NCSC.nl

1. Inngangur

Samfélagið verður sífellt stafrænna. Nú á dögum felast nánast öll ferli í notkun tölva á einhverjum tímapunkti, allt frá farsímum til sérhæfðs hugbúnaðar. Þótt þessi þróun skapi mörg ný tækifæri geta veikleikar í upplýsingatæknikerfum haft mikil áhrif. Þess vegna ætti þekkingu á þessum veikleikum að vera sinnt á skilvirkan hátt.

Nokkrar stofnanir byrjuðu að birta stefnur um hvernig tilkynna skuli veikleika í upphafi árs 2013. Eftir samráð við þessa aðila tók Þjóðaröryggismiðstöð netöryggis (National Cyber Security Centre, NCSC) þróunina saman í formi „Leiðbeininga um að ná fram starfsháttum ábyrgrar birtingar (Responsible Disclosure)" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Leiðbeiningarnar"). Fyrirtæki gefa með þessari stefnu til kynna að þau séu opin fyrir því að taka við utanaðkomandi veikleikaskýrslum, lýsa forsendum sínum og gefa loforð. Þetta ferli skapaði skýrleika og nokkuð öruggt umhverfi fyrir tilkynnendur til að rannsaka og tilkynna veikleika án þess að fremja beint refsivert brot. Á háttsettum fundi ESB um netöryggi árið 2016 staðfestu 29 stofnanir aftur mikilvægi stefnu um meðhöndlun veikleika með því að undirrita Coordinated Vulnerability Disclosure Manifesto1 sem CIO Platform Netherlands og Rabobank hófu í samstarfi við NCSC.

Samræmd birting öryggisveikleika (Coordinated Vulnerability Disclosure, CVD) hefur sannað mikilvægi sitt fyrir opinbera og einkaaðila. Þeir eru mjög háðir óröskuðum rekstri upplýsingakerfa í daglegu starfi. Skýrslur um veikleika í kerfum þeirra hafa hjálpað til við að bæta öryggi og samfellu kerfa á undanförnum árum, annars vegar með því að bæta úr veikleikum og hins vegar með því að stuðla að almennri vitund hollenskra fyrirtækja um upplýsingaöryggi.

Á undanförnum árum hefur komið í ljós að tilkynnendur eru reiðubúnir að starfa innan skilyrða CVD-stefnu sem stofnanir hafa mótað. Skýrslur eru gerðar beint eða óbeint til stofnana af tilkynnendum. Starfshættir ábyrgrar birtingar hafa sýnt að velviljaðir tilkynnendur og berskjaldaðar stofnanir hafa getað unnið saman og þannig stigið næsta skref í að auka öryggi neta og upplýsingakerfa.

Fyrir þessa endurskoðun ræddum við enn og aftur við breiðan og fjölbreyttan hóp tilkynnenda, einkaaðila og opinbera aðila, auk saksóknaraembættisins og landslögreglunnar. Þessi samtöl hafa staðfest núverandi starfshætti og leitt til viðbóta og úrbóta. Mikilvægasta nýja atriðið sem þarf að huga að eru samskipti milli veikleikatilkynnanda og stofnunar, sem og við aðra aðila eftir að veikleikinn hefur verið lagaður.

Eftirfarandi kaflar fjalla um skilgreiningu CVD, byggingareiningar CVD-stefnu og samskiptaferlið.

Til hliðar: Fyrri leiðbeiningar notuðu hugtakið „responsible disclosure" (ábyrg birting), sem var algengt hugtak yfir þessa starfshætti á þeim tíma. Síðan hefur komið í ljós að þetta hugtak leggur of mikla áherslu á ábyrgð tilkynnandans, á meðan grundvallarreglan er sú að tilkynnandinn og stofnunin sem gæti verið berskjölduð ættu að vera jafnir aðilar í samtalinu. Þessi afstaða kemur betur fram í hugtakinu sem nú er algengt, „Coordinated Vulnerability Disclosure" (CVD), sem er einnig nafnið sem notað er í stöðlunum ISO 29147 og 30111 um þetta ferli.

2. Samræmdur veikleiki

Ýmsar aðferðir hafa verið notaðar síðustu 30 árin til að auka vitund um veikleika í upplýsingatæknikerfum. Dæmi eru:

• „Full Disclosure" (full birting), að gera veikleika alfarið opinberan;

• „Non-disclosure" (leynd), að selja veikleika eða nota hann sjálfur;

• „Coordinated Vulnerability Disclosure" (CVD), samræmd birting veikleika.

