayyakin more rayuwa na dijital yana ƙaruwa kullum. Wannan ya shafi al'umma baki ɗaya, amma har da kanmu. Saboda haka ra'ayinmu ne cewa gwamnatoci da ƙungiyoyi (har da namu) su himmatu sosai wajen tabbatar da tsaron kayayyakin more rayuwarmu na dijital. Mun fahimci cewa, duk da kyakkyawar niyyarmu da matuƙar kulawarmu, raunin tsaro na iya kasancewa a cikin tsarukanmu. Idan ka gano ɗaya daga cikin waɗannan gazawa, za mu so mu ji daga gare ka don mu warware matsalar.

Abin da muke tsammani daga gare ka

  • Lokacin da kake bincikar ɗaya daga cikin tsarukanmu, ka tuna da daidaiton harin. Babu buƙatar nuna cewa idan ka kai wa shafinmu babban harin DDos a tarihin intanet, shafin na iya zama ba a iya shiga. Mun san haka. Muna kuma fahimtar cewa idan ka tuƙa buldoza zuwa ofishinmu, tabbas za ka iya ƙwace ɗaya daga cikin kwamfutocinmu.

  • Wannan ƙa'idar daidaito tana da muhimmanci ma wajen nuna rashin tsaron kansa. Kada ka duba ko ka canja bayanai fiye da abin da ya wajaba don tabbatar da sahihancin abin da ka gano. Misali, idan za ka iya canja shafin farkonmu, kawai ƙara kalma ɗaya mara jayayya a ciki maimakon ka mamaye dukkan shafin. Idan za ka iya samun damar shiga rumbun bayanai, ya isa ka nuna mana jerin teburan da ke ciki, ko wataƙila rikodin farko a ɗaya daga cikin teburan.

  • Ya kamata a bayar da rahoton rashin tsaro a ɗaya daga cikin tsarukanmu da wuri-wuri ta aika imel zuwa security@bof.nl. Zai fi kyau ka ɓoye saƙonka ta amfani da OpenPGP. Da fatan za ka bayar da isasshen bayani don mu iya sake haifar da matsalar mu bincika ta.

  • Maɓallin OpenPGP na jama'a na security@bof.nl

  • Ba za ka raba iliminka game da rashin tsaron da wasu ɓangarori ba muddin ba mu magance matsalar ba kuma har yanzu muna cikin lokaci mai ma'ana tun lokacin da ka bayar da rahoton.

  • Za ka share dukkan bayanan sirri da ka samu yayin bincikenka da zarar mun warware rashin tsaron.

Abin da za ka iya tsammani daga gare mu

  • Za mu amsa rahotonka cikin kwanaki uku dalla-dalla. Za mu haɗa da kimanta lokacin da za mu buƙata don magance matsalar. Tabbas, za mu riƙa sanar da kai ci gabanmu akai-akai.

  • Za mu warware rashin tsaron da wuri-wuri. A nan ma, daidaito yana da muhimmanci: tsawon lokacin da ake buƙata don gyara rashin tsaro ya dogara ne da abubuwa da yawa, ciki har da tsanani da sarƙaƙiyar matsalar da ke gabanmu.

  • Idan ka bi ƙa'idojin da aka shimfiɗa a nan, ba za mu ɗauki mataki na shari'a a kanka dangane da rahotonka ba.

  • Yana da muhimmanci a gare mu mu yaba maka saboda abin da ka yi - idan kana so. Za mu ambaci sunanka a wallafa game da rashin tsaron ne kawai idan ka amince da haka.

  • A matsayin godiya don taimaka mana mu fi kare tsarukanmu, muna so mu ba da lada ga kowane rahoton rashin tsaro da ba mu sani ba a lokacin. Ladan zai dogara ne da tsananin rashin tsaron da ingancin rahoton.

Idan ka sami rashin tsaro a manhajar ɓangare na uku da muke amfani da ita kuma wannan rashin tsaro yana ƙarƙashin shirin ladan kurakurai, ba za mu yi ƙoƙarin neman wannan lada ba; ya kamata ka nema.