NCSC.nl

1. מבוא

החברה הולכת ונעשית דיגיטלית יותר ויותר. בימינו, כמעט כל התהליכים כרוכים בשימוש במחשבים בשלב כלשהו, החל מטלפונים ניידים ועד לתוכנה ייעודית. אף שהתפתחות זו יוצרת הזדמנויות חדשות רבות, לפגיעויות במערכות מידע עשויה להיות השפעה מרכזית. כתוצאה מכך, יש לטפל בידע על פגיעויות אלה באופן יעיל.

מספר ארגונים החלו לפרסם מדיניות בנושא אופן הדיווח על פגיעויות בתחילת 2013. לאחר היוועצות עם גורמים אלה, המרכז הלאומי לאבטחת סייבר (National Cyber Security Centre, ‏NCSC) סיכם את ההתפתחויות בצורת "הנחיות להשגת נוהג של חשיפה אחראית (Responsible Disclosure)" ("Leidraad om te komen tot een praktijk van Responsible Disclosure"; "ההנחיות"). חברות מציינות באמצעות מדיניות זו שהן פתוחות לקבלת דיווחי פגיעויות חיצוניים, מתארות את התנאים המוקדמים שלהן ומבטיחות הבטחות. תהליך זה יצר בהירות וסביבה בטוחה במידת מה לצדדים המדווחים כדי לחקור ולדווח על פגיעויות מבלי לבצע ישירות עבירה פלילית. בפגישה ברמה גבוהה של האיחוד האירופי בנושא אבטחת סייבר ב-2016, 29 ארגונים אישרו מחדש את חשיבותה של מדיניות לטיפול בפגיעויות על ידי חתימה על המניפסט לחשיפה מתואמת של פגיעויות (Coordinated Vulnerability Disclosure Manifesto)1 ביוזמת CIO Platform Netherlands ו-Rabobank בשיתוף עם NCSC.

חשיפה מתואמת של פגיעויות (Coordinated Vulnerability Disclosure, ‏CVD) הוכחה כחשובה מאוד לצדדים ציבוריים ופרטיים. הם תלויים מאוד בתפקוד ללא הפרעה של מערכות מידע בפרקטיקה היומיומית. דיווחים על פגיעויות במערכותיהם סייעו לשפר את אבטחת המערכות ורציפותן בשנים האחרונות, מחד על ידי תיקון פגיעויות ומאידך על ידי תרומה למודעות הכללית של חברות הולנדיות לאבטחת מידע.

בשנים האחרונות התברר שהצדדים המדווחים מוכנים לפעול במסגרת תנאי מדיניות ה-CVD שהוכנה על ידי ארגונים. דיווחים נעשים במישרין או בעקיפין לארגונים על ידי צדדים מדווחים. הנוהג של חשיפה אחראית הראה שצדדים מדווחים בעלי כוונות טובות וארגונים פגיעים הצליחו לשתף פעולה ובכך לעשות את הצעד הבא בהגברת האבטחה של רשתות ומערכות מידע.

לצורך עדכון זה, שוב שוחחנו עם קבוצה רחבה ומגוונת של צדדים מדווחים, צדדים פרטיים וציבוריים, וכן עם הפרקליטות והמשטרה הלאומית. שיחות אלה אישרו את הנוהג הנוכחי והובילו להוספות ולשיפורים. נקודת תשומת הלב החדשה החשובה ביותר היא התקשורת בין מדווח הפגיעות לארגון, וכן עם צדדים אחרים לאחר שהפגיעות תוקנה.

הפרקים הבאים דנים בהגדרת ה-CVD, באבני הבניין של מדיניות CVD ובתהליך התקשורת.

הערה צדדית: ההנחיות הקודמות השתמשו במונח "responsible disclosure" (חשיפה אחראית), שהיה המונח הרווח לנוהג זה באותה עת. בינתיים התברר שמונח זה מדגיש יתר על המידה את האחריות של הצד המדווח, בעוד העיקרון הבסיסי הוא שהצד המדווח והארגון הפגיע הפוטנציאלי צריכים להיות שותפים שווים בדיאלוג. תחושה זו משתקפת טוב יותר במונח הרווח כיום "Coordinated Vulnerability Disclosure" (CVD), שהוא גם השם בשימוש בתקני ISO 29147 ו-30111 העוסקים בתהליך זה.

2. פגיעות מתואמת

שיטות שונות שימשו בשלושים השנים האחרונות להעלאת המודעות לפגיעויות במערכות מידע. דוגמאות כוללות:

• "Full Disclosure" (חשיפה מלאה), הפיכת פגיעות לגלויה לחלוטין לציבור;

• "Non-disclosure" (אי חשיפה), מכירה או שימוש בפגיעות בעצמך;

• "Coordinated Vulnerability Disclosure" (CVD), חשיפה מתואמת של פגיעות.

הנוהג האחרון מועדף במפורש.

קהילת טכנולוגיות המידע גילתה נכונות רבה לשתף ידע וניסיון. חיפוש שיתוף פעולה עם קהילה זו יכול אפוא לסייע בשיפור האבטחה הכוללת של מערכות.

מטרת החשיפה המתואמת של פגיעויות

מטרת ה-CVD היא לתרום לאבטחת מערכות מידע על ידי שיתוף ידע על פגיעויות. ב-CVD הידע משותף עם ארגון אחד או יותר שעשויים להיות פגיעים כדי להגיע לפתרון משותף לפגיעות שנמצאה בשיתוף פעולה עם הצד המדווח. חשוב שלארגונים המושפעים יהיה מספיק זמן לתקן כל פגיעות או להגן על מערכות כדי להגביל או למנוע אובדן או נזק ככל האפשר. אבן הפינה של התהליך היא חשיפת הידע על הפגיעויות לאחר התיקון.

ב-CVD חיוני שכל הצדדים יצייתו להסכמות על אופן הדיווח על פגיעות ואופן הטיפול בה. מועיל אם ארגון מפרסם מראש תנאים מוקדמים, כגון אילו מערכות נכללות בהיקף ואיזה סוג מחקר ניתן לבצע. עיקרון חשוב לתנאים מוקדמים אלה הוא שהארגון לא יתלונן, באופן עקרוני, על הצד המדווח ולא ינקוט צעדים משפטיים אחרים אם החקירה והדיווח מתבצעים במסגרת התנאים שנקבעו. הנחיות אלה מספקות לארגונים הדרכה בניסוח מדיניות משלהם כדי להגשים את עקרונות ה-CVD.

כפי שהשם מרמז, מרכזי ב-CVD שהארגון והצד המדווח מתאמים ביניהם. מבחינה זו, צריכים להיות כמה שפחות חוליות בין האדם המדווח על הפגיעות לבין האדם בתוך הארגון האחראי לפתרון הבעיה.

ייתכן שחשוב להודיע לכמה צדדים בו זמנית אם פגיעות משפיעה על מערכות רבות. במקרה כזה, ה-NCSC או צדדים אחרים בקהילת האבטחה יכולים לתמוך בתהליך ה-CVD מתוך תפקיד מתאם.

3. תחומי אחריות

מטרת ניהול מדיניות CVD היא שהצדדים המדווחים והארגון יעבדו יחד כדי להפחית את הפגיעויות במערכות מידע. יישום מדיניות זו צריך להיחשב כהשלמה לאמצעים הקיימים בנושא אבטחת מידע. לשחקנים השונים יש לכל אחד תפקיד ו אחריות משלו. אלה מוסברים בפירוט נוסף להלן.

הארגון שבבעלותו/בניהולו מערכת

הארגון שבבעלותו/בניהולו או המספק מערכת אחראי בראש ובראשונה לאבטחת מערכת זו. במילים אחרות, הארגון אחראי גם למעקב אחר דיווח פגיעות.

הארגון רשאי לבחור לנסח מדיניות CVD משלו תוך שימוש בהנחיות אלה ולהעביר מדיניות זו לצדדים מדווחים פוטנציאליים. על ידי פרסום מדיניות CVD, ארגונים מראים את נכונותם לקבל מידע על פגיעויות.

צד המקים מדיניות CVD יכול להתחייב לעיקרון שלא יגיש תלונה למשטרה אם הכללים החלים על המדיניות נשמרים.

לאחר שצד מדווח דיווח על פגיעות, האחריות מוטלת על הארגון. חשוב להבין שהצד המדווח הוא לעיתים קרובות מישהו מחוץ לארגון. לצד זה אין תצוגה ישירה של התהליכים הפנימיים שעשויים להיות מופעלים לאחר דיווח על פגיעות. כתוצאה מכך, צדדים מדווחים יעריכו שיעדכנו אותם בנוגע להתפתחויות בפתרון הפגיעות. תקשורת מתמשכת זו חשובה גם כדי ליצור את הציפיות הנכונות לגבי המשך הטיפול ועמידה בזמנים של הפתרון.

הצד המדווח על פגיעות

בדרך זו או אחרת, הצד המדווח הצליח לזהות פגיעות ורוצה לתרום לאבטחת מערכות מידע על ידי כך שיתוקן פגיעות זו ואולי תפורסם בשלב מאוחר יותר. הצד המדווח אולי גילה משהו באמצעות התבוננות פסיבית או על ידי בדיקה פעילה של מערכת המידע. כמובן, צד זה אחראי למעשיו ולאופן שבו גילה את הפגיעות. זו אחריותו של הצד המדווח עצמו להכיר את התנאים שקבע ארגון במדיניות ה-CVD שלו. רוב הממשלות והחברות פרסמו את מדיניות ה-CVD שלהן באתרי האינטרנט שלהן.

עם זאת, מציאת פגיעויות עשויה לכלול הפרת חוק. בהקשר של CVD, הארגון והצד המדווח יכולים להסכים שלא יגישו תלונה על כל מעשה פלילי. בהקשר זה, מדיניות ה-CVD שפרסם הארגון היא העיקרון המנחה. הצדדים יכולים גם להסכים שלא ינקטו כל פעולה אזרחית.

אם קיים חשד שהחוק הופר על ידי הצד המדווח, מדיניות CVD יכולה קודם כל לסייע במניעת הגשת תלונה נגד המדווח לרשויות. הליך זה תלוי כולו בתנאים המוקדמים של המדיניות שארגון דורש מצד מדווח לציית להם, ובשאלה האם ציות זה הושג, אולי עם הבטחה מתאימה שלא להגיש תלונה פלילית כל עוד הצד פועל במסגרת תנאי המדיניות. אם מוגשת תלונה במשטרה, קיומה של מדיניות CVD והציות לה הם נסיבה רלוונטית בהולנד, שהתובע ישקול בעת החלטה אם להתחיל בחקירה פלילית ו/או להעמיד לדין. באופן עקרוני, המשטרה והפרקליטות (OM) לא יתחילו בחקירה פלילית אם הצד המדווח ציית בבירור לכללי מדיניות ה-CVD של הארגון הרלוונטי. עם זאת, הפרקליטות והמשטרה יכולות לחקור את המקרה נוספת אם יש אינדיקציות לכך שהצד המדווח הרחיק לכת במודע או שלא במודע במעשיו ו/או לא ציית למדיניות ה-CVD. על בסיס חקירה זו, הפרקליטות יכולה להחליט אם להעמיד לדין.

הפרקליטות פרסמה מכתב מדיניות שבו היא דנה באופן ספציפי יותר בהיבטים החשובים להגעה להחלטה לחקור ו/או להעמיד לדין. לדוגמה, האם מעשי הצד המדווח שירתו אינטרס ציבורי חשוב, האם הצד פעל שלא באופן מידתי והאם הצד היה יכול אולי לפעול בדרך אחרת, פחות דרסטית. מכתב המדיניות הרלוונטי מפרט עוד היבטים אלה.2 הפסיקה הרלוונטית מאז 20133 מראה שהיבטים אלה נלקחים בחשבון גם בבית המשפט אם לארגון אין מדיניות CVD.

4. אבני הבניין של תהליך החשיפה המתואמת של פגיעויות

להלן מובאות אבני בניין לעיצוב תהליך ה-CVD עבור הארגון, המדווח וה-NCSC.

הארגון

קידום CVD מתחיל בארגון שבבעלותו מערכות מידע או שמספק מוצר/מערכת מידע. אחרי הכל, ארגון זה אחראי בראש ובראשונה לאבטחת המידע של מערכות מידע אלה. כדי לעבוד ביעילות עם צדדים שונים לפתרון פגיעויות, ארגון רשאי להחליט לנסח ולפרסם מדיניות CVD. ניסוח מדיניות CVD משלו מאפשר לארגון להראות כיצד הוא מטפל בדיווחי פגיעויות. כך, ארגון יכול גם לעצב את האופן שבו הוא מעוניין לקבל הודעות. תהליך כזה יכול להיות מאורגן כדלקמן:

• הארגון קובע ומפרסם מדיניות CVD.

• במדיניות זו, הארגון מספק כללים ברורים למחקר שצדדים מדווחים יכולים לבצע, כגון אילו טכניקות מותרות ואילו מערכות נמצאות בהיקף או מחוצה לו.

• הארגון מקל על צד מדווח לדווח. אפשרות אחת היא שימוש בשיטת דיווח סטנדרטית; לדוגמה, כתובת דוא"ל ספציפית או טופס מקוון. בנוסף, הארגון יכול להחליט אם לקבל דיווחים אנונימיים.

• הארגון שומר קיבולת פנימית ומקים תהליך כדי להגיב כראוי לדיווחים. מומלץ להקים תהליך שבאמצעותו ניתן לתקן כראוי פגיעויות שנמצאו. בהקשר זה, מקור הדיווח אינו רלוונטי. ייתכן שהפגיעות זוהתה גם על ידי עובד פנימי או במהלך בדיקה, למשל.

• ניסיון מעשי מראה שיהיה עניין רב יותר בדיווח פגיעויות לארגון לאחר הפרסום הראשוני של מדיניות CVD. הארגון צריך לשקול זאת בעת תכנון קיבולת (נוספת).

• כאשר הארגון מקבל את דיווח הפגיעות, הוא מוודא ש הדיווח מגיע בהקדם האפשרי למחלקה המתאימה ביותר להעריך ולטפל בדיווח.

• הארגון שולח אישור קבלה של הדיווח אל הצד המדווח, רצוי חתום דיגיטלית כדי להדגיש את העדיפות.

• לאחר מכן, הארגון ייכנס להתייעצות עם הצד המדווח כדי לקבוע את התקופה שבמהלכה יתקיים כל פרסום. תקופה זו תהיה תלויה מאוד באופי הפגיעות ובסוג המערכת.

• כהנחיה, תקופה של כ-60 יום משמשת לעיתים קרובות לפגיעויות תוכנה. תיקון פגיעויות בחומרה קשה יותר להשגה; ניתן להשתמש בהנחיה של 6 חודשים.

• ייתכן שרצוי להאריך או לקצר תקופה זו בהסכמה הדדית בהתאם לכמה או כמה מעט מערכות מידע תלויות במערכת שעבורה דווחה הפגיעות או אם הפגיעות קלה או קשה יותר לפתרון.

• פגיעות עשויה להתברר כקשה או בלתי אפשרית לפתרון, או שעשויות להיות עלויות גבוהות הכרוכות בפתרונה. במקרים כאלה, הארגון רשאי להסכים להתייחס לפגיעות כסיכון מקובל ולא לתקן אותה, אולי בהיוועצות עם הצד המדווח.

• הארגון ישמור על הצד המדווח מעודכן בנוגע להתפתחות התהליך.

• בנוסף, הארגון יכול להציע שהצד המדווח יזכה להכרה פומבית על פרסום הפגיעות. אפשר גם לבחור בחשיפה משותפת לעולם החיצון.

• עדיף לתגמל את הצד המדווח על דיווח פגיעויות במערכות אם הצד ציית לכללי מדיניות ה-CVD. גובה התגמול עשוי להיות תלוי באיכות הדיווח. תגמול הצד המדווח יכול ליצור יחסים טובים יותר בין אותו צד לבין הארגון, וכן להגביר את נכונות האנשים לדווח דיווחים חדשים בהתאם למדיניות ה-CVD.

• בהיוועצות עם הצד המדווח, הארגון יכול להסכים להודיע לקהילת טכנולוגיות המידע הרחבה יותר על הפגיעות אם סביר ש הפגיעות קיימת גם במקומות אחרים.

• במדיניות ה-CVD שלו, הארגון יכול להתחייב לעיקרון שהוא לא יגיש תלונה למשטרה אם הצד המדווח ציית לכללים המתוארים במדיניות.

הצד המדווח

הצד המדווח הוא המפתח לתהליך CVD מוצלח. בדרך זו או אחרת, צד זה הצליח לזהות פגיעות ורוצה לתרום לאבטחת מערכות מידע על ידי כך שארגון יתקן פגיעות זו ותפורסם לציבור. בכך, צדדים מדווחים מכירים בכך שהם יכולים לתרום תרומה חשובה לחברה על ידי חשיפת פגיעויות באופן מתואם. כדי להשיג תהליך CVD מוצלח, אבני הבניין הבאות חשובות לצד המדווח:

• הצד המדווח אחראי למעשיו ועליו לשמור על עקרונות המידתיות וכן הסובסידיאריות (subsidiarity) בעת חקירה ו דיווח על פגיעויות. במילים אחרות, הצד המדווח לא צריך לעשות יותר מהנדרש כדי להדגים את הפגיעות וצריך תמיד לדווח על הפגיעות קודם כל לבעל המערכת/המידע.

• הצד המדווח חייב לדווח על הבעיה בהקדם האפשרי כדי למנוע מצדדים זדוניים לגלות את הפגיעות ולנצל אותה.

• הצד המדווח חייב לבצע את הדיווח לארגון באופן חסוי כדי למנוע מאחרים לקבל גישה למידע זה.

• הצד המדווח אינו רשאי להתנות את הגשת הדיווח או את המשך מסירת המידע בתגמול. היוזמה למתן תגמול במקרה של דיווח מוטלת על הארגון המקבל, שיכול לתאר תנאים מוקדמים במדיניות המפורסמת שלו.

• הצד המדווח והארגון מגבשים הסכמות ברורות לגבי חשיפת הפגיעות. אם מעורב יותר מארגון אחד, העיקרון הבסיסי הוא שניתן לפרסם פגיעויות רק אם כל הארגונים מסכימים לכך. מומלץ לגבש הסכמות אלה בשלב מוקדם.

• הצד המדווח והארגון המעורב יכולים לגבש הסכמות לגבי הודעה לקהילת טכנולוגיות המידע הרחבה יותר. לדוגמה, מצב זה עשוי לחול על פגיעות (בין אם כבר ידועה ובין אם לא) שידוע שהיא קיימת ביותר ממקום אחד. המרכז הלאומי לאבטחת סייבר (NCSC) יכול להיות מעורב בתהליך זה כדי לתמוך בקבוצות היעד של הממשלה המרכזית והתשתית הקריטית או כדי להודיע לכמה צדדים במקרה של פגיעות ש משפיעה על מערכות רבות.

ה-NCSC

תהליך ה-CVD הוא בראש ובראשונה עניין של ארגונים וצדדים מדווחים. עם זאת, ה-NCSC יעודד שימוש בתהליך CVD. בהיוועצות עם הצד המדווח והארגון, ה-NCSC יכול גם להיות מעורב בשיתוף מידע על הפגיעות עם קהל היעד שלו כדי להגביל סיכוני אבטחה נוספים הנובעים מהפגיעות.

אם דיווח הפגיעות אינו מתנהל כפי שהצד המדווח מצפה, או אם הוא מעדיף שלא לדווח על הפגיעות ישירות לארגון, הוא יכול ליצור קשר עם ה-NCSC.4 במקרה זה, ה-NCSC יכול לפעול כ מתווך במידת הצורך.

בעל מערכת המידע אחראי בכל עת לאבטחת המערכת. ה-NCSC אינו יכול לחייב את בעל המערכת לתקן פגיעות, וגם אינו יכול להבטיח שהבעלים לא ינקוט צעדים משפטיים נגד הצד המדווח. כתוצאה מכך, הצד המדווח חייב לקחת בחשבון את אבני הבניין שהוזכרו לעיל עבור ארגונים וצדדים מדווחים בעת חיפוש ודיווח על פגיעות. צד מדווח יכול לצפות שה-NCSC יעשה את כל מה שביכולתו כדי שהפגיעות תתוקן וכן יטפל בדיווח בסודיות. ה-NCSC אינו משתף נתונים אישיים אלא אם הוא מחויב לכך על פי חוק.

אם אפשר, ה-NCSC ישתמש במידע שהתקבל על פגיעויות בהיוועצות עם ארגונים וצדדים מדווחים כדי לשתף עוד את הידע עם קהילת טכנולוגיות המידע. לדוגמה, הוא יכול לעשות זאת על ידי פרסום חלק מ המידע, כתיבה או עדכון של דף עובדות (fact sheet) או נייר עמדה (white paper), או על ידי הודעה לארגונים ספציפיים.

• בהתאם לארגון הנוגע בדבר ולאופי הפגיעות שנקבעה, ה-NCSC ישתדל להביא את הפגיעות לידיעת הארגון הנוגע בדבר. עם זאת, בעל מערכת המידע הנדונה נשאר אחראי למערכת.

• במידת האפשר והצורך, ה-NCSC יספק לארגון הנוגע בדבר ייעוץ כיצד לתקן את הפגיעות.

• ה-NCSC יטפל בדיווחים בסודיות ולא ישתף את הנתונים האישיים של הצדדים המדווחים או של הארגון המקבל ללא הסכמה, אלא אם הדבר נובע מחובה סטטוטורית.

• בכל מקום אפשרי, ה-NCSC ישמור על הצד המדווח מעודכן בנוגע להתפתחויות בקשר עם הארגון ובתיקון הפגיעות.

• במקרים שבהם מוגש דיווח ל-NCSC, ה-NCSC ינסה ליצור קשר בין הצד המדווח או הצד המדווח הפוטנציאלי לבין הארגון.

אם צד מדווח מצא פגיעות במוצר תוכנה או פגיעות המשפיעה על מערכות רבות ושונות, למשל, הצד המדווח יכול לבקש מה-NCSC לתאם את התיקון והחשיפה של הפגיעות.

יחד עם הצד המדווח, שותפים, מפתחים ו/או מפתחי תוכנה וצוותי אבטחה אחרים, ה-NCSC יסייע לנתח, לתקן או לגרום לתיקון, לתאם ולחשוף את הפגיעות באופן מבוקר. כל התהליך הזה מתקיים בהיוועצות הדוקה עם הצד המדווח שמצא את הפגיעות.

מדיניות CVD מנסה לאזן בין חשיבות חשיפת פגיעויות במהירות האפשרית, כך שניתן יהיה לנקוט אמצעים, לבין חשיבות כך שלמפתחים וגם לספקים יהיה מספיק זמן לתקן את הפגיעות. לתהליך זה, ה-NCSC משתמש במונח סטנדרטי של 60 יום בין הדיווח לחשיפה הפומבית. עם זאת, ייתכנו נסיבות שבהן ניתן להחליט להאריך או לקצר תקופה זו.

ה-NCSC ישתף מידע על הפגיעות עם צדדים שלישיים רק לאחר היוועצות עם הצד המדווח. חיוני בהקשר זה שה-NCSC ישתף פעולה ולכן ישתף מידע על הפגיעות עם בעלי עניין כדי לחשוף פגיעות באופן מתואם. ה-NCSC יבטיח בכך שהצדדים הנכונים יוכלו לעבוד על תיקון הפגיעות, יסייע להגביל כל אובדן או נזק ויסייע למשוך תשומת לב לפגיעות שנמצאה.

5. תקשורת ותהליך החשיפה

חמש שנים של פרקטיקה הראו שתקשורת ברורה היא אבן הפינה של תהליך CVD מוצלח. יש נקודות תשומת לב לפני, במהלך ואחרי תהליך ה-CVD.

תקשורת על תהליך החשיפה

פרסום מדיניות CVD הוא צעד ראשון בתקשורת על התהליך. על ידי פרסום מדיניות בפומבי, צדדים מדווחים מוזמנים להודיע לארגון על כל פגיעות שנמצאה.

מחד, הארגון יכול לקבוע תנאים למחקר שנעשה כדי לגלות פגיעויות ולאופן שבו מבקשים קשר. מאידך, הארגון יכול להתחייב לעיקרון שהוא לא יגיש תלונה למשטרה אם כללי המדיניות נשמרים. גישה זו מגנה על מעמדו של הצד המדווח.

מדיניות CVD עשויה להשתנות או להתעדכן במועד מאוחר יותר. חשוב להיות ברורים לגבי שינויים בהקשר זה. לצדדים מדווחים יש עניין לדעת מה השתנה ומתי. לדוגמה, ניתן להבהיר שינויים על ידי הוספת תאריך פרסום בתחילת מדיניות ה-CVD, על ידי תיאור סיכום שינויים מתחת למדיניות ה-CVD או על ידי שמירת ארכיון עם גרסאות ישנות של מדיניות ה-CVD.

מדיניות ה-CVD יכולה לספק הנחיות כיצד לתקשר במהלך התהליך, למשל על ידי ציון עדכונים סדירים בדוא"ל או בפורטל אינטרנט. בנוסף, מדיניות ה-CVD יכולה לתאר כיצד אפשר להכיר במדווח על ידי הזכרתו בעדכון, קבלה להיכל התהילה (hall of fame) או כל צורה אחרת של תגמול.

תקשורת במהלך תהליך החשיפה

צד מדווח מתחיל תהליך CVD על ידי שליחת הודעה לארגון. בהודעה זו, הצד המדווח נותן תיאור ברור של הפגיעות שהתגלתה. מרכיבים חשובים הם כתובת ה-IP או ה-URL של המערכת המושפעת והשלבים הנחוצים לשחזור הפגיעות.

חשוב שהארגון יתקשר בבירור עם הצד המדווח כך שהציפיות לגבי התהליך יהיו ברורות.

הוא יכול לעשות זאת כבר על ידי שליחת אישור קבלה (אוטומטי או אחר) המכיל אינדיקציה לתקופה שבתוכה תישלח תגובה עניינית ראשונה או מאוחרת יותר.

אפשר גם להשאיר תקופה זו פתוחה ולתת אינדיקציה ראשונית לתקופה לאחר הערכת תוכן הדיווח. מומלץ להיות ברורים בהקדם האפשרי לגבי התקופה שבתוכה ניתן להשיג פתרון. כך המדווח יודע מתי ניתן לצפות לתוצאה.

במקרים מסוימים ייתכן שתאריך פרסום כבר ברור לצד המדווח; למשל, בגלל הרצאה בכנס או משום שהצד המדווח קבע לעצמו מועד. במקרה זה, עדיין חשוב שהצד המדווח יתקשר לוח זמנים זה בבירור, יציין אותו בהקדם האפשרי ויהיה ברור לגבי האפשרות/חוסר האפשרות לדחות תאריך זה.

צד מדווח הוא לעיתים קרובות מישהו מחוץ לארגון, שאין לו תובנה לגבי התהליכים הפנימיים שדיווח עשוי להפעיל. ארגונים יכולים לשמור על הצד המדווח מעודכן בנוגע להתפתחויות התהליך באמצעות עדכונים סדירים. גישה זו מבהירה לצד מדווח שעובדים על פתרון. במידת הצורך, ארגון יכול לבקש הבהרה או לבדוק פתרון במהלך התהליך.

אם ארגון אינו מסוגל לעמוד במועד הפתרון הראשוני, ניתן לדון עם המדווח בדחייתו. תקשורת סדירה יכולה להבהיר מצב זה למדווח בשלב מוקדם יותר.

הכוונה העיקרית של CVD היא להפחית את הפגיעות, אך "חשיפה מלאה" (full disclosure) של הפגיעות היא תמיד אפשרות עבור צד מדווח אם הוא מרגיש שהתהליך יימשך זמן רב מדי. אמצעי זה הוא ה"מקל הגדול" (big stick) המוכר שעומד לרשות הצד המדווח. מטבע הדברים, יש למנוע מצב זה ככל האפשר.

תקשורת לאחר תהליך החשיפה

קיימות סיבות אפשריות רבות לכך שצד מדווח עשוי לחפש פגיעויות ואז לדווח עליהן לארגונים באמצעות תהליך ה-CVD. עבור מספר גדול של צדדים מדווחים, תמריץ חשוב הוא הכרה (פומבית).

צדדים מדווחים מקבלים הכרה פומבית באמצעות תודה בעדכון או הכנסה להיכל התהילה (hall of fame). עם זאת, הצורך בהכרה פומבית אינו חל על כל הצדדים המדווחים; חלקם למעשה אינם רוצים להיות ידועים לציבור. במקרה של תקשורת על ידי הארגון, לכן מומלץ לקבל את הסכמת הצד המדווח להזכרת שמו.

בנוסף, צדדים מדווחים יכולים גם להחליט לתקשר על דיווח לאחר השלמת תהליך ה-CVD. לדוגמה, הצד המדווח יכול לתאר את תהליך הגילוי או להזהיר אחרים מפני הפגיעות. מדווח יכול להחליט להגיש את הפרסום לארגון לצורכי מידע. מכיוון שתהליך ה-CVD מסתיים באופן עקרוני לאחר הסרת הפגיעות, הצד המדווח חופשי לאחר מכן לתקשר על כך, אלא אם נעשו הסכמות נוספות במדיניות או במהלך התהליך.

רשימה

תקשורת על תהליך החשיפה

• פרסום מדיניות ה-CVD באתר האינטרנט

• בהירות לגבי הגבלות (ראו פרק 6 לגישות שונות)

• הגבלות בשיטות החקירה

• הנחיות לגבי תקשורת

• הנחיות לגבי תגמולים אפשריים: היכל תהילה (Hall of fame), תגמול כספי, חולצת טי וכדומה

• בהירות לגבי כל עדכון של מדיניות ה-CVD, כולל תאריך השינויים

תקשורת במהלך תהליך החשיפה

• המדווח יוצר קשר עם הארגון לגבי פגיעות שהתגלתה.

• הארגון מנהל ציפיות, כגון זמן התגובה לתגובה טכנית ראשונה

• הארגון והמדווח נותנים זה לזה בהירות לגבי תקופת הפתרון הצפויה

• הארגון מספק לעיתים קרובות עדכון (תהליך)

• במידת הצורך, המדווח והארגון דנים ביצירת קשר עם ארגונים רלוונטיים אחרים

תקשורת לאחר תהליך החשיפה

• דיון בהכרה (פומבית) ובתגמול המדווח

• הסדרת האופן שבו יפורסם מידע על הפגיעות, כגון שלב המחקר או הודעה לארגונים אחרים

6. דוגמאות למדיניות חשיפה מתואמת של פגיעויות

קיימות צורות רבות ושונות של טקסטים של מדיניות לחשיפה מתואמת של פגיעויות. מכיוון שמדיניות ה-CVD שפורסמה משמשת כתמרור עבור צדדים מדווחים פוטנציאליים, ודאו שצורת מדיניות זו מתיישבת עם המדיניות והאסטרטגיה של הארגון.

המרכיבים הבאים חשובים במדיניות CVD:

• שיטת יצירת קשר לתקשורת מאובטחת;

• תנאים מוקדמים לצדדים מדווחים;

• ציפיות ברורות לטיפול בדיווח;

• שיטת תגמול על דיווח;

• מספר גרסה ותאריך העדכון האחרון.

להלן שלוש דוגמאות: ארגונים רבים בהולנד שאבו מהדוגמה הבסיסית של ResponsibleDisclosure.nl. ארגונים אחרים כוללים תנאים מוקדמים נוספים, ראו את המדיניות של Fox IT. ארגונים אחרים עדיין מיישמים פורמט חופשי יותר כדי להתאים לקהל היעד שלהם, ראו את המדיניות של Bits of Freedom.

דוגמה: ResponsibleDisclosure.nl

טקסט זה נכתב על ידי Floor Terra ומפורסם ברישיון Creative Commons Attribution 3.0 Unported.

ב-Acme Corporation אנו רואים באבטחת המערכות שלנו עדיפות עליונה. אבל לא משנה כמה מאמץ אנו משקיעים באבטחת המערכות, עדיין עשויות להיות פגיעויות.

אם גיליתם פגיעות, נרצה לדעת עליה כדי שנוכל לנקוט צעדים לטפל בה במהירות האפשרית.

נרצה לבקש מכם לעזור לנו להגן טוב יותר על הלקוחות והמערכות שלנו.

אנא עשו את הדברים הבאים:

• שלחו את הממצאים שלכם בדוא"ל אל cert@example.com. הצפינו את הממצאים שלכם באמצעות מפתח ה-PGP שלנו כדי למנוע ממידע קריטי זה ליפול לידיים הלא נכונות,

• אל תנצלו את הפגיעות או הבעיה שגיליתם, למשל על ידי הורדת יותר נתונים מהנדרש כדי להדגים את הפגיעות או מחיקה או שינוי של נתוני אנשים אחרים,

• אל תחשפו את הבעיה לאחרים עד שתיפתר,

• אל תשתמשו בהתקפות על אבטחה פיזית, הנדסה חברתית, מניעת שירות מבוזרת, ספאם או יישומים של צדדים שלישיים, וכן

• ספקו מידע מספיק כדי לשחזר את הבעיה, כך שנוכל לפתור אותה במהירות האפשרית. בדרך כלל כתובת ה-IP או ה-URL של המערכת המושפעת ותיאור הפגיעות יספיקו, אך פגיעויות מורכבות עשויות לדרוש הסבר נוסף.

מה אנו מבטיחים:

• נשיב לדיווח שלכם בתוך 3 ימי עסקים עם הערכתנו את הדיווח ותאריך פתרון צפוי,

• אם פעלתם לפי ההוראות לעיל, לא ננקוט שום פעולה משפטית נגדכם בנוגע לדיווח,

• נטפל בדיווח שלכם בסודיות קפדנית, ולא נעביר את פרטיכם האישיים לצדדים שלישיים ללא רשותכם,

• נעדכן אתכם בהתקדמות לקראת פתרון הבעיה,

• במידע הציבורי בנוגע לבעיה שדווחה, ניתן את שמכם כמגלה הבעיה (אלא אם תרצו אחרת), וכן

• כאות תודה על עזרתכם, אנו מציעים תגמול על כל דיווח על בעיית אבטחה שעדיין לא הייתה ידועה לנו. גובה התגמול ייקבע לפי חומרת הדליפה ואיכות הדיווח. התגמול המינימלי יהיה שובר מתנה בסך 50 €.

אנו שואפים לפתור את כל הבעיות במהירות האפשרית, ונרצה למלא תפקיד פעיל בפרסום הסופי על הבעיה לאחר שתיפתר.

דוגמה: Fox-IT

ב-Fox-IT אנו רואים באבטחת המערכות, הרשת והמוצרים שלנו דבר בעל חשיבות עליונה. למרות הזהירות הרבה שאנו נוקטים בנושא אבטחה, עדיין עשויות להישאר נקודות תורפה. אם מצאתם חולשה כזו, נרצה לשמוע על כך בהקדם האפשרי כדי שנוכל לנקוט באמצעים המתאימים במהירות האפשרית.

אפשר לגלות נקודות תורפה בשתי דרכים: אפשר להיתקל במקרה במשהו במהלך שימוש רגיל בסביבה דיגיטלית, או אפשר לעשות במפורש כמיטב יכולתכם כדי למצוא אותן.

מדיניות החשיפה האחראית שלנו אינה הזמנה לסרוק באופן פעיל את הרשת העסקית שלנו כדי לגלות נקודות תורפה. אנו מנטרים את הרשת העסקית שלנו בעצמנו. פירוש הדבר שיש סיכוי גבוה שסריקה תיתגלה, ושמרכז מבצעי האבטחה (Security Operation Center, ‏SOC) שלנו יבצע חקירה, דבר שעלול להוביל לעלויות מיותרות. עם זאת, אתם מוזמנים לחפש באופן פעיל פגיעויות במוצרים שלנו בסביבה לא מקוונת שאינה סביבת ייצור, ולדווח לנו על ממצאיכם. האחריות שלנו כלפי הלקוחות פירושה שכוונתנו אינה לעודד ניסיונות פריצה לתשתית שלהם; עם זאת, נרצה לשמוע מכם בהקדם האפשרי אם נמצאות פגיעויות, כדי שנוכל לפתור אותן כראוי.

נרצה לעבוד אתכם כדי שנוכל להגן טוב יותר על הלקוחות והמערכות שלנו.

אנו מבקשים מכם:

• לשלוח את ממצאיכם בדוא"ל בהקדם האפשרי אל security-alert@fox-it.com.

• לא לנצל לרעה את הפגיעות; למשל על ידי הורדה, עריכה או מחיקה של נתונים. נתייחס תמיד ברצינות לדיווח שלכם ונחקור כל חשד לפגיעות, גם ללא הוכחה.

• לא לשתף את הבעיה עם אחרים עד שתיפתר.

• לא להשתמש בהתקפות על אבטחה פיזית, בהנדסה חברתית או בכלי פריצה, כגון סורקי פגיעויות.

• לספק מידע נאות כדי שניתן יהיה לשחזר את הבעיה כך שנוכל לפתור אותה במהירות האפשרית. בדרך כלל כתובת ה-IP או ה-URL של המערכת המושפעת ותיאור הפגיעות מספיקים, אם כי ייתכן שיידרש מידע נוסף עבור פגיעויות מורכבות יותר.

מה אנו מבטיחים:

• נשיב לדיווח שלכם תוך שלושה ימי עסקים, עם הערכתנו את הדיווח ותאריך פתרון צפוי.

• נטפל בדיווח שלכם בסודיות, ולא נשתף את המידע האישי שלכם עם צדדים שלישיים ללא רשותכם. חריג לכך הם המשטרה והמערכת השיפוטית במקרה של העמדה לדין או אם נדרש מידע.

• נעדכן אתכם בהתקדמות הפתרון של הבעיה.

• בתקשורת על הבעיה שדווחה, נציין את שמכם כ הצד שגילה את הבעיה, אם תרצו.

• למרבה הצער אי אפשר להבטיח מראש שלא ינקטו צעדים משפטיים נגדכם. אנו מקווים שנוכל לשקול כל מצב לגופו. אנו רואים עצמנו מחויבים מוסרית לדווח עליכם אם אנו חושדים שהחולשה או הנתונים מנוצלים לרעה, או שחלקתם ידע על החולשה עם אחרים. תוכלו להיות סמוכים ובטוחים שגילוי מקרי בסביבה המקוונת שלנו לא יוביל להעמדה לדין.

• כאות תודה על עזרתכם, אנו מציעים תגמול על כל דיווח על בעיית אבטחה שאינה ידועה לנו. אנו קובעים את ערך התגמול על בסיס חומרת ההפרה ואיכות הדיווח.

אנו שואפים לפתור את כל הבעיות במהירות האפשרית, לשמור את כל הצדדים המעורבים מעודכנים, ונרצה להיות מעורבים בכל פרסום על הבעיה לאחר שתיפתר.

דוגמה: Bits of Freedom

התלות שלנו בתשתית דיגיטלית הולכת וגוברת. הדבר נכון לחברה כולה, אך גם לנו עצמנו. לכן דעתנו היא ש ממשלות וארגונים (כולל שלנו) צריכים להתחייב בתוקף להבטחת התשתית הדיגיטלית שלנו. אנו מבינים שלמרות כוונותינו הטובות ביותר והזהירות הרבה ביותר, ייתכן שקיימות פגיעויות במערכות שלנו. אם אכן מצאתם אחת מהחולשות הללו, נשמח לשמוע מכם כדי שנוכל לפתור את הבעיה.

מה אנו מצפים מכם

• כשאתם חוקרים את אחת המערכות שלנו, זכרו את המידתיות של ההתקפה. אין צורך להדגים שכאשר אתם מטילים על האתר שלנו את התקפת ה-DDoS הגדולה ביותר בהיסטוריית האינטרנט, האתר עלול להיות בלתי נגיש. אנחנו יודעים זאת. אנו מבינים גם שאם תנהגו בדחפור לתוך המשרד שלנו, כנראה שתצליחו לחטוף אחד מ המחשבים הניידים שלנו.

• עקרון המידתיות הזה רלוונטי גם בהדגמת הפגיעות עצמה. אין לבדוק או לשנות יותר נתונים מהנדרש בהחלט כדי לאשר את תקפות הממצא שלכם. לדוגמה, אם אתם יכולים לשנות את דף הבית שלנו, פשוט הוסיפו לו מילה אחת לא שנויה במחלוקת במקום להשתלט על הדף כולו. אם תוכלו לקבל גישה למסד נתונים, מספיק להראות לנו רשימה של הטבלאות שבו, או אולי את הרשומה הראשונה באחת הטבלאות הללו.

• יש לדווח על פגיעות באחת המערכות שלנו בהקדם האפשרי על ידי שליחת דוא"ל אל security@bof.nl. רצוי שתצפינו את ההודעה שלכם באמצעות OpenPGP. אנא ספקו מידע מספיק כדי שנוכל לשחזר ולחקור את הבעיה.

• מפתח ה-OpenPGP הציבורי עבור security@bof.nl

• לא תשתפו את הידע שלכם על הפגיעות עם צדדים אחרים כל עוד לא טיפלנו בבעיה ועדיין בתוך מסגרת זמן סבירה מאז שדיווחתם על הבעיה.

• תמחקו את כל המידע החסוי שהשגתם במהלך החקירה שלכם ברגע שנפתור את הפגיעות.

מה אתם יכולים לצפות מאיתנו

• נשיב לדיווח שלכם בתוך שלושה ימים באופן מפורט. נכלול הערכה של הזמן שיידרש לנו כדי לטפל בבעיה. כמובן, נעדכן אתכם באופן סדיר בהתקדמותנו.

• נפתור את הפגיעות בהקדם האפשרי. גם כאן מידתיות חשובה: משך הזמן הנדרש לתיקון פגיעות תלוי בכמה גורמים, ובהם חומרת הבעיה ומורכבותה.

• כאשר אתם פועלים לפי ההנחיות המפורטות כאן, לא ננקוט פעולה משפטית נגדכם בנוגע לדיווח שלכם.

• חשוב לנו לתת לכם קרדיט על מה שעשיתם - אם תרצו. נזכיר את שמכם בפרסום בנוגע לפגיעות רק אם תסכימו לכך.

• כתודה על העזרה בהגנה טובה יותר על המערכות שלנו, נרצה לתגמל כל דיווח על פגיעות שהייתה לא ידועה לנו באותה עת. התגמול יהיה תלוי בחומרת הפגיעות ובאיכות הדיווח.

אם תמצאו פגיעות בתוכנת צד שלישי שבה אנו משתמשים והפגיעות הזו מכוסה בתוכנית bug bounty, לא ננסה לתבוע את התגמול הזה; אתם צריכים לעשות זאת.