Síðarnefndu aðferðinni er sérstaklega gefinn forgangur.

Upplýsingatæknisamfélagið hefur sýnt mikla viljuga til að deila þekkingu og reynslu. Að leita samstarfs við þetta samfélag getur því hjálpað til við að bæta heildaröryggi kerfa.

Markmið samræmdrar birtingar öryggisveikleika

Markmið CVD er að stuðla að öryggi upplýsingatæknikerfa með því að deila þekkingu um veikleika. Í CVD er þekkingu deilt með einni eða fleiri stofnunum sem gætu verið berskjaldaðar til að ná sameiginlegri lausn á veikleikanum sem fannst í samvinnu við tilkynnandann. Það er mikilvægt að stofnanirnar sem verða fyrir áhrifum hafi nægan tíma til að bæta úr öllum veikleikum eða vernda kerfi til að takmarka eða koma í veg fyrir tap eða tjón eins og kostur er. Hornsteinn ferlisins er birting þekkingar um veikleikana eftir úrbætur.

Í CVD er nauðsynlegt að allir aðilar fari eftir samkomulagi um hvernig tilkynna skuli veikleika og hvernig meðhöndla skuli hann. Það hjálpar ef stofnun birtir forsendur fyrirfram, svo sem hvaða kerfi falla innan marka og hvers konar rannsóknir má framkvæma. Mikilvæg regla fyrir þessar forsendur er að stofnunin mun í grundvallaratriðum ekki kæra tilkynnandann né grípa til annarra lagalegra aðgerða ef rannsóknin og tilkynningin fer fram innan settra skilyrða. Þessar leiðbeiningar veita stofnunum leiðsögn við að móta sína eigin stefnu til að fela í sér meginreglur CVD.

Eins og nafnið gefur til kynna er það lykilatriði í CVD að stofnunin og tilkynnandinn samræmi sig sín á milli. Að þessu leyti ættu sem fæstir milliliðir að vera á milli þess sem tilkynnir veikleikann og þess innan stofnunarinnar sem ber ábyrgð á að leysa vandamálið.

Það getur verið mikilvægt að upplýsa nokkra aðila samtímis ef veikleiki hefur áhrif á mörg kerfi. Í því tilviki geta NCSC eða aðrir aðilar innan öryggissamfélagsins stutt CVD-ferlið í samræmingarhlutverki.

3. Ábyrgðarsvið

Markmið þess að fylgja CVD-stefnu er að tilkynnendur og stofnunin vinni saman að því að fækka veikleikum í upplýsingatæknikerfum. Framkvæmd þessarar stefnu ætti að líta á sem viðbót við fyrirliggjandi ráðstafanir um upplýsingaöryggi. Hinir ýmsu aðilar hafa hver sitt hlutverk og ábyrgð. Þetta er útskýrt nánar hér að neðan.

Stofnunin sem á/rekur kerfi

Stofnunin sem á/rekur eða útvegar kerfi ber fyrst og fremst ábyrgð á öryggi þessa kerfis. Með öðrum orðum ber stofnunin einnig ábyrgð á eftirfylgni við veikleikaskýrslu.

Stofnunin getur valið að semja sína eigin CVD-stefnu með þessum leiðbeiningum og miðla þeirri stefnu til mögulegra tilkynnenda. Með því að birta CVD-stefnu sýna stofnanir vilja sinn til að taka við upplýsingum um veikleika.

Aðili sem setur CVD-stefnu getur skuldbundið sig til þeirrar reglu að hann mun ekki leggja fram kæru til lögreglu ef reglum sem gilda um stefnuna er fylgt.

Þegar tilkynnandi hefur tilkynnt veikleika liggur ábyrgðin hjá stofnuninni. Mikilvægt er að gera sér grein fyrir að tilkynnandinn er oft einhver utan stofnunarinnar. Þessi aðili hefur ekki beina sýn á innri ferla sem geta farið af stað eftir að veikleiki hefur verið tilkynntur. Þar af leiðandi munu tilkynnendur kunna að meta að vera upplýstir um framvindu í lausn veikleikans. Þessi stöðugu samskipti eru einnig mikilvæg til að skapa réttar væntingar um eftirfylgni og tímanleika lausnarinnar.

Aðilinn sem tilkynnir veikleika

Tilkynnandinn hefur á einn eða annan hátt getað greint veikleika og vill stuðla að öryggi upplýsingatæknikerfa með því að láta laga þennan veikleika og mögulega gera hann opinberan á síðari stigum. Tilkynnandinn kann að hafa uppgötvað eitthvað með óvirku eftirliti eða með því að prófa upplýsingatæknikerfið virkt. Að sjálfsögðu ber þessi aðili ábyrgð á eigin gjörðum og því hvernig hann uppgötvaði veikleikann. Það er eigin ábyrgð tilkynnandans að vera meðvitaður um skilyrðin sem stofnun setur í CVD-stefnu sinni. Flestar ríkisstjórnir og fyrirtæki hafa birt CVD-stefnur sínar á vefsvæðum sínum.

Að finna veikleika getur þó falið í sér lögbrot. Í samhengi CVD geta stofnunin og tilkynnandinn komið sér saman um að þau leggi ekki fram kæru vegna refsiverðra athafna. Að þessu leyti er CVD-stefnan sem stofnunin birtir leiðarljósið. Aðilarnir geta einnig komið sér saman um að engar einkamálaaðgerðir verði gerðar.

Ef grunur leikur á að tilkynnandinn hafi brotið lög getur CVD-stefna fyrst og fremst hjálpað til við að koma í veg fyrir að tilkynnandinn sé kærður til yfirvalda. Þessi málsmeðferð fer algjörlega eftir forsendum stefnunnar sem stofnun krefst að tilkynnandi fylgi og hvort því hefur verið fylgt, hugsanlega með samsvarandi loforði um að leggja ekki fram refsikæru svo lengi sem aðilinn starfar innan skilyrða stefnunnar. Ef lögregluskýrsla er gerð eru tilvist og fylgni við CVD-stefnu mikilvægar aðstæður í Hollandi, sem saksóknari mun taka tillit til þegar hann ákveður hvort hefja skuli sakamálarannsókn og/eða höfða mál. Í grundvallaratriðum munu lögregla og saksóknaraembættið (OM) ekki hefja sakamála- rannsókn ef tilkynnandinn hefur greinilega fylgt reglum CVD-stefnu viðkomandi stofnunar. Saksóknaraembættið og lögreglan geta þó rannsakað málið frekar ef vísbendingar eru um að tilkynnandinn hafi vísvitandi eða óafvitandi gengið of langt í gjörðum sínum og/eða ekki fylgt CVD-stefnunni. Á grundvelli þessarar rannsóknar getur saksóknaraembættið ákveðið hvort höfða skuli mál.

Saksóknaraembættið hefur gefið út stefnubréf þar sem fjallað er nánar um atriði sem skipta máli við ákvörðun um að rannsaka og/eða höfða mál. Til dæmis hvort gjörðir tilkynnandans þjónuðu mikilvægum almannahagsmunum, hvort aðilinn hafi starfað ósanngjarnt eða hvort aðilinn hefði ef til vill getað starfað á annan, minna róttækan hátt. Viðkomandi stefnubréf útfærir þessi atriði nánar.2 Viðeigandi dómaframkvæmd frá 20133 sýnir að þessi atriði eru einnig tekin til greina fyrir dómi ef stofnun hefur ekki CVD-stefnu.

4. Byggingareiningar ferlis samræmdrar birtingar öryggisveikleika

Byggingareiningar til að móta CVD-ferlið fyrir stofnunina, tilkynnandann og NCSC eru gefnar hér að neðan.

Stofnunin

Að efla CVD hefst hjá stofnun sem á upplýsingatæknikerfi eða útvegar upplýsingatæknivöru/-kerfi. Enda ber þessi stofnun fyrst og fremst ábyrgð á upplýsingaöryggi þessara upplýsingatæknikerfa. Til að vinna á skilvirkan hátt með ýmsum aðilum að lausn veikleika getur stofnun ákveðið að semja og birta CVD-stefnu. Að semja eigin CVD-stefnu gerir stofnuninni kleift að sýna hvernig hún meðhöndlar veikleikaskýrslur. Þannig getur stofnun einnig mótað hvernig hún vill taka við tilkynningum. Slíkt ferli má skipuleggja á eftirfarandi hátt:

• Stofnunin setur og birtir CVD-stefnu.

• Í þessari stefnu setur stofnunin skýrar reglur um rannsóknir sem tilkynnendur mega framkvæma, svo sem hvaða aðferðir eru leyfðar og hvaða kerfi falla innan eða utan marka.

• Stofnunin gerir tilkynnanda auðvelt að gera skýrslu. