NCSC.nl

1. Pendahuluan

Masyarakat semakin mengalami digitalisasi. Saat ini, hampir semua proses melibatkan penggunaan komputer pada suatu titik, mulai dari telepon seluler hingga perangkat lunak khusus. Meskipun perkembangan ini menciptakan banyak peluang baru, kerentanan pada sistem TI dapat berdampak besar. Oleh karena itu, pengetahuan tentang kerentanan ini harus ditangani secara efektif.

Sejumlah organisasi mulai menerbitkan kebijakan tentang cara melaporkan kerentanan pada awal 2013. Setelah berkonsultasi dengan pihak-pihak tersebut, National Cyber Security Centre (NCSC) merangkum perkembangan tersebut dalam bentuk 'Pedoman untuk mencapai praktik Responsible Disclosure' ('Leidraad om te komen tot een praktijk van Responsible Disclosure'; 'Pedoman'). Perusahaan menyatakan melalui kebijakan ini bahwa mereka terbuka untuk menerima laporan kerentanan dari pihak luar, menjelaskan prasyarat mereka, dan memberikan janji. Proses ini menciptakan kejelasan dan lingkungan yang cukup aman bagi pihak pelapor untuk menyelidiki dan melaporkan kerentanan tanpa langsung melakukan tindak pidana. Pada pertemuan tingkat tinggi UE tentang keamanan siber tahun 2016, 29 organisasi menegaskan kembali pentingnya kebijakan untuk menangani kerentanan dengan menandatangani Coordinated Vulnerability Disclosure Manifesto1 yang diprakarsai oleh CIO Platform Netherlands dan Rabobank bekerja sama dengan NCSC.

Pengungkapan Kerentanan Terkoordinasi (Coordinated Vulnerability Disclosure, CVD) terbukti sangat penting bagi pihak publik dan swasta. Mereka sangat bergantung pada berfungsinya sistem informasi tanpa gangguan dalam praktik sehari-hari. Laporan kerentanan pada sistem mereka telah membantu meningkatkan keamanan dan kesinambungan sistem dalam beberapa tahun terakhir, di satu sisi dengan memperbaiki kerentanan dan di sisi lain dengan berkontribusi pada kesadaran umum perusahaan-perusahaan Belanda tentang keamanan TI.

Dalam beberapa tahun terakhir, terlihat jelas bahwa pihak pelapor bersedia bekerja dalam kondisi kebijakan CVD yang disusun oleh organisasi. Laporan disampaikan secara langsung maupun tidak langsung kepada organisasi oleh pihak pelapor. Praktik pengungkapan yang bertanggung jawab telah menunjukkan bahwa pihak pelapor yang beritikad baik dan organisasi yang rentan berhasil bekerja sama dan dengan demikian mengambil langkah berikutnya dalam meningkatkan keamanan jaringan dan sistem informasi.

Untuk revisi ini, kami sekali lagi berbicara dengan kelompok pihak pelapor yang luas dan beragam, pihak swasta dan publik, serta Kejaksaan dan Kepolisian Nasional. Percakapan ini telah mengonfirmasi praktik saat ini, dan menghasilkan tambahan serta perbaikan. Hal baru yang paling penting untuk diperhatikan adalah komunikasi antara pelapor kerentanan dan organisasi, serta dengan pihak lain setelah kerentanan diperbaiki.

Bab-bab berikut membahas definisi CVD, blok bangunan untuk kebijakan CVD, dan proses komunikasi.

Catatan: Pedoman sebelumnya menggunakan istilah 'responsible disclosure', yang merupakan istilah umum untuk praktik ini pada saat itu. Sementara itu menjadi jelas bahwa istilah ini terlalu menekankan tanggung jawab pihak pelapor, padahal prinsip dasarnya adalah bahwa pihak pelapor dan organisasi yang berpotensi rentan harus menjadi mitra yang setara dalam dialog. Sentimen ini lebih tertangkap dalam istilah yang umum digunakan saat ini, 'Coordinated Vulnerability Disclosure' (CVD), yang juga merupakan nama yang digunakan dalam standar ISO 29147 dan 30111 tentang proses ini.

2. Kerentanan Terkoordinasi

Berbagai metode telah digunakan selama 30 tahun terakhir untuk meningkatkan kesadaran akan kerentanan pada sistem TI. Contohnya meliputi:

'Full Disclosure', membuka kerentanan sepenuhnya kepada publik;
'Non-disclosure', menjual atau menggunakan kerentanan sendiri;
'Coordinated Vulnerability Disclosure' (CVD), pengungkapan kerentanan secara terkoordinasi.

Praktik yang terakhir secara tegas lebih disukai.

Komunitas TI telah menunjukkan kemauan besar untuk berbagi pengetahuan dan pengalaman. Mencari kerja sama dengan komunitas ini karenanya dapat membantu meningkatkan keamanan sistem secara keseluruhan.

Tujuan Pengungkapan Kerentanan Terkoordinasi

Tujuan CVD adalah berkontribusi pada keamanan sistem TI dengan berbagi pengetahuan tentang kerentanan. Dalam CVD, pengetahuan dibagikan kepada satu atau lebih organisasi yang berpotensi rentan agar tercapai solusi bersama untuk kerentanan yang ditemukan, bekerja sama dengan pihak pelapor. Penting agar organisasi yang terdampak memiliki cukup waktu untuk memperbaiki kerentanan apa pun atau melindungi sistem guna membatasi atau mencegah kerugian atau kerusakan sebanyak mungkin. Landasan proses ini adalah pengungkapan pengetahuan tentang kerentanan setelah diperbaiki.

Dalam CVD, sangat penting bahwa semua pihak mematuhi kesepakatan tentang cara melaporkan kerentanan dan cara menanganinya. Akan membantu jika organisasi menerbitkan prasyarat sebelumnya, seperti sistem mana yang masuk dalam cakupan dan jenis penelitian apa yang boleh dilakukan. Prinsip penting untuk prasyarat ini adalah bahwa organisasi pada dasarnya tidak akan melaporkan pihak pelapor atau mengambil langkah hukum lain jika penyelidikan dan pelaporan dilakukan dalam kondisi yang ditetapkan. Pedoman ini memberikan panduan kepada organisasi dalam menyusun kebijakan mereka sendiri untuk mewujudkan prinsip-prinsip CVD.

Seperti yang ditunjukkan namanya, inti dari CVD adalah organisasi dan pihak pelapor berkoordinasi satu sama lain. Dalam hal ini, sebaiknya ada sesedikit mungkin perantara antara orang yang melaporkan kerentanan dan orang di dalam organisasi yang bertanggung jawab menyelesaikan masalah.

Mungkin penting untuk memberi tahu beberapa pihak secara bersamaan jika kerentanan memengaruhi banyak sistem. Dalam hal itu, NCSC atau pihak lain dalam komunitas keamanan dapat mendukung proses CVD dari peran koordinasi.

3. Bidang tanggung jawab

Tujuan menjalankan kebijakan CVD adalah agar pihak pelapor dan organisasi bekerja sama untuk mengurangi kerentanan pada sistem TI. Penerapan kebijakan ini harus dipandang sebagai pelengkap tindakan yang sudah ada tentang keamanan informasi. Berbagai pelaku masing-masing memiliki peran dan tanggung jawabnya sendiri. Hal ini dijelaskan lebih rinci di bawah ini.

Organisasi yang memiliki/mengelola sistem

Organisasi yang memiliki/mengelola atau memasok suatu sistem terutama bertanggung jawab atas keamanan sistem ini. Dengan kata lain, organisasi juga bertanggung jawab untuk menindaklanjuti laporan kerentanan.

Organisasi dapat memilih untuk menyusun kebijakan CVD sendiri menggunakan Pedoman ini dan mengomunikasikan kebijakan ini kepada calon pihak pelapor. Dengan menerbitkan kebijakan CVD, organisasi menunjukkan kesediaan mereka untuk menerima informasi tentang kerentanan.

Pihak yang menetapkan kebijakan CVD dapat berkomitmen pada prinsip bahwa mereka tidak akan mengajukan pengaduan kepada polisi jika aturan yang berlaku pada kebijakan dihormati.

Setelah pihak pelapor melaporkan kerentanan, tanggung jawab berada pada organisasi. Penting untuk disadari bahwa pihak pelapor sering kali adalah orang di luar organisasi. Pihak ini tidak memiliki pandangan langsung terhadap proses internal yang dapat terpicu setelah kerentanan dilaporkan. Akibatnya, pihak pelapor akan menghargai jika diberi tahu tentang perkembangan penyelesaian kerentanan. Komunikasi berkelanjutan ini juga penting untuk menciptakan ekspektasi yang tepat tentang tindak lanjut dan ketepatan waktu solusi.

Pihak yang melaporkan kerentanan

Dengan satu atau lain cara, pihak pelapor mampu mengidentifikasi kerentanan dan ingin berkontribusi pada keamanan sistem TI dengan meminta kerentanan ini diperbaiki dan mungkin dipublikasikan pada tahap selanjutnya. Pihak pelapor mungkin menemukan sesuatu melalui pengamatan pasif atau dengan menguji sistem TI secara aktif. Tentu saja, pihak ini bertanggung jawab atas tindakannya sendiri dan cara mereka menemukan kerentanan. Merupakan tanggung jawab pihak pelapor sendiri untuk mengetahui kondisi yang ditetapkan oleh organisasi dalam kebijakan CVD-nya. Sebagian besar pemerintah dan perusahaan telah menerbitkan kebijakan CVD mereka di situs web mereka.

Namun, menemukan kerentanan dapat melibatkan pelanggaran hukum. Dalam konteks CVD, organisasi dan pihak pelapor dapat bersepakat bahwa mereka tidak akan melaporkan tindak pidana apa pun. Dalam hal ini, kebijakan CVD yang diterbitkan oleh organisasi adalah prinsip panduannya. Para pihak juga dapat bersepakat bahwa tidak akan ada tindakan perdata.

Jika ada dugaan bahwa pihak pelapor telah melanggar hukum, kebijakan CVD pertama-tama dapat membantu mencegah pelapor dilaporkan kepada pihak berwenang. Prosedur ini sepenuhnya bergantung pada prasyarat kebijakan yang diwajibkan organisasi kepada pihak pelapor untuk dipatuhi dan apakah kepatuhan ini telah dicapai, kemungkinan dengan janji yang sesuai untuk tidak mengajukan pengaduan pidana selama pihak tersebut bertindak dalam kondisi kebijakan. Jika laporan polisi dibuat, keberadaan dan kepatuhan terhadap kebijakan CVD adalah keadaan yang relevan di Belanda, yang akan dipertimbangkan Jaksa Penuntut Umum saat memutuskan apakah akan memulai penyelidikan pidana dan/atau melakukan penuntutan. Pada prinsipnya, polisi dan Kejaksaan (OM) tidak akan memulai penyelidikan pidana jika pihak pelapor jelas telah mematuhi aturan kebijakan CVD dari organisasi yang bersangkutan. Namun, Kejaksaan dan polisi dapat menyelidiki kasus ini lebih lanjut jika ada indikasi bahwa pihak pelapor secara sadar atau tidak sadar telah bertindak terlalu jauh dan/atau gagal mematuhi kebijakan CVD. Berdasarkan penyelidikan ini, Kejaksaan dapat memutuskan apakah akan melakukan penuntutan.

