NCSC.nl

1. परिचय

समाज का डिजिटलीकरण बढ़ता जा रहा है। आजकल लगभग सभी प्रक्रियाओं में किसी न किसी मोड़ पर कंप्यूटर का उपयोग होता है, मोबाइल फ़ोन से लेकर विशेषीकृत सॉफ़्टवेयर तक। हालाँकि यह विकास कई नए अवसर पैदा करता है, फिर भी आईटी सिस्टम की भेद्यताओं का बड़ा प्रभाव हो सकता है। इसलिए इन भेद्यताओं के बारे में ज्ञान को प्रभावी ढंग से संभाला जाना चाहिए।

2013 की शुरुआत में कई संगठनों ने भेद्यताओं की रिपोर्ट करने के तरीके पर नीति प्रकाशित करना शुरू किया। इन पक्षों से परामर्श के बाद राष्ट्रीय साइबर सुरक्षा केंद्र (National Cyber Security Centre, NCSC) ने इन घटनाक्रमों का सार 'ज़िम्मेदार प्रकटीकरण की प्रथा प्राप्त करने के लिए दिशानिर्देश' ('Leidraad om te komen tot een praktijk van Responsible Disclosure'; "दिशानिर्देश") के रूप में प्रस्तुत किया। कंपनियाँ इस नीति के माध्यम से संकेत देती हैं कि वे बाहरी भेद्यता रिपोर्ट प्राप्त करने के लिए खुली हैं, अपनी पूर्व-शर्तें बताती हैं और वादे करती हैं। इस प्रक्रिया ने रिपोर्टिंग पक्षों के लिए स्पष्टता और एक कुछ हद तक सुरक्षित वातावरण बनाया, जिसमें वे सीधे अपराध किए बिना भेद्यताओं की जाँच और रिपोर्ट कर सकें। 2016 में साइबर सुरक्षा पर यूरोपीय संघ की उच्च-स्तरीय बैठक में 29 संगठनों ने समन्वित भेद्यता प्रकटीकरण घोषणापत्र¹ पर हस्ताक्षर करके भेद्यताओं से निपटने की नीति के महत्व की पुनः पुष्टि की, जिसे CIO Platform Netherlands और Rabobank ने NCSC के सहयोग से शुरू किया था।

समन्वित भेद्यता प्रकटीकरण (Coordinated Vulnerability Disclosure, CVD) सार्वजनिक और निजी पक्षों के लिए अत्यंत महत्वपूर्ण साबित हुआ है। वे दैनिक कामकाज में सूचना प्रणालियों के निर्बाध संचालन पर अत्यधिक निर्भर हैं। हाल के वर्षों में उनके सिस्टम में भेद्यताओं की रिपोर्टों ने, एक ओर भेद्यताओं को दूर करके और दूसरी ओर डच कंपनियों में आईटी सुरक्षा की सामान्य जागरूकता में योगदान देकर, सिस्टम की सुरक्षा और निरंतरता को बेहतर बनाने में मदद की है।

हाल के वर्षों में स्पष्ट हो गया है कि रिपोर्टिंग पक्ष संगठनों द्वारा बनाई गई CVD नीति की शर्तों के भीतर काम करने को तैयार हैं। रिपोर्टिंग पक्ष संगठनों को प्रत्यक्ष या अप्रत्यक्ष रूप से रिपोर्ट करते हैं। ज़िम्मेदार प्रकटीकरण की प्रथा ने दिखाया है कि नेक इरादे वाले रिपोर्टिंग पक्ष और भेद्य संगठन सहयोग कर पाए हैं और इस प्रकार नेटवर्क और सूचना प्रणालियों की सुरक्षा बढ़ाने में अगला कदम उठा पाए हैं।

इस संशोधन के लिए हमने एक बार फिर रिपोर्टिंग पक्षों, निजी और सार्वजनिक पक्षों के एक व्यापक और विविध समूह के साथ-साथ लोक अभियोजन सेवा और राष्ट्रीय पुलिस से बात की। इन बातचीतों ने वर्तमान प्रथा की पुष्टि की और जोड़ों व सुधारों को जन्म दिया। सबसे महत्वपूर्ण नया ध्यान-बिंदु भेद्यता रिपोर्टर और संगठन के बीच, तथा भेद्यता दूर होने के बाद अन्य पक्षों के साथ संवाद है।

अगले अध्याय CVD की परिभाषा, CVD नीति के निर्माण-खंडों और संवाद प्रक्रिया पर चर्चा करते हैं।

टिप्पणी: पिछले दिशानिर्देशों में 'ज़िम्मेदार प्रकटीकरण' (responsible disclosure) शब्द का प्रयोग किया गया था, जो उस समय इस प्रथा के लिए प्रचलित शब्द था। इस बीच यह स्पष्ट हो गया है कि यह शब्द रिपोर्टिंग पक्ष की ज़िम्मेदारी पर बहुत अधिक ज़ोर देता है, जबकि मूल सिद्धांत यह है कि रिपोर्टिंग पक्ष और संभावित रूप से भेद्य संगठन संवाद में बराबरी के साझेदार होने चाहिए। यह भावना वर्तमान में प्रचलित शब्द 'समन्वित भेद्यता प्रकटीकरण' (CVD) में बेहतर ढंग से व्यक्त होती है, जो इस प्रक्रिया पर ISO 29147 और 30111 मानकों में भी प्रयुक्त नाम है।

2. समन्वित भेद्यता

पिछले 30 वर्षों में आईटी सिस्टम की भेद्यताओं के बारे में जागरूकता बढ़ाने के लिए विभिन्न तरीके अपनाए गए हैं। उदाहरण:

• 'पूर्ण प्रकटीकरण' (Full Disclosure), किसी भेद्यता को पूरी तरह सार्वजनिक करना;

• 'अप्रकटीकरण' (Non-disclosure), किसी भेद्यता को बेचना या स्वयं उपयोग करना;

• 'समन्वित भेद्यता प्रकटीकरण' (Coordinated Vulnerability Disclosure, CVD), किसी भेद्यता का समन्वित प्रकटीकरण।

अंतिम प्रथा को स्पष्ट रूप से प्राथमिकता दी जाती है।

आईटी समुदाय ने ज्ञान और अनुभव साझा करने की बड़ी इच्छा दिखाई है। इसलिए इस समुदाय के साथ सहयोग की कोशिश सिस्टम की समग्र सुरक्षा को बेहतर बनाने में मदद कर सकती है।

समन्वित भेद्यता प्रकटीकरण का उद्देश्य

CVD का उद्देश्य भेद्यताओं के बारे में ज्ञान साझा करके आईटी सिस्टम की सुरक्षा में योगदान देना है। CVD में ज्ञान को एक या अधिक संभावित रूप से भेद्य संगठनों के साथ साझा किया जाता है ताकि रिपोर्टिंग पक्ष के सहयोग से पाई गई भेद्यता का साझा समाधान निकाला जा सके। यह महत्वपूर्ण है कि प्रभावित संगठनों के पास भेद्यताओं को दूर करने या सिस्टम की रक्षा करने के लिए पर्याप्त समय हो, ताकि हानि या नुकसान को यथासंभव सीमित या रोका जा सके। प्रक्रिया की आधारशिला भेद्यताओं को दूर करने के बाद उनके बारे में ज्ञान का प्रकटीकरण है।

CVD में यह आवश्यक है कि सभी पक्ष भेद्यता की रिपोर्ट कैसे करें और उससे कैसे निपटें, इस बारे में समझौतों का पालन करें। इससे मदद मिलती है यदि कोई संगठन पहले से पूर्व-शर्तें प्रकाशित करे, जैसे कौन-से सिस्टम दायरे में हैं और किस प्रकार का शोध किया जा सकता है। इन पूर्व-शर्तों का एक महत्वपूर्ण सिद्धांत यह है कि यदि जाँच और रिपोर्टिंग निर्धारित शर्तों के भीतर की जाती है, तो संगठन सिद्धांत रूप से रिपोर्टिंग पक्ष की शिकायत नहीं करेगा या अन्य कानूनी कदम नहीं उठाएगा। ये दिशानिर्देश संगठनों को अपनी नीति बनाने में मार्गदर्शन देते हैं जो CVD के सिद्धांतों को मूर्त रूप दे।

जैसा कि नाम से संकेत मिलता है, CVD में केंद्रीय बात यह है कि संगठन और रिपोर्टिंग पक्ष एक-दूसरे के साथ समन्वय करें। इस संबंध में, भेद्यता की रिपोर्ट करने वाले व्यक्ति और संगठन के भीतर समस्या हल करने के लिए ज़िम्मेदार व्यक्ति के बीच यथासंभव कम कड़ियाँ होनी चाहिए।

यदि कोई भेद्यता कई सिस्टम को प्रभावित करती है तो एक साथ कई पक्षों को सूचित करना महत्वपूर्ण हो सकता है। उस स्थिति में NCSC या सुरक्षा समुदाय के अन्य पक्ष समन्वयक की भूमिका से CVD प्रक्रिया का समर्थन कर सकते हैं।

3. ज़िम्मेदारी के क्षेत्र

CVD नीति अपनाने का उद्देश्य यह है कि रिपोर्टिंग पक्ष और संगठन आईटी सिस्टम की भेद्यताएँ कम करने के लिए मिलकर काम करें। इस नीति के क्रियान्वयन को सूचना सुरक्षा पर मौजूदा उपायों के पूरक के रूप में देखा जाना चाहिए। विभिन्न कर्ताओं की अपनी-अपनी भूमिका और ज़िम्मेदारियाँ हैं। इन्हें नीचे अधिक विस्तार से समझाया गया है।

वह संगठन जो किसी सिस्टम का स्वामी/प्रबंधक है

जो संगठन किसी सिस्टम का स्वामी/प्रबंधक है या उसे आपूर्ति करता है, वह मुख्य रूप से उस सिस्टम की सुरक्षा के लिए ज़िम्मेदार है। दूसरे शब्दों में, भेद्यता रिपोर्ट पर अनुवर्ती कार्रवाई की ज़िम्मेदारी भी संगठन की है।

संगठन इन दिशानिर्देशों का उपयोग करके अपनी स्वयं की CVD नीति बनाना और इस नीति को संभावित रिपोर्टिंग पक्षों तक पहुँचाना चुन सकता है। CVD नीति प्रकाशित करके संगठन भेद्यताओं के बारे में जानकारी प्राप्त करने की अपनी इच्छा प्रकट करते हैं।

CVD नीति स्थापित करने वाला पक्ष इस सिद्धांत के लिए प्रतिबद्ध हो सकता है कि यदि नीति पर लागू नियमों का सम्मान किया जाता है तो वह पुलिस में शिकायत दर्ज नहीं करेगा।

रिपोर्टिंग पक्ष द्वारा भेद्यता की रिपोर्ट करने के बाद, ज़िम्मेदारी संगठन की होती है। यह समझना महत्वपूर्ण है कि रिपोर्टिंग पक्ष अक्सर संगठन के बाहर का कोई व्यक्ति होता है। इस पक्ष को उन आंतरिक प्रक्रियाओं की सीधी जानकारी नहीं होती जो भेद्यता की रिपोर्ट के बाद शुरू हो सकती हैं। परिणामस्वरूप, रिपोर्टिंग पक्ष भेद्यता के समाधान में हो रहे घटनाक्रम की जानकारी मिलने की सराहना करेंगे। समाधान की अनुवर्ती कार्रवाई और समयबद्धता के बारे में सही अपेक्षाएँ बनाने के लिए भी यह निरंतर संवाद महत्वपूर्ण है।

वह पक्ष जो भेद्यता की रिपोर्ट करता है

किसी न किसी तरह रिपोर्टिंग पक्ष एक भेद्यता की पहचान कर पाया है और इस भेद्यता को दूर करवाकर और संभवतः बाद के चरण में सार्वजनिक करके आईटी सिस्टम की सुरक्षा में योगदान देना चाहता है। रिपोर्टिंग पक्ष ने निष्क्रिय अवलोकन से या आईटी सिस्टम का सक्रिय परीक्षण करके कुछ खोजा हो सकता है। बेशक, यह पक्ष अपने कार्यों और भेद्यता खोजने के अपने तरीके के लिए स्वयं ज़िम्मेदार है। किसी संगठन द्वारा अपनी CVD नीति में निर्धारित शर्तों से अवगत होना रिपोर्टिंग पक्ष की अपनी ज़िम्मेदारी है। अधिकांश सरकारों और कंपनियों ने अपनी CVD नीतियाँ अपनी वेबसाइटों पर प्रकाशित की हैं।

फिर भी, भेद्यताएँ खोजने में कानून तोड़ना शामिल हो सकता है। CVD के संदर्भ में संगठन और रिपोर्टिंग पक्ष सहमत हो सकते हैं कि किसी भी आपराधिक कृत्य की शिकायत दर्ज नहीं की जाएगी। इस संबंध में, संगठन द्वारा प्रकाशित CVD नीति मार्गदर्शक सिद्धांत है। पक्ष यह भी सहमत हो सकते हैं कि कोई दीवानी कार्रवाई नहीं की जाएगी।

यदि संदेह है कि रिपोर्टिंग पक्ष ने कानून तोड़ा है, तो CVD नीति सबसे पहले रिपोर्टर की अधिकारियों से शिकायत किए जाने को रोकने में मदद कर सकती है। यह प्रक्रिया पूरी तरह उन पूर्व-शर्तों पर निर्भर करती है जिनका पालन संगठन रिपोर्टिंग पक्ष से करवाना चाहता है और इस पर कि यह अनुपालन हुआ है या नहीं, संभवतः इस संबंधित वादे के साथ कि जब तक पक्ष नीति की शर्तों के भीतर काम करता है तब तक आपराधिक शिकायत दर्ज नहीं की जाएगी। यदि पुलिस रिपोर्ट की जाती है, तो नीदरलैंड में CVD नीति का अस्तित्व और उसका पालन एक प्रासंगिक परिस्थिति है, जिसे लोक अभियोजक आपराधिक जाँच शुरू करने और/या अभियोजन चलाने का निर्णय करते समय ध्यान में रखेगा। सिद्धांत रूप में, यदि रिपोर्टिंग पक्ष ने संबंधित संगठन की CVD नीति के नियमों का स्पष्ट रूप से पालन किया है तो पुलिस और लोक अभियोजन सेवा (OM) आपराधिक जाँच शुरू नहीं करेंगे। हालाँकि, यदि संकेत हैं कि रिपोर्टिंग पक्ष अपने कार्यों में जानबूझकर या अनजाने में बहुत आगे निकल गया है और/या CVD नीति का पालन करने में विफल रहा है, तो लोक अभियोजन सेवा और पुलिस मामले की और जाँच कर सकती हैं। इस जाँच के आधार पर लोक अभियोजन सेवा अभियोजन का निर्णय ले सकती है।

लोक अभियोजन सेवा ने एक नीति पत्र प्रकाशित किया है जिसमें वह जाँच और/या अभियोजन का निर्णय लेने में महत्वपूर्ण पहलुओं से अधिक विशिष्ट रूप से निपटती है। उदाहरण के लिए, क्या रिपोर्टिंग पक्ष के कार्य किसी महत्वपूर्ण जनहित की पूर्ति करते थे, क्या पक्ष ने अनुपातहीन ढंग से काम किया और क्या पक्ष शायद किसी अन्य, कम कठोर तरीके से काम कर सकता था। संबंधित नीति पत्र इन पहलुओं की और विस्तार से व्याख्या करता है।² 2013 से संबंधित केस कानून³ दर्शाता है कि यदि किसी संगठन के पास CVD नीति नहीं है तब भी अदालत में इन पहलुओं को ध्यान में रखा जाता है।

4. समन्वित भेद्यता प्रकटीकरण प्रक्रिया के निर्माण-खंड

संगठन, रिपोर्टर और NCSC के लिए CVD प्रक्रिया को आकार देने के निर्माण-खंड नीचे दिए गए हैं।

संगठन

CVD को बढ़ावा देना ऐसे संगठन से शुरू होता है जिसके पास आईटी सिस्टम हैं या जो कोई आईटी उत्पाद/सिस्टम आपूर्ति करता है। आख़िरकार, यह संगठन इन आईटी सिस्टम की सूचना सुरक्षा के लिए मुख्य रूप से ज़िम्मेदार है। भेद्यताओं को हल करने के लिए विभिन्न पक्षों के साथ प्रभावी ढंग से काम करने हेतु संगठन CVD नीति बनाने और प्रकाशित करने का निर्णय ले सकता है। अपनी स्वयं की CVD नीति बनाना संगठन को यह दर्शाने देता है कि वह भेद्यता रिपोर्टों से कैसे निपटता है। इस तरह संगठन यह भी तय कर सकता है कि वह सूचनाएँ किस तरह प्राप्त करना चाहता है। ऐसी प्रक्रिया इस प्रकार व्यवस्थित की जा सकती है:

• संगठन CVD नीति स्थापित और प्रकाशित करता है।

• इस नीति में संगठन रिपोर्टिंग पक्षों द्वारा किए जा सकने वाले शोध के लिए स्पष्ट नियम देता है, जैसे कौन-सी तकनीकें अनुमत हैं और कौन-से सिस्टम दायरे के भीतर या बाहर हैं।

• संगठन रिपोर्टिंग पक्ष के लिए रिपोर्ट करना आसान बनाता है। एक विकल्प मानकीकृत रिपोर्टिंग विधि का उपयोग है; उदाहरण के लिए, कोई विशिष्ट ईमेल पता या ऑनलाइन फ़ॉर्म। इसके अलावा, संगठन तय कर सकता है कि गुमनाम रिपोर्ट स्वीकार करनी हैं या नहीं।

• संगठन आंतरिक क्षमता आरक्षित करता है और रिपोर्टों का पर्याप्त उत्तर देने के लिए एक प्रक्रिया स्थापित करता है। ऐसी प्रक्रिया बनाना उचित है जिससे पाई गई किसी भी भेद्यता को पर्याप्त रूप से दूर किया जा सके। इस संबंध में रिपोर्ट का स्रोत अप्रासंगिक है। उदाहरण के लिए, भेद्यता की पहचान किसी आंतरिक कर्मचारी ने या परीक्षण के दौरान भी की हो सकती है।

• व्यावहारिक अनुभव बताता है कि CVD नीति के पहले प्रकाशन के बाद संगठन को भेद्यताओं की रिपोर्ट करने में अधिक रुचि होगी। संगठन को (अतिरिक्त) क्षमता की योजना बनाते समय इसे ध्यान में रखना चाहिए।

• जब संगठन को भेद्यता रिपोर्ट मिलती है, तो वह सुनिश्चित करता है कि रिपोर्ट यथाशीघ्र उस विभाग तक पहुँचे जो रिपोर्ट का आकलन करने और उससे निपटने के लिए सबसे उपयुक्त है।

• संगठन रिपोर्टिंग पक्ष को रिपोर्ट की प्राप्ति-पावती भेजता है, अधिमानतः प्राथमिकता को रेखांकित करने के लिए डिजिटल रूप से हस्ताक्षरित।

• इसके बाद संगठन रिपोर्टिंग पक्ष के साथ परामर्श करके वह अवधि तय करेगा जिसके भीतर कोई भी प्रकाशन होगा। यह अवधि भेद्यता की प्रकृति और सिस्टम के प्रकार पर बहुत निर्भर करेगी।

• मार्गदर्शक के रूप में, सॉफ़्टवेयर भेद्यताओं के लिए अक्सर लगभग 60 दिनों की अवधि का उपयोग किया जाता है। हार्डवेयर की भेद्यताएँ दूर करना कठिन है; 6 महीने के मार्गदर्शक का उपयोग किया जा सकता है।

• आपसी सहमति से इस अवधि को बढ़ाना या घटाना वांछनीय हो सकता है, इस पर निर्भर करते हुए कि जिस सिस्टम के लिए भेद्यता रिपोर्ट की गई उस पर कितने या कितने कम आईटी सिस्टम निर्भर हैं, या भेद्यता का समाधान आसान है या कठिन।

• कोई भेद्यता हल करना कठिन या असंभव साबित हो सकता है, या उसे हल करने में भारी लागत शामिल हो सकती है। ऐसे मामलों में, संभवतः रिपोर्टिंग पक्ष के साथ परामर्श करके, संगठन भेद्यता को स्वीकृत जोखिम मानने और उसे दूर न करने पर सहमत हो सकता है।

• संगठन रिपोर्टिंग पक्ष को प्रक्रिया के विकास के बारे में सूचित रखेगा।

• इसके अलावा, संगठन प्रस्ताव दे सकता है कि भेद्यता प्रकाशित करने के लिए रिपोर्टिंग पक्ष को सार्वजनिक रूप से श्रेय दिया जाए। बाहरी दुनिया के सामने संयुक्त प्रकटीकरण चुनना भी संभव है।

• यदि पक्ष ने CVD नीति के नियमों का पालन किया है तो सिस्टम में भेद्यताओं की रिपोर्ट करने के लिए रिपोर्टिंग पक्ष को पुरस्कृत करना बेहतर है। पुरस्कार की राशि रिपोर्ट की गुणवत्ता पर निर्भर हो सकती है। रिपोर्टिंग पक्ष को पुरस्कृत करने से उस पक्ष और संगठन के बीच बेहतर संबंध बन सकता है, साथ ही CVD नीति के अनुसार नई रिपोर्ट करने की लोगों की इच्छा बढ़ सकती है।

• रिपोर्टिंग पक्ष के परामर्श से संगठन व्यापक आईटी समुदाय को भेद्यता के बारे में सूचित करने पर सहमत हो सकता है, यदि यह संभव है कि भेद्यता अन्य जगहों पर भी मौजूद है।

• अपनी CVD नीति में संगठन इस सिद्धांत के लिए प्रतिबद्ध हो सकता है कि यदि रिपोर्टिंग पक्ष ने नीति में बताए नियमों का पालन किया है तो वह पुलिस में शिकायत दर्ज नहीं करेगा।

रिपोर्टिंग पक्ष

रिपोर्टिंग पक्ष सफल CVD प्रक्रिया की कुंजी है। किसी न किसी तरह इस पक्ष ने एक भेद्यता की पहचान की है, और वह इस भेद्यता को किसी संगठन से दूर करवाकर और सार्वजनिक करके आईटी सिस्टम की सुरक्षा में योगदान देना चाहता है। ऐसा करते हुए रिपोर्टिंग पक्ष स्वीकार करते हैं कि वे भेद्यताओं को समन्वित तरीके से उजागर करके समाज में महत्वपूर्ण योगदान दे सकते हैं। सफल CVD प्रक्रिया प्राप्त करने के लिए रिपोर्टिंग पक्ष के लिए निम्नलिखित निर्माण-खंड महत्वपूर्ण हैं:

• रिपोर्टिंग पक्ष अपने कार्यों के लिए ज़िम्मेदार है और भेद्यताओं की जाँच और रिपोर्ट करते समय आनुपातिकता के साथ-साथ सहायकता के सिद्धांतों का पालन करना चाहिए। दूसरे शब्दों में, रिपोर्टिंग पक्ष को भेद्यता प्रदर्शित करने के लिए आवश्यक से अधिक नहीं करना चाहिए और भेद्यता की रिपोर्ट हमेशा पहले सिस्टम/सूचना के स्वामी को करनी चाहिए।

• रिपोर्टिंग पक्ष को समस्या की रिपोर्ट यथाशीघ्र करनी चाहिए ताकि दुर्भावनापूर्ण पक्ष भेद्यता को खोजकर उसका फ़ायदा न उठा सकें।

• रिपोर्टिंग पक्ष को संगठन को रिपोर्ट गोपनीय तरीके से करनी चाहिए ताकि दूसरों को इस जानकारी तक पहुँच न मिले।

• रिपोर्टिंग पक्ष रिपोर्ट दर्ज करना या आगे जानकारी देना पुरस्कार पर निर्भर नहीं बना सकता। रिपोर्ट की स्थिति में पुरस्कार देने की पहल प्राप्तकर्ता संगठन के पास होती है, जो अपनी प्रकाशित नीति में पूर्व-शर्तें बता सकता है।

• रिपोर्टिंग पक्ष और संगठन भेद्यता के प्रकटीकरण पर स्पष्ट समझौते करते हैं। यदि एक से अधिक संगठन शामिल हैं, तो मूल सिद्धांत यह है कि भेद्यताएँ तभी प्रकाशित की जा सकती हैं जब सभी संगठन इस पर सहमत हों। ये समझौते शुरुआती चरण में करना उचित है।

• रिपोर्टिंग पक्ष और संबंधित संगठन व्यापक आईटी समुदाय को सूचित करने पर समझौते कर सकते हैं। उदाहरण के लिए, यह स्थिति ऐसी भेद्यता (चाहे पहले से ज्ञात हो या नहीं) पर लागू हो सकती है जिसके एक से अधिक स्थानों पर मौजूद होने की जानकारी हो। केंद्र सरकार और महत्वपूर्ण अवसंरचना के लक्षित समूहों का समर्थन करने या ऐसी भेद्यता की स्थिति में कई पक्षों को सूचित करने के लिए, जो कई सिस्टम को प्रभावित करती है, राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC) को इस प्रक्रिया में शामिल किया जा सकता है।

NCSC

CVD प्रक्रिया मुख्य रूप से संगठनों और रिपोर्टिंग पक्षों का मामला है। फिर भी NCSC CVD प्रक्रिया के उपयोग को प्रोत्साहित करेगा। रिपोर्टिंग पक्ष और संगठन के परामर्श से, NCSC भेद्यता से उत्पन्न होने वाले आगे के सुरक्षा जोखिमों को सीमित करने के लिए अपने घटक वर्ग के साथ भेद्यता की जानकारी साझा करने में भी शामिल हो सकता है।

यदि भेद्यता की रिपोर्टिंग वैसी नहीं होती जैसी रिपोर्टिंग पक्ष अपेक्षा करता है, या यदि वे भेद्यता की रिपोर्ट सीधे संगठन को नहीं करना चाहते, तो वे NCSC से संपर्क कर सकते हैं।⁴ इस स्थिति में आवश्यकता पड़ने पर NCSC मध्यस्थ के रूप में कार्य कर सकता है।

आईटी सिस्टम का स्वामी हर समय सिस्टम की सुरक्षा के लिए ज़िम्मेदार है। NCSC न तो सिस्टम के स्वामी को भेद्यता दूर करने के लिए बाध्य कर सकता है, न ही यह गारंटी दे सकता है कि स्वामी रिपोर्टिंग पक्ष के खिलाफ कानूनी कार्रवाई नहीं करेगा। परिणामस्वरूप, भेद्यता खोजते और रिपोर्ट करते समय रिपोर्टिंग पक्ष को संगठनों और रिपोर्टिंग पक्षों के लिए उपर्युक्त निर्माण-खंडों को ध्यान में रखना चाहिए। रिपोर्टिंग पक्ष NCSC से अपेक्षा कर सकता है कि वह भेद्यता दूर करवाने के लिए पूरी कोशिश करेगा और रिपोर्ट को गोपनीय रखेगा। जब तक कानूनी रूप से बाध्य न हो, NCSC कोई व्यक्तिगत डेटा साझा नहीं करता।

यदि संभव हो तो, NCSC संगठनों और रिपोर्टिंग पक्षों के परामर्श से भेद्यताओं पर प्राप्त जानकारी का उपयोग ज्ञान को आईटी समुदाय के साथ और साझा करने के लिए करेगा। उदाहरण के लिए, वह जानकारी का कुछ हिस्सा प्रकाशित करके, फ़ैक्ट शीट या श्वेत पत्र लिखकर या अपडेट करके, या विशिष्ट संगठनों को सूचित करके ऐसा कर सकता है।

• संबंधित संगठन और पाई गई भेद्यता की प्रकृति के आधार पर, NCSC भेद्यता को संबंधित संगठन के ध्यान में लाने का प्रयास करेगा। हालाँकि, संबंधित आईटी सिस्टम का स्वामी सिस्टम के लिए ज़िम्मेदार बना रहता है।

• जहाँ संभव और आवश्यक हो, NCSC संबंधित संगठन को भेद्यता दूर करने के तरीके पर सलाह देगा।

• NCSC रिपोर्टों को गोपनीय रखेगा और सहमति के बिना रिपोर्टिंग पक्षों या प्राप्तकर्ता संगठन का व्यक्तिगत डेटा साझा नहीं करेगा, जब तक कि यह वैधानिक दायित्व से न निकलता हो।

• जहाँ भी संभव हो, NCSC रिपोर्टिंग पक्ष को संगठन के साथ संपर्क और भेद्यता को दूर करने की प्रगति के बारे में सूचित रखेगा।

• जिन मामलों में NCSC को रिपोर्ट की जाती है, NCSC रिपोर्टिंग पक्ष या संभावित रिपोर्टिंग पक्ष और संगठन को एक-दूसरे के संपर्क में लाने का प्रयास करेगा।

यदि किसी रिपोर्टिंग पक्ष को, उदाहरण के लिए, किसी सॉफ़्टवेयर उत्पाद में भेद्यता मिली है या ऐसी भेद्यता मिली है जो कई अलग-अलग सिस्टम को प्रभावित करती है, तो रिपोर्टिंग पक्ष NCSC से भेद्यता को दूर करने और प्रकट करने का समन्वय करने के लिए कह सकता है।

रिपोर्टिंग पक्ष, साझेदारों, डेवलपरों और/या सॉफ़्टवेयर डेवलपरों और अन्य सुरक्षा टीमों के साथ मिलकर NCSC भेद्यता का विश्लेषण करने, उसे दूर करने या करवाने, समन्वय करने और नियंत्रित तरीके से प्रकट करने में मदद करेगा। यह पूरी प्रक्रिया भेद्यता खोजने वाले रिपोर्टिंग पक्ष के साथ निकट परामर्श में होती है।

CVD नीति भेद्यताओं को यथाशीघ्र प्रकट करने के महत्व, ताकि उपाय किए जा सकें, और डेवलपरों तथा आपूर्तिकर्ताओं के पास भेद्यता दूर करने के लिए पर्याप्त समय होने के महत्व के बीच संतुलन बनाने का प्रयास करती है। इस प्रक्रिया के लिए NCSC रिपोर्ट और सार्वजनिक प्रकटीकरण के बीच 60 दिनों की मानक अवधि का उपयोग करता है। हालाँकि ऐसी परिस्थितियाँ हो सकती हैं जिनमें इस अवधि को बढ़ाने या घटाने का निर्णय लिया जाए।

NCSC भेद्यता के बारे में जानकारी तृतीय पक्षों के साथ केवल रिपोर्टिंग पक्ष से परामर्श के बाद ही साझा करेगा। इस संदर्भ में यह आवश्यक है कि NCSC सहयोग करे और इसलिए समन्वित तरीके से भेद्यता प्रकट करने के लिए हितधारकों के साथ भेद्यता की जानकारी साझा करे। ऐसा करते समय NCSC यह सुनिश्चित करेगा कि सही पक्ष भेद्यता दूर करने पर काम कर सकें, किसी भी हानि या नुकसान को सीमित करने में मदद करे और पाई गई भेद्यता की ओर ध्यान आकर्षित करने में मदद करे।

5. संवाद और प्रकटीकरण प्रक्रिया

पाँच वर्षों के अभ्यास ने दिखाया है कि स्पष्ट संवाद सफल CVD प्रक्रिया की आधारशिला है। CVD प्रक्रिया के आरंभ में, दौरान और बाद में ध्यान देने योग्य बिंदु हैं।

प्रकटीकरण प्रक्रिया के बारे में संवाद

CVD नीति प्रकाशित करना प्रक्रिया के बारे में संवाद का पहला कदम है। नीति को सार्वजनिक रूप से प्रकाशित करके रिपोर्टिंग पक्षों को आमंत्रित किया जाता है कि वे पाई गई किसी भी भेद्यता की सूचना संगठन को दें।

एक ओर संगठन भेद्यताएँ खोजने के लिए किए जाने वाले शोध और संपर्क साधने के तरीके के लिए शर्तें बना सकता है। दूसरी ओर, संगठन इस सिद्धांत के लिए प्रतिबद्ध हो सकता है कि यदि नीति के नियमों का सम्मान किया जाता है तो वह पुलिस में शिकायत दर्ज नहीं करेगा। यह दृष्टिकोण रिपोर्टिंग पक्ष की स्थिति की रक्षा करता है।

CVD नीति को बाद की तारीख में बदला या अपडेट किया जा सकता है। इस संबंध में बदलावों के बारे में स्पष्ट रहना महत्वपूर्ण है। रिपोर्टिंग पक्षों की रुचि यह जानने में होती है कि क्या और कब बदला गया। उदाहरण के लिए, CVD नीति की शुरुआत में प्रकाशन तिथि देकर, CVD नीति के नीचे बदलावों का सार देकर, या CVD नीति के पुराने संस्करणों का संग्रह रखकर बदलावों को स्पष्ट किया जा सकता है।

CVD नीति प्रक्रिया के दौरान संवाद कैसे करें, इस पर दिशानिर्देश दे सकती है, जैसे ईमेल या वेब पोर्टल के ज़रिए नियमित अपडेट का संकेत देकर। इसके अलावा, CVD नीति बता सकती है कि रिपोर्टर को कैसे श्रेय दिया जा सकता है, जैसे अपडेट में उसका उल्लेख करके, हॉल ऑफ़ फ़ेम में प्रवेश देकर या पुरस्कार का कोई अन्य रूप।

प्रकटीकरण प्रक्रिया के दौरान संवाद

रिपोर्टिंग पक्ष संगठन को संदेश भेजकर CVD प्रक्रिया शुरू करता है। इस संदेश में रिपोर्टिंग पक्ष खोजी गई भेद्यता का स्पष्ट विवरण देता है। महत्वपूर्ण तत्व हैं प्रभावित सिस्टम का IP पता या URL और भेद्यता को पुनः उत्पन्न करने के लिए आवश्यक चरण।

संगठन के लिए रिपोर्टिंग पक्ष से स्पष्ट रूप से संवाद करना महत्वपूर्ण है ताकि प्रक्रिया के बारे में अपेक्षाएँ स्पष्ट हों।

वह प्राप्ति-पावती (स्वचालित या अन्य) भेजकर यह पहले ही कर सकता है, जिसमें उस अवधि का संकेत हो जिसके भीतर प्रारंभिक या बाद का सारगर्भित उत्तर भेजा जाएगा।

इस अवधि को खुला छोड़ना और रिपोर्ट की विषयवस्तु का आकलन करने के बाद अवधि का प्रारंभिक संकेत देना भी संभव है। यह उचित है कि जल्द से जल्द स्पष्ट किया जाए कि किस अवधि के भीतर समाधान हो सकता है। इस तरह रिपोर्टर को पता रहता है कि परिणाम कब अपेक्षित है।

कुछ मामलों में संभव है कि प्रकाशन तिथि रिपोर्टिंग पक्ष के लिए पहले से स्पष्ट हो; उदाहरण के लिए, किसी सम्मेलन में प्रस्तुति के कारण या इसलिए कि रिपोर्टिंग पक्ष ने अपनी स्वयं की अवधि तय कर रखी है। इस स्थिति में भी यह महत्वपूर्ण है कि रिपोर्टिंग पक्ष इस समयरेखा को स्पष्ट रूप से बताए, इसे यथाशीघ्र बताए और इस तिथि को टालने की संभावना/असंभावना के बारे में स्पष्ट रहे।

रिपोर्टिंग पक्ष अक्सर संगठन के बाहर का कोई व्यक्ति होता है, जिसे उन आंतरिक प्रक्रियाओं की कोई जानकारी नहीं होती जो रिपोर्ट से शुरू हो सकती हैं। संगठन नियमित अपडेट के माध्यम से रिपोर्टिंग पक्ष को प्रक्रिया के घटनाक्रम से अवगत रख सकते हैं। यह तरीका रिपोर्टिंग पक्ष को स्पष्ट कर देता है कि समाधान पर काम हो रहा है। आवश्यकता पड़ने पर संगठन प्रक्रिया के दौरान स्पष्टीकरण माँग सकता है या किसी समाधान का परीक्षण करने का अनुरोध कर सकता है।

यदि कोई संगठन प्रारंभिक समाधान समय-सीमा को पूरा नहीं कर पाता, तो रिपोर्टर के साथ उसे टालने पर चर्चा की जा सकती है। नियमित संवाद रिपोर्टर को यह स्थिति पहले चरण में ही स्पष्ट कर सकता है।

CVD का मुख्य इरादा भेद्यता को कम करना है, लेकिन यदि रिपोर्टिंग पक्ष को लगता है कि प्रक्रिया में बहुत समय लगेगा तो भेद्यता का 'पूर्ण प्रकटीकरण' उसके लिए हमेशा एक विकल्प होता है। यह उपाय रिपोर्टिंग पक्ष के पास उपलब्ध कहावती 'बड़ा डंडा' है। स्वाभाविक रूप से, इस स्थिति को यथासंभव रोका जाना चाहिए।

प्रकटीकरण प्रक्रिया के बाद संवाद

कई संभावित कारण हैं जिनसे रिपोर्टिंग पक्ष भेद्यताएँ खोज सकता है और फिर CVD प्रक्रिया के ज़रिए संगठनों को उनकी रिपोर्ट कर सकता है। बहुत से रिपोर्टिंग पक्षों के लिए (सार्वजनिक) मान्यता एक महत्वपूर्ण प्रोत्साहन है।

रिपोर्टिंग पक्षों को अपडेट में धन्यवाद या हॉल ऑफ़ फ़ेम में प्रविष्टि के माध्यम से सार्वजनिक मान्यता मिलती है। हालाँकि, सार्वजनिक मान्यता की आवश्यकता सभी रिपोर्टिंग पक्षों पर लागू नहीं होती; कुछ तो वास्तव में जनता के सामने नहीं आना चाहते। इसलिए संगठन द्वारा संवाद की स्थिति में रिपोर्टिंग पक्ष का नाम लेने के लिए उसकी सहमति लेना उचित है।

इसके अलावा, रिपोर्टिंग पक्ष CVD प्रक्रिया पूरी होने के बाद रिपोर्ट के बारे में संवाद करने का निर्णय भी ले सकते हैं। उदाहरण के लिए, रिपोर्टिंग पक्ष खोज की प्रक्रिया का वर्णन कर सकता है या दूसरों को भेद्यता के बारे में चेतावनी दे सकता है। रिपोर्टर जानकारी के उद्देश्य से प्रकाशन को किसी संगठन को प्रस्तुत करने का निर्णय ले सकता है। चूँकि CVD प्रक्रिया सिद्धांत रूप में भेद्यता हटाए जाने के बाद पूरी हो जाती है, इसलिए रिपोर्टिंग पक्ष उसके बाद इसके बारे में संवाद करने के लिए स्वतंत्र है, जब तक कि नीति में या प्रक्रिया के दौरान अतिरिक्त समझौते न किए गए हों।

सूची

प्रकटीकरण प्रक्रिया के बारे में संवाद

• वेबसाइट पर CVD नीति का प्रकाशन

• प्रतिबंधों के बारे में स्पष्ट रहना (विभिन्न दृष्टिकोणों के लिए अध्याय 6 देखें)

• जाँच विधियों पर प्रतिबंध

• संवाद के बारे में दिशानिर्देश

• संभावित पुरस्कारों के बारे में दिशानिर्देश: हॉल ऑफ़ फ़ेम, वित्तीय पुरस्कार, टी-शर्ट आदि

• CVD नीति के किसी भी अपडेट के बारे में स्पष्ट रहना, बदलावों की तिथि सहित

प्रकटीकरण प्रक्रिया के दौरान संवाद

• रिपोर्टर खोजी गई भेद्यता के बारे में संगठन से संपर्क करता है।

• संगठन अपेक्षाओं का प्रबंधन करता है, जैसे पहली तकनीकी प्रतिक्रिया के लिए प्रतिक्रिया समय

• संगठन और रिपोर्टर अपेक्षित समाधान अवधि के बारे में एक-दूसरे को स्पष्टता देते हैं

• संगठन अक्सर (प्रक्रिया) अपडेट देता है

• आवश्यकता पड़ने पर रिपोर्टर और संगठन अन्य प्रासंगिक संगठनों से संपर्क करने पर चर्चा करते हैं

प्रकटीकरण प्रक्रिया के बाद संवाद

• रिपोर्टर की (सार्वजनिक) मान्यता और पुरस्कार पर चर्चा करें

• व्यवस्था करें कि भेद्यता के बारे में जानकारी कैसे प्रकाशित होगी, जैसे शोध चरण या अन्य संगठनों को सूचित करना

6. समन्वित भेद्यता प्रकटीकरण नीति के उदाहरण

समन्वित भेद्यता प्रकटीकरण पर नीति पाठ के कई अलग-अलग रूप हैं। चूँकि प्रकाशित CVD नीति संभावित रिपोर्टिंग पक्षों के लिए दिशासूचक का काम करती है, इसलिए सुनिश्चित करें कि इस नीति का रूप संगठन की नीति और रणनीति के अनुरूप हो।

CVD नीति में निम्नलिखित तत्व महत्वपूर्ण हैं:

• सुरक्षित संवाद के लिए संपर्क विधि;

• रिपोर्टिंग पक्षों के लिए पूर्व-शर्तें;

• रिपोर्ट से निपटने के लिए स्पष्ट अपेक्षाएँ;

• रिपोर्ट को पुरस्कृत करने की विधि;

• संस्करण संख्या और नवीनतम संशोधन की तिथि।

नीचे तीन उदाहरण हैं: नीदरलैंड में कई संगठनों ने ResponsibleDisclosure.nl के बुनियादी उदाहरण से प्रेरणा ली है। अन्य संगठन अतिरिक्त पूर्व-शर्तें शामिल करते हैं, Fox IT की नीति देखें। कुछ और संगठन अपने लक्षित दर्शकों के अनुरूप अधिक स्वतंत्र प्रारूप अपनाते हैं, Bits of Freedom की नीति देखें।

उदाहरण: ResponsibleDisclosure.nl

यह पाठ Floor Terra द्वारा लिखा गया है और Creative Commons Attribution 3.0 Unported लाइसेंस के तहत प्रकाशित है।

Acme Corporation में हम अपने सिस्टम की सुरक्षा को सर्वोच्च प्राथमिकता मानते हैं। लेकिन सिस्टम सुरक्षा में हम चाहे जितना प्रयास करें, भेद्यताएँ फिर भी मौजूद हो सकती हैं।

यदि आपको कोई भेद्यता मिलती है, तो हम उसके बारे में जानना चाहेंगे ताकि हम उसका समाधान करने के लिए यथाशीघ्र कदम उठा सकें।

हम आपसे अनुरोध करते हैं कि आप हमारे ग्राहकों और हमारे सिस्टम को बेहतर ढंग से सुरक्षित करने में हमारी मदद करें।

कृपया निम्न करें:

• अपने निष्कर्ष cert@example.com पर ईमेल करें। इस महत्वपूर्ण जानकारी को गलत हाथों में पड़ने से रोकने के लिए हमारी PGP कुंजी से अपने निष्कर्ष एन्क्रिप्ट करें,

• अपनी खोजी गई भेद्यता या समस्या का फ़ायदा न उठाएँ, उदाहरण के लिए भेद्यता प्रदर्शित करने के लिए आवश्यकता से अधिक डेटा डाउनलोड करके या दूसरों का डेटा हटाकर या संशोधित करके,

• समस्या हल होने तक उसे दूसरों के सामने प्रकट न करें,

• भौतिक सुरक्षा पर हमलों, सोशल इंजीनियरिंग, वितरित सेवा-अवरोध, स्पैम या तृतीय पक्षों के एप्लिकेशन का उपयोग न करें, और

• समस्या को पुनः उत्पन्न करने के लिए पर्याप्त जानकारी दें, ताकि हम उसे यथाशीघ्र हल कर सकें। आम तौर पर प्रभावित सिस्टम का IP पता या URL और भेद्यता का विवरण पर्याप्त होगा, लेकिन जटिल भेद्यताओं के लिए और स्पष्टीकरण की ज़रूरत पड़ सकती है।

हमारा वचन:

• हम आपकी रिपोर्ट का जवाब 3 कार्य दिवसों के भीतर रिपोर्ट के अपने मूल्यांकन और अनुमानित समाधान तिथि के साथ देंगे,

• यदि आपने ऊपर दिए निर्देशों का पालन किया है, तो हम रिपोर्ट के संबंध में आपके खिलाफ कोई कानूनी कार्रवाई नहीं करेंगे,

• हम आपकी रिपोर्ट को कड़ी गोपनीयता के साथ संभालेंगे, और आपकी अनुमति के बिना आपका व्यक्तिगत विवरण तृतीय पक्षों को नहीं देंगे,

• हम समस्या के समाधान की दिशा में हुई प्रगति के बारे में आपको सूचित रखेंगे,

• रिपोर्ट की गई समस्या से संबंधित सार्वजनिक जानकारी में हम समस्या के खोजकर्ता के रूप में आपका नाम देंगे (जब तक कि आप अन्यथा न चाहें), और

• आपकी सहायता के प्रति आभार के प्रतीक के रूप में, हम किसी ऐसी सुरक्षा समस्या की हर रिपोर्ट के लिए पुरस्कार देते हैं जो अब तक हमें ज्ञात नहीं थी। पुरस्कार की राशि लीक की गंभीरता और रिपोर्ट की गुणवत्ता के आधार पर तय की जाएगी। न्यूनतम पुरस्कार €50 का उपहार प्रमाणपत्र होगा।

हम सभी समस्याओं को यथाशीघ्र हल करने का प्रयास करते हैं, और समस्या हल होने के बाद उस पर अंतिम प्रकाशन में हम सक्रिय भूमिका निभाना चाहेंगे।

उदाहरण: Fox-IT

Fox-IT में हम अपने सिस्टम, अपने नेटवर्क और अपने उत्पादों की सुरक्षा को अत्यंत महत्वपूर्ण मानते हैं। सुरक्षा के प्रति हमारी अत्यधिक सावधानी के बावजूद कमज़ोर बिंदु बने रह सकते हैं। यदि आपको ऐसी कोई कमज़ोरी मिली है, तो हम उसके बारे में यथाशीघ्र जानना चाहेंगे ताकि हम जितनी जल्दी हो सके उचित कदम उठा सकें।

कमज़ोर बिंदु दो तरीकों से खोजे जा सकते हैं: आप किसी डिजिटल वातावरण के सामान्य उपयोग के दौरान संयोग से कुछ पा सकते हैं, या आप उन्हें खोजने की स्पष्ट रूप से पूरी कोशिश कर सकते हैं।

हमारी ज़िम्मेदार प्रकटीकरण नीति कमज़ोर बिंदुओं को खोजने के लिए हमारे व्यावसायिक नेटवर्क को सक्रिय रूप से स्कैन करने का निमंत्रण नहीं है। हम अपने व्यावसायिक नेटवर्क की निगरानी स्वयं करते हैं। इसका मतलब है कि स्कैन का पता चलने की और हमारे सिक्योरिटी ऑपरेशन सेंटर (SOC) द्वारा जाँच किए जाने की उच्च संभावना है, जिसके परिणामस्वरूप अनावश्यक लागत आ सकती है। हालाँकि, आपको हमारे उत्पादों में भेद्यताएँ किसी ऑफ़लाइन गैर-उत्पादन वातावरण में सक्रिय रूप से खोजने और अपने निष्कर्ष हमें बताने के लिए आमंत्रित किया जाता है। हमारे ग्राहकों के प्रति हमारी ज़िम्मेदारी का अर्थ है कि हमारा इरादा उनकी अवसंरचना पर हैकिंग प्रयासों को प्रोत्साहित करना नहीं है; फिर भी, यदि भेद्यताएँ मिलती हैं तो हम आपसे यथाशीघ्र सुनना चाहेंगे, ताकि हम उन्हें उचित रूप से हल कर सकें।

हम अपने ग्राहकों और अपने सिस्टम को बेहतर ढंग से सुरक्षित करने में सक्षम होने के लिए आपके साथ काम करना चाहेंगे।

हम आपसे अनुरोध करते हैं कि आप:

• अपने निष्कर्ष यथाशीघ्र security-alert@fox-it.com पर ईमेल करें।

• भेद्यता का दुरुपयोग न करें; उदाहरण के लिए डेटा डाउनलोड, संपादित या हटाकर। हम हमेशा आपकी रिपोर्ट को गंभीरता से लेंगे और भेद्यता के किसी भी संदेह की जाँच करेंगे, प्रमाण के बिना भी।

• समस्या हल होने तक उसे दूसरों के साथ साझा न करें।

• भौतिक सुरक्षा पर हमलों, सोशल इंजीनियरिंग या भेद्यता स्कैनर जैसे हैकिंग उपकरणों का उपयोग न करें।

• समस्या को पुनः उत्पन्न करने के लिए पर्याप्त जानकारी दें ताकि हम उसे यथाशीघ्र हल कर सकें। आम तौर पर प्रभावित सिस्टम का IP पता या URL और भेद्यता का विवरण पर्याप्त होता है, हालाँकि अधिक जटिल भेद्यताओं के लिए और जानकारी की ज़रूरत पड़ सकती है।

हमारा वचन:

• हम आपकी रिपोर्ट का जवाब तीन कार्य दिवसों के भीतर रिपोर्ट के अपने मूल्यांकन और अनुमानित समाधान तिथि के साथ देंगे।

• हम आपकी रिपोर्ट को गोपनीय रूप से संभालेंगे, और आपकी अनुमति के बिना आपकी व्यक्तिगत जानकारी तृतीय पक्षों के साथ साझा नहीं करेंगे। इसका अपवाद अभियोजन की स्थिति में या जानकारी माँगे जाने पर पुलिस और न्यायपालिका हैं।

• हम समस्या के समाधान की प्रगति के बारे में आपको सूचित रखेंगे।

• रिपोर्ट की गई समस्या के बारे में संवाद में, यदि आप चाहें तो हम समस्या खोजने वाले पक्ष के रूप में आपका नाम बताएँगे।

• दुर्भाग्य से यह पहले से गारंटी देना संभव नहीं है कि आपके खिलाफ कोई कानूनी कार्रवाई नहीं की जाएगी। हम आशा करते हैं कि हर स्थिति पर अलग-अलग विचार कर सकेंगे। यदि हमें संदेह हो कि कमज़ोरी या डेटा का दुरुपयोग हो रहा है, या आपने कमज़ोरी का ज्ञान दूसरों के साथ साझा किया है, तो हम खुद को नैतिक रूप से आपकी रिपोर्ट करने के लिए बाध्य मानते हैं। आप निश्चिंत रह सकते हैं कि हमारे ऑनलाइन वातावरण में आकस्मिक खोज से अभियोजन नहीं होगा।

• आपकी मदद के धन्यवाद स्वरूप, हम ऐसी हर सुरक्षा समस्या की रिपोर्ट के लिए पुरस्कार देते हैं जो हमें ज्ञात नहीं है। हम पुरस्कार का मूल्य उल्लंघन की गंभीरता और रिपोर्ट की गुणवत्ता के आधार पर तय करते हैं।

हम सभी समस्याओं को यथाशीघ्र हल करने, सभी संबंधित पक्षों को सूचित रखने का प्रयास करते हैं, और समस्या हल होने के बाद उसके बारे में किसी भी प्रकाशन में शामिल होना चाहेंगे।

उदाहरण: Bits of Freedom

डिजिटल अवसंरचना पर हमारी निर्भरता लगातार बढ़ रही है। यह पूरे समाज पर लागू होता है, लेकिन स्वयं हम पर भी। इसलिए हमारी राय है कि सरकारों और संगठनों (हमारे सहित) को हमारी डिजिटल अवसंरचना को सुरक्षित करने के लिए दृढ़ता से प्रतिबद्ध होना चाहिए। हम समझते हैं कि हमारे सर्वोत्तम इरादों और अत्यधिक सावधानी के बावजूद हमारे सिस्टम में भेद्यताएँ हो सकती हैं। यदि आपको इनमें से कोई कमज़ोरी मिलती है, तो हम आपसे सुनना पसंद करेंगे ताकि हम समस्या हल कर सकें।

हम आपसे क्या अपेक्षा करते हैं

• जब आप हमारे किसी सिस्टम की जाँच कर रहे हों, तो हमले की आनुपातिकता का ध्यान रखें। यह दिखाने की कोई ज़रूरत नहीं कि यदि आप हमारी वेबसाइट पर इंटरनेट के इतिहास का सबसे बड़ा DDoS हमला करें, तो साइट पहुँच से बाहर हो सकती है। हम यह जानते हैं। हम यह भी समझते हैं कि यदि आप हमारे दफ़्तर में बुलडोज़र घुसा दें, तो आप शायद हमारा एक लैपटॉप उठा सकेंगे।

• आनुपातिकता का यह सिद्धांत भेद्यता को प्रदर्शित करते समय भी प्रासंगिक है। अपने निष्कर्ष की वैधता की पुष्टि के लिए आपको सख़्ती से आवश्यक से अधिक डेटा का निरीक्षण या संशोधन नहीं करना चाहिए। उदाहरण के लिए, यदि आप हमारा होमपेज संशोधित कर सकते हैं, तो पूरे पेज पर कब्ज़ा करने के बजाय उसमें केवल एक गैर-विवादास्पद शब्द जोड़ दें। यदि आप किसी डेटाबेस तक पहुँच पा सकते हैं, तो हमें उसमें मौजूद तालिकाओं की सूची, या शायद उन तालिकाओं में से किसी की पहली रिकॉर्ड दिखाना पर्याप्त है।

• हमारे किसी सिस्टम में मिली भेद्यता की रिपोर्ट यथाशीघ्र security@bof.nl पर ईमेल भेजकर की जानी चाहिए। बेहतर होगा कि आप अपना संदेश OpenPGP से एन्क्रिप्ट करें। कृपया पर्याप्त जानकारी दें ताकि हम समस्या को पुनः उत्पन्न और उसकी जाँच कर सकें।

• security@bof.nl की सार्वजनिक OpenPGP कुंजी

• जब तक हमने समस्या का समाधान नहीं कर लिया है और आपके रिपोर्ट करने के बाद अभी भी उचित समय-सीमा के भीतर हैं, तब तक आप भेद्यता के अपने ज्ञान को अन्य पक्षों के साथ साझा नहीं करेंगे।

• जैसे ही हम भेद्यता हल कर लें, आप अपनी जाँच के दौरान प्राप्त सारी गोपनीय जानकारी हटा देंगे।

आप हमसे क्या अपेक्षा कर सकते हैं

• हम तीन दिनों के भीतर आपकी रिपोर्ट का विस्तृत जवाब देंगे। हम समस्या के समाधान के लिए आवश्यक समय का अनुमान शामिल करेंगे। बेशक, हम अपनी प्रगति के बारे में आपको नियमित रूप से सूचित करते रहेंगे।

• हम भेद्यता का यथाशीघ्र समाधान करेंगे। यहाँ भी आनुपातिकता महत्वपूर्ण है: भेद्यता ठीक करने में लगने वाला समय कई कारकों पर निर्भर करता है, जिनमें संबंधित समस्या की गंभीरता और जटिलता शामिल हैं।

• जब आप यहाँ दिए गए दिशानिर्देशों का पालन करेंगे, तो हम आपकी रिपोर्ट के संबंध में आपके खिलाफ कानूनी कार्रवाई नहीं करेंगे।

• आपने जो किया उसके लिए आपको श्रेय देना हमारे लिए महत्वपूर्ण है - यदि आप चाहें। हम भेद्यता से संबंधित किसी प्रकाशन में आपका नाम केवल तभी उल्लिखित करेंगे जब आप इससे सहमत हों।

• हमारे सिस्टम को बेहतर ढंग से सुरक्षित करने में मदद के लिए धन्यवाद स्वरूप, हम उस समय हमें अज्ञात रही हर भेद्यता की रिपोर्ट को पुरस्कृत करना चाहेंगे। पुरस्कार भेद्यता की गंभीरता और रिपोर्ट की गुणवत्ता पर निर्भर करेगा।

• यदि आपको हमारे द्वारा उपयोग किए जाने वाले तृतीय-पक्ष सॉफ़्टवेयर में कोई भेद्यता मिलती है और वह भेद्यता किसी बग बाउंटी कार्यक्रम के अंतर्गत आती है, तो हम इस बाउंटी का दावा करने का प्रयास नहीं करेंगे; आपको करना चाहिए।