Kejaksaan telah menerbitkan surat kebijakan yang membahas secara lebih spesifik aspek-aspek yang penting dalam mengambil keputusan untuk menyelidiki dan/atau menuntut. Misalnya, apakah tindakan pihak pelapor melayani kepentingan umum yang penting, apakah pihak tersebut bertindak secara tidak proporsional, dan apakah pihak tersebut mungkin dapat bertindak dengan cara lain yang kurang drastis. Surat kebijakan yang relevan menguraikan lebih lanjut aspek-aspek ini.2 Yurisprudensi yang relevan sejak 20133 menunjukkan bahwa aspek-aspek ini juga dipertimbangkan di pengadilan jika sebuah organisasi tidak memiliki kebijakan CVD.

4. Blok bangunan proses Pengungkapan Kerentanan Terkoordinasi

Blok bangunan dalam membentuk proses CVD bagi organisasi, pelapor, dan NCSC diberikan di bawah ini.

Organisasi

Mempromosikan CVD dimulai dari organisasi yang memiliki sistem TI atau yang memasok produk/sistem TI. Bagaimanapun, organisasi ini terutama bertanggung jawab atas keamanan informasi sistem TI tersebut. Agar dapat bekerja secara efektif dengan berbagai pihak untuk menyelesaikan kerentanan, organisasi dapat memutuskan untuk menyusun dan menerbitkan kebijakan CVD. Menyusun kebijakan CVD sendiri memungkinkan organisasi menunjukkan bagaimana ia menangani laporan kerentanan. Dengan cara ini, sebuah organisasi juga dapat membentuk cara ia ingin menerima pemberitahuan. Proses seperti itu dapat diatur sebagai berikut:

Organisasi menetapkan dan menerbitkan kebijakan CVD.
Dalam kebijakan ini, organisasi memberikan aturan yang jelas untuk penelitian yang dapat dilakukan pihak pelapor, seperti teknik mana yang diizinkan dan sistem mana yang termasuk atau tidak termasuk dalam cakupan.
Organisasi memudahkan pihak pelapor untuk membuat laporan. Salah satu opsinya adalah menggunakan metode pelaporan standar; misalnya, alamat email khusus atau formulir online. Selain itu, organisasi dapat memutuskan apakah akan menerima laporan anonim.
Organisasi menyediakan kapasitas internal dan menyiapkan proses agar dapat menanggapi laporan secara memadai. Disarankan untuk menyiapkan proses yang dapat digunakan untuk memperbaiki kerentanan apa pun yang ditemukan secara memadai. Dalam hal ini, asal laporan tidak relevan. Kerentanan mungkin juga telah diidentifikasi oleh karyawan internal atau saat pengujian, misalnya.
Pengalaman praktis menunjukkan bahwa akan ada minat yang lebih besar untuk melaporkan kerentanan kepada organisasi setelah publikasi awal kebijakan CVD. Organisasi harus mempertimbangkan hal ini saat merencanakan kapasitas (tambahan).
Ketika organisasi menerima laporan kerentanan, organisasi memastikan bahwa laporan sampai ke departemen yang paling sesuai untuk menilai dan menangani laporan tersebut sesegera mungkin.
Organisasi mengirimkan konfirmasi penerimaan laporan kepada pihak pelapor, sebaiknya ditandatangani secara digital untuk menekankan prioritas.
Selanjutnya, organisasi akan berkonsultasi dengan pihak pelapor untuk menentukan jangka waktu publikasi apa pun akan dilakukan. Jangka waktu ini akan sangat bergantung pada sifat kerentanan dan jenis sistem.
Sebagai pedoman, jangka waktu sekitar 60 hari sering digunakan untuk kerentanan perangkat lunak. Memperbaiki kerentanan pada perangkat keras lebih sulit dicapai; pedoman 6 bulan dapat digunakan.
Mungkin diinginkan untuk memperpanjang atau mempersingkat jangka waktu ini berdasarkan kesepakatan bersama tergantung pada banyak atau sedikitnya sistem TI yang bergantung pada sistem yang kerentanannya dilaporkan atau apakah kerentanan lebih mudah atau lebih sulit diselesaikan.
Kerentanan mungkin sulit atau mustahil diselesaikan, atau mungkin ada biaya tinggi yang terlibat dalam penyelesaiannya. Dalam kasus seperti itu, organisasi dapat bersepakat untuk menganggap kerentanan sebagai risiko yang diterima dan tidak memperbaikinya, mungkin melalui konsultasi dengan pihak pelapor.
Organisasi akan terus memberi tahu pihak pelapor tentang perkembangan proses.
Selain itu, organisasi dapat menawarkan agar pihak pelapor diakui secara publik karena mempublikasikan kerentanan. Dimungkinkan juga untuk memilih pengungkapan bersama kepada dunia luar.
Sebaiknya pihak pelapor diberi imbalan karena melaporkan kerentanan pada sistem jika pihak tersebut telah mematuhi aturan kebijakan CVD. Besarnya imbalan dapat bergantung pada kualitas laporan. Memberi imbalan kepada pihak pelapor dapat menciptakan hubungan yang lebih baik antara pihak tersebut dan organisasi, serta meningkatkan kesediaan orang untuk membuat laporan baru sesuai dengan kebijakan CVD.
Melalui konsultasi dengan pihak pelapor, organisasi dapat bersepakat untuk memberi tahu komunitas TI yang lebih luas tentang kerentanan jika masuk akal bahwa kerentanan tersebut juga ada di tempat lain.
Dalam kebijakan CVD-nya, organisasi dapat berkomitmen pada prinsip bahwa ia tidak akan mengajukan pengaduan kepada polisi jika pihak pelapor telah mematuhi aturan sebagaimana diuraikan dalam kebijakan.

Pihak pelapor

Pihak pelapor adalah kunci keberhasilan proses CVD. Dengan satu atau lain cara, pihak ini mampu mengidentifikasi kerentanan, dan ingin berkontribusi pada keamanan sistem TI dengan meminta kerentanan ini diperbaiki oleh organisasi dan dipublikasikan. Dengan demikian, pihak pelapor mengakui bahwa mereka dapat memberikan kontribusi penting bagi masyarakat dengan mengungkapkan kerentanan secara terkoordinasi. Untuk mencapai proses CVD yang berhasil, blok bangunan berikut penting bagi pihak pelapor:

Pihak pelapor bertanggung jawab atas tindakannya sendiri dan harus mematuhi prinsip proporsionalitas serta subsidiaritas saat menyelidiki dan melaporkan kerentanan. Dengan kata lain, pihak pelapor tidak boleh melakukan lebih dari yang diperlukan untuk mendemonstrasikan kerentanan dan harus selalu melaporkan kerentanan kepada pemilik sistem/informasi terlebih dahulu.
Pihak pelapor harus melaporkan masalah sesegera mungkin untuk mencegah pihak jahat menemukan kerentanan dan memanfaatkannya.
Pihak pelapor harus membuat laporan kepada organisasi secara rahasia untuk mencegah pihak lain mendapatkan akses ke informasi ini.
Pihak pelapor tidak boleh menjadikan pengajuan laporan atau pemberian informasi lebih lanjut bergantung pada imbalan. Inisiatif untuk memberikan imbalan atas laporan ada pada organisasi penerima, yang dapat menguraikan prasyarat dalam kebijakan yang diterbitkannya.
Pihak pelapor dan organisasi membuat kesepakatan yang jelas tentang pengungkapan kerentanan. Jika lebih dari satu organisasi terlibat, prinsip dasarnya adalah bahwa kerentanan hanya dapat dipublikasikan jika semua organisasi menyetujuinya. Membuat kesepakatan ini pada tahap awal disarankan.
Pihak pelapor dan organisasi yang terlibat dapat membuat kesepakatan tentang pemberitahuan kepada komunitas TI yang lebih luas. Misalnya, situasi ini dapat berlaku untuk kerentanan (baik sudah diketahui maupun belum) yang diketahui ada di lebih dari satu lokasi. National Cyber Security Centre (NCSC) dapat dilibatkan dalam proses ini untuk mendukung kelompok sasaran pemerintah pusat dan infrastruktur kritis atau untuk memberi tahu beberapa pihak jika terjadi kerentanan yang memengaruhi banyak sistem.

NCSC

Proses CVD terutama merupakan urusan organisasi dan pihak pelapor. Meskipun demikian, NCSC akan mendorong penggunaan proses CVD. Melalui konsultasi dengan pihak pelapor dan organisasi, NCSC juga dapat dilibatkan dalam berbagi informasi tentang kerentanan dengan konstituennya untuk membatasi risiko keamanan lebih lanjut yang timbul dari kerentanan tersebut.

Jika pelaporan kerentanan tidak berjalan seperti yang diharapkan pihak pelapor, atau jika mereka lebih memilih tidak melaporkan kerentanan secara langsung kepada organisasi, mereka dapat menghubungi NCSC.4 Dalam hal ini, NCSC dapat bertindak sebagai perantara bila diperlukan.

Pemilik sistem TI setiap saat bertanggung jawab atas keamanan sistem tersebut. NCSC tidak dapat memaksa pemilik sistem untuk memperbaiki kerentanan, dan juga tidak dapat menjamin bahwa pemilik tidak akan mengambil tindakan hukum terhadap pihak pelapor. Akibatnya, pihak pelapor harus memperhitungkan blok bangunan yang disebutkan di atas bagi organisasi dan pihak pelapor saat mencari dan melaporkan kerentanan. Pihak pelapor dapat mengharapkan NCSC melakukan yang terbaik agar kerentanan diperbaiki dan memperlakukan laporan secara rahasia. NCSC tidak membagikan data pribadi apa pun kecuali diwajibkan secara hukum.

Jika memungkinkan, NCSC akan menggunakan informasi yang diperoleh tentang kerentanan melalui konsultasi dengan organisasi dan pihak pelapor untuk berbagi pengetahuan lebih lanjut dengan komunitas TI. Misalnya, NCSC dapat melakukannya dengan menerbitkan sebagian informasi, menulis atau memperbarui lembar fakta atau white paper, atau dengan memberi tahu organisasi tertentu.

Bergantung pada organisasi yang bersangkutan dan sifat kerentanan yang ditemukan, NCSC akan berupaya membawa kerentanan tersebut ke perhatian organisasi yang bersangkutan. Namun, pemilik sistem TI yang dimaksud tetap bertanggung jawab atas sistem tersebut.
Jika memungkinkan dan diperlukan, NCSC akan memberikan saran kepada organisasi yang bersangkutan tentang cara memperbaiki kerentanan.
NCSC akan memperlakukan laporan secara rahasia dan tidak akan membagikan data pribadi pihak pelapor atau organisasi penerima tanpa persetujuan, kecuali jika hal itu berasal dari kewajiban hukum.
Sedapat mungkin, NCSC akan terus memberi tahu pihak pelapor tentang perkembangan kontak dengan organisasi dan perbaikan kerentanan.
Dalam kasus laporan dibuat kepada NCSC, NCSC akan berusaha mempertemukan pihak pelapor atau calon pihak pelapor dan organisasi satu sama lain.

Jika pihak pelapor menemukan kerentanan pada produk perangkat lunak atau kerentanan yang memengaruhi banyak sistem berbeda, misalnya, pihak pelapor dapat meminta NCSC untuk mengoordinasikan perbaikan dan pengungkapan kerentanan.

Bersama pihak pelapor, mitra, pengembang dan/atau pengembang perangkat lunak serta tim keamanan lainnya, NCSC akan membantu menganalisis, memperbaiki atau meminta perbaikan, mengoordinasikan dan mengungkapkan kerentanan secara terkendali. Semua proses ini berlangsung melalui konsultasi erat dengan pihak pelapor yang menemukan kerentanan.

Kebijakan CVD berusaha menyeimbangkan pentingnya mengungkapkan kerentanan secepat mungkin, agar tindakan dapat diambil, dan pentingnya bagi pengembang maupun pemasok untuk memiliki cukup waktu memperbaiki kerentanan. Untuk proses ini, NCSC menggunakan jangka waktu standar 60 hari antara laporan dan pengungkapan publik. Namun, mungkin ada keadaan di mana diputuskan untuk memperpanjang atau mempersingkat jangka waktu ini.

NCSC hanya akan membagikan informasi tentang kerentanan kepada pihak ketiga setelah berkonsultasi dengan pihak pelapor. Dalam konteks ini, sangat penting bahwa NCSC bekerja sama dan karenanya membagikan informasi tentang kerentanan dengan pemangku kepentingan agar dapat mengungkapkan kerentanan secara terkoordinasi. Dengan demikian, NCSC akan memastikan bahwa pihak yang tepat dapat bekerja memperbaiki kerentanan, membantu membatasi kerugian atau kerusakan, dan membantu menarik perhatian pada kerentanan yang ditemukan.

5. Komunikasi dan proses pengungkapan

Lima tahun praktik telah menunjukkan bahwa komunikasi yang jelas adalah landasan proses CVD yang berhasil. Ada poin-poin yang perlu diperhatikan sebelum, selama, dan setelah proses CVD.

Komunikasi tentang proses pengungkapan

Menerbitkan kebijakan CVD adalah langkah pertama dalam berkomunikasi tentang proses. Dengan menerbitkan kebijakan secara publik, pihak pelapor diundang untuk memberi tahu organisasi tentang kerentanan apa pun yang ditemukan.

Di satu sisi, organisasi dapat menyusun kondisi untuk penelitian yang dilakukan guna menemukan kerentanan dan cara kontak dilakukan. Di sisi lain, organisasi dapat berkomitmen pada prinsip bahwa ia tidak akan mengajukan pengaduan kepada polisi jika aturan kebijakan dihormati. Pendekatan ini melindungi posisi pihak pelapor.

Kebijakan CVD dapat diubah atau diperbarui di kemudian hari. Penting untuk bersikap jelas tentang perubahan dalam hal ini. Pihak pelapor berkepentingan untuk mengetahui apa yang telah diubah dan kapan. Misalnya, perubahan dapat diperjelas dengan mencantumkan tanggal publikasi di awal kebijakan CVD, dengan menjelaskan ringkasan perubahan di bawah kebijakan CVD, atau dengan menyimpan arsip versi lama kebijakan CVD.

Kebijakan CVD dapat memberikan pedoman tentang cara berkomunikasi selama proses, misalnya dengan menunjukkan pembaruan rutin melalui email atau portal web. Selain itu, kebijakan CVD dapat menjelaskan bagaimana seorang pelapor dapat diakui dengan menyebutkan namanya dalam pembaruan, dimasukkan ke hall of fame, atau bentuk imbalan lainnya.

Komunikasi selama proses pengungkapan

Pihak pelapor memulai proses CVD dengan mengirim pesan kepada organisasi. Dalam pesan ini, pihak pelapor memberikan deskripsi yang jelas tentang kerentanan yang ditemukan. Elemen penting adalah alamat IP atau URL dari sistem yang terdampak dan langkah-langkah yang diperlukan untuk mereproduksi kerentanan.

Penting bagi organisasi untuk berkomunikasi dengan jelas kepada pihak pelapor agar ekspektasi tentang proses menjadi jelas.

Organisasi dapat melakukannya dengan mengirim konfirmasi penerimaan (otomatis atau lainnya) yang berisi indikasi jangka waktu di mana tanggapan substantif awal atau lanjutan akan dikirim.

Juga dimungkinkan untuk membiarkan jangka waktu ini terbuka dan memberikan indikasi awal jangka waktu setelah menilai isi laporan. Disarankan untuk bersikap jelas sedini mungkin tentang jangka waktu di mana solusi dapat dicapai. Dengan cara ini, pelapor tahu kapan hasil dapat diharapkan.

Dalam beberapa kasus mungkin tanggal publikasi sudah jelas bagi pihak pelapor; misalnya, karena presentasi di konferensi atau karena pihak pelapor telah menetapkan jangka waktunya sendiri. Dalam hal ini, tetap penting bahwa pihak pelapor mengomunikasikan garis waktu ini dengan jelas, menyatakannya sedini mungkin dan bersikap jelas tentang kemungkinan/ketidakmungkinan menunda tanggal ini.

Pihak pelapor sering kali adalah orang di luar organisasi, yang tidak memiliki wawasan tentang proses internal yang dapat terpicu oleh sebuah laporan. Organisasi dapat terus memberi tahu pihak pelapor tentang perkembangan proses melalui pembaruan rutin. Pendekatan ini memperjelas kepada pihak pelapor bahwa sebuah solusi sedang dikerjakan. Bila perlu, organisasi dapat meminta klarifikasi atau menguji solusi selama proses.

Jika organisasi tidak dapat memenuhi tenggat penyelesaian awal, hal tersebut dapat dibicarakan dengan pelapor untuk menundanya. Komunikasi rutin dapat memperjelas situasi ini kepada pelapor pada tahap yang lebih awal.

Maksud utama CVD adalah memitigasi kerentanan, tetapi 'full disclosure' kerentanan selalu menjadi opsi bagi pihak pelapor jika ia merasa proses akan memakan waktu terlalu lama. Langkah ini adalah 'big stick' (tongkat besar) yang tersedia bagi pihak pelapor. Tentu saja, situasi ini harus dicegah sebisa mungkin.

Komunikasi setelah proses pengungkapan

Ada banyak kemungkinan alasan mengapa pihak pelapor mencari kerentanan lalu melaporkannya kepada organisasi melalui proses CVD. Bagi sejumlah besar pihak pelapor, insentif penting adalah pengakuan (publik).

Pihak pelapor menerima pengakuan publik melalui ucapan terima kasih dalam pembaruan atau masuk ke hall of fame. Namun, kebutuhan akan pengakuan publik tidak berlaku untuk semua pihak pelapor; sebagian bahkan tidak ingin dikenal publik. Dalam hal komunikasi oleh organisasi, karena itu disarankan untuk memperoleh persetujuan pihak pelapor untuk menyebutkan namanya.

Selain itu, pihak pelapor juga dapat memutuskan untuk berkomunikasi tentang laporan setelah proses CVD selesai. Misalnya, pihak pelapor dapat menjelaskan proses penemuan atau memperingatkan orang lain tentang kerentanan. Seorang pelapor dapat memutuskan untuk menyerahkan publikasi kepada organisasi untuk tujuan informasi. Karena proses CVD pada prinsipnya selesai setelah kerentanan dihapus, pihak pelapor selanjutnya bebas untuk berkomunikasi tentangnya, kecuali jika dibuat kesepakatan tambahan dalam kebijakan atau selama proses.

Daftar

Komunikasi tentang proses pengungkapan

Penerbitan kebijakan CVD di situs web
Bersikap jelas tentang pembatasan (lihat bab 6 untuk berbagai pendekatan)
Pembatasan pada metode penyelidikan
Pedoman tentang komunikasi
Pedoman tentang kemungkinan imbalan: Hall of fame, imbalan finansial, kaus, dll.
Bersikap jelas tentang setiap pembaruan kebijakan CVD, termasuk tanggal perubahan

Komunikasi selama proses pengungkapan

Pelapor menghubungi organisasi tentang kerentanan yang ditemukan.
Organisasi mengelola ekspektasi, seperti waktu respons untuk tanggapan teknis pertama
Organisasi dan pelapor saling memberikan kejelasan tentang perkiraan jangka waktu penyelesaian
Organisasi sering memberikan pembaruan (proses)
Bila perlu, pelapor dan organisasi membahas menghubungi organisasi relevan lainnya

Komunikasi setelah proses pengungkapan

Membahas pengakuan (publik) dan imbalan bagi pelapor
Mengatur bagaimana informasi tentang kerentanan akan dipublikasikan, seperti fase penelitian atau pemberitahuan kepada organisasi lain

6. Contoh kebijakan Pengungkapan Kerentanan Terkoordinasi

Ada banyak bentuk berbeda dari teks kebijakan tentang Pengungkapan Kerentanan Terkoordinasi. Karena kebijakan CVD yang diterbitkan berfungsi sebagai penunjuk arah bagi calon pihak pelapor, pastikan bentuk kebijakan ini sejalan dengan kebijakan dan strategi organisasi.

Elemen-elemen berikut penting dalam kebijakan CVD:

metode kontak untuk komunikasi yang aman;
prasyarat bagi pihak pelapor;
ekspektasi yang jelas untuk penanganan laporan;
metode pemberian imbalan atas laporan;
nomor versi dan tanggal revisi terbaru.

Di bawah ini ada tiga contoh: Banyak organisasi di Belanda mengacu pada contoh dasar ResponsibleDisclosure.nl. Organisasi lain menyertakan prasyarat tambahan, lihat kebijakan Fox IT. Organisasi lainnya lagi menerapkan format yang lebih bebas agar sesuai dengan target audiens mereka, lihat kebijakan Bits of Freedom.

Contoh: ResponsibleDisclosure.nl

Teks ini ditulis oleh Floor Terra dan diterbitkan dengan lisensi Creative Commons Attribution 3.0 Unported.

Di Acme Corporation, kami menganggap keamanan sistem kami sebagai prioritas utama. Namun seberapa pun besar upaya yang kami curahkan untuk keamanan sistem, kerentanan tetap mungkin ada.

Jika Anda menemukan kerentanan, kami ingin mengetahuinya agar kami dapat mengambil langkah untuk mengatasinya secepat mungkin.

Kami ingin meminta Anda membantu kami melindungi klien dan sistem kami dengan lebih baik.

Mohon lakukan hal berikut:

Kirim temuan Anda melalui email ke cert@example.com. Enkripsi temuan Anda menggunakan kunci PGP kami agar informasi penting ini tidak jatuh ke tangan yang salah,
Jangan memanfaatkan kerentanan atau masalah yang Anda temukan, misalnya dengan mengunduh lebih banyak data daripada yang diperlukan untuk mendemonstrasikan kerentanan atau menghapus atau mengubah data milik orang lain,
Jangan mengungkapkan masalah tersebut kepada pihak lain sampai masalah itu terselesaikan,
Jangan menggunakan serangan terhadap keamanan fisik, rekayasa sosial, distributed denial of service, spam, atau aplikasi pihak ketiga, dan
Berikan informasi yang cukup untuk mereproduksi masalah, sehingga kami dapat menyelesaikannya secepat mungkin. Biasanya, alamat IP atau URL sistem yang terdampak dan deskripsi kerentanan sudah cukup, tetapi kerentanan yang kompleks mungkin memerlukan penjelasan lebih lanjut.

Yang kami janjikan:

Kami akan menanggapi laporan Anda dalam 3 hari kerja dengan evaluasi kami atas laporan tersebut dan perkiraan tanggal penyelesaian,
Jika Anda telah mengikuti petunjuk di atas, kami tidak akan mengambil tindakan hukum apa pun terhadap Anda terkait laporan tersebut,
Kami akan menangani laporan Anda dengan kerahasiaan yang ketat, dan tidak akan meneruskan data pribadi Anda kepada pihak ketiga tanpa izin Anda,
Kami akan terus mengabari Anda tentang kemajuan penyelesaian masalah,
Dalam informasi publik mengenai masalah yang dilaporkan, kami akan mencantumkan nama Anda sebagai penemu masalah (kecuali Anda menginginkan sebaliknya), dan
Sebagai tanda terima kasih atas bantuan Anda, kami menawarkan imbalan untuk setiap laporan masalah keamanan yang belum kami ketahui. Besarnya imbalan akan ditentukan berdasarkan tingkat keparahan kebocoran dan kualitas laporan. Imbalan minimum berupa voucher hadiah senilai €50.

Kami berusaha menyelesaikan semua masalah secepat mungkin, dan kami ingin berperan aktif dalam publikasi akhir mengenai masalah tersebut setelah terselesaikan.

Contoh: Fox-IT

Di Fox-IT, kami menganggap keamanan sistem, jaringan, dan produk kami sebagai hal yang sangat penting. Meskipun kami sangat berhati-hati dalam hal keamanan, titik lemah tetap bisa ada. Jika Anda telah menemukan kelemahan seperti itu, kami ingin mendengarnya sesegera mungkin agar kami dapat mengambil langkah yang tepat secepat mungkin.

Titik lemah dapat ditemukan dengan dua cara: Anda dapat secara tidak sengaja menemukan sesuatu saat menggunakan lingkungan digital secara normal, atau Anda dapat secara eksplisit berusaha sebaik mungkin untuk menemukannya.

Kebijakan pengungkapan bertanggung jawab kami bukanlah undangan untuk memindai secara aktif jaringan bisnis kami guna menemukan titik lemah. Kami memantau jaringan bisnis kami sendiri. Artinya, ada kemungkinan besar bahwa pemindaian akan terdeteksi, dan bahwa penyelidikan akan dilakukan oleh Security Operation Center (SOC) kami, yang dapat mengakibatkan biaya yang tidak perlu. Namun, Anda diundang untuk secara aktif mencari kerentanan pada produk kami di lingkungan non-produksi offline dan melaporkan temuan Anda kepada kami. Tanggung jawab kami kepada pelanggan berarti bahwa niat kami bukan mendorong upaya peretasan terhadap infrastruktur mereka; namun, kami ingin mendengar kabar dari Anda sesegera mungkin jika kerentanan ditemukan, agar kami dapat menyelesaikannya dengan tepat.

Kami ingin bekerja sama dengan Anda agar dapat lebih baik melindungi pelanggan dan sistem kami.

Kami meminta Anda untuk:

Mengirim temuan Anda melalui email sesegera mungkin ke security-alert@fox-it.com.
Tidak menyalahgunakan kerentanan; misalnya, dengan mengunduh, mengedit, atau menghapus data. Kami akan selalu menanggapi laporan Anda dengan serius dan menyelidiki setiap dugaan kerentanan, bahkan tanpa bukti.
Tidak membagikan masalah tersebut kepada pihak lain sampai masalah itu terselesaikan.
Tidak menggunakan serangan terhadap keamanan fisik, rekayasa sosial, atau alat peretasan, seperti pemindai kerentanan.
Memberikan informasi yang memadai agar masalah dapat direproduksi sehingga kami dapat menyelesaikannya secepat mungkin. Biasanya, alamat IP atau URL sistem yang terdampak dan deskripsi kerentanan sudah cukup, meskipun informasi lebih lanjut mungkin diperlukan untuk kerentanan yang lebih kompleks.

Yang kami janjikan:

Kami akan menanggapi laporan Anda dalam tiga hari kerja, dengan evaluasi kami atas laporan tersebut dan perkiraan tanggal penyelesaian.
Kami akan menangani laporan Anda secara rahasia, dan tidak akan membagikan informasi pribadi Anda kepada pihak ketiga tanpa izin Anda. Pengecualian untuk hal ini adalah polisi dan lembaga peradilan jika terjadi penuntutan atau jika informasi diminta.
Kami akan terus memberi tahu Anda tentang kemajuan penyelesaian masalah.
Dalam komunikasi tentang masalah yang dilaporkan, kami akan mencantumkan nama Anda sebagai pihak yang menemukan masalah, jika Anda menginginkannya.
Sayangnya tidak mungkin menjamin sebelumnya bahwa tidak ada tindakan hukum yang akan diambil terhadap Anda. Kami berharap dapat mempertimbangkan setiap situasi secara individual. Kami menganggap diri kami secara moral wajib melaporkan Anda jika kami mencurigai kelemahan atau data disalahgunakan, atau bahwa Anda telah membagikan pengetahuan tentang kelemahan tersebut kepada pihak lain. Anda dapat yakin bahwa penemuan yang tidak disengaja di lingkungan online kami tidak akan berujung pada penuntutan.
Sebagai ucapan terima kasih atas bantuan Anda, kami menawarkan imbalan untuk setiap laporan masalah keamanan yang belum kami ketahui. Kami menentukan nilai imbalan berdasarkan tingkat keseriusan pelanggaran dan kualitas laporan.

Kami berusaha menyelesaikan semua masalah secepat mungkin, menjaga semua pihak yang terlibat tetap mendapat informasi, dan kami ingin terlibat dalam publikasi apa pun tentang masalah tersebut setelah terselesaikan.

Contoh: Bits of Freedom

Ketergantungan kita pada infrastruktur digital terus meningkat. Hal ini berlaku bagi masyarakat secara keseluruhan, tetapi juga bagi kami sendiri. Karena itu, menurut kami pemerintah dan organisasi (termasuk organisasi kami) harus berkomitmen kuat untuk mengamankan infrastruktur digital kami. Kami menyadari bahwa, meskipun kami memiliki niat terbaik dan kehati-hatian terbesar, kerentanan mungkin ada dalam sistem kami. Jika Anda menemukan salah satu kelemahan tersebut, kami ingin mendengar kabar dari Anda agar kami dapat menyelesaikan masalah tersebut.

Yang kami harapkan dari Anda

Ketika Anda menyelidiki salah satu sistem kami, ingatlah proporsionalitas serangan. Tidak perlu mendemonstrasikan bahwa ketika Anda menjadikan situs web kami sasaran serangan DDoS terbesar dalam sejarah internet, situs tersebut dapat menjadi tidak dapat diakses. Kami tahu itu. Kami juga memahami bahwa jika Anda mengemudikan buldoser ke kantor kami, Anda mungkin akan dapat menyambar salah satu laptop kami.
Prinsip proporsionalitas ini juga relevan ketika mendemonstrasikan kerentanan itu sendiri. Anda tidak boleh memeriksa atau mengubah lebih banyak data daripada yang benar-benar diperlukan untuk mengonfirmasi keabsahan temuan Anda. Misalnya, jika Anda dapat mengubah beranda kami, cukup tambahkan satu kata yang tidak kontroversial di sana alih-alih mengambil alih seluruh halaman. Jika Anda bisa mendapatkan akses ke basis data, cukup tunjukkan kepada kami daftar tabel yang ada di dalamnya, atau mungkin rekaman pertama dari salah satu tabel tersebut.
Kerentanan pada salah satu sistem kami harus dilaporkan sesegera mungkin dengan mengirim email ke security@bof.nl. Sebaiknya Anda mengenkripsi pesan Anda menggunakan OpenPGP. Mohon berikan informasi yang cukup agar kami dapat mereproduksi dan menyelidiki masalah tersebut.
Kunci publik OpenPGP untuk security@bof.nl
Anda tidak akan membagikan pengetahuan Anda tentang kerentanan kepada pihak lain selama kami belum menangani masalah tersebut dan kami masih berada dalam jangka waktu yang wajar sejak Anda melaporkan masalah tersebut.
Anda akan menghapus semua informasi rahasia yang Anda peroleh selama penyelidikan segera setelah kami menyelesaikan kerentanan tersebut.

Yang dapat Anda harapkan dari kami

Kami akan menanggapi laporan Anda dalam waktu tiga hari secara terperinci. Kami akan menyertakan perkiraan waktu yang kami perlukan untuk menangani masalah tersebut. Tentu saja, kami akan secara berkala memberi kabar kepada Anda tentang kemajuan kami.
Kami akan menyelesaikan kerentanan secepat mungkin. Di sini juga, proporsionalitas penting: waktu yang diperlukan untuk memperbaiki kerentanan bergantung pada beberapa faktor, di antaranya tingkat keparahan dan kompleksitas masalah yang dihadapi.
Jika Anda mengikuti pedoman yang diuraikan di sini, kami tidak akan mengambil tindakan hukum terhadap Anda terkait laporan Anda.
Penting bagi kami untuk memberikan penghargaan atas apa yang Anda lakukan - jika Anda menginginkannya. Kami akan menyebut nama Anda dalam publikasi tentang kerentanan tersebut hanya jika Anda menyetujuinya.
Sebagai ucapan terima kasih karena telah membantu kami melindungi sistem kami dengan lebih baik, kami ingin memberi imbalan untuk setiap laporan kerentanan yang belum kami ketahui pada saat itu. Imbalan akan bergantung pada tingkat keparahan kerentanan dan kualitas laporan.
Jika Anda menemukan kerentanan pada perangkat lunak pihak ketiga yang kami gunakan dan kerentanan tersebut tercakup dalam program bug bounty, kami tidak akan mencoba mengklaim imbalan tersebut; Anda yang seharusnya mengklaimnya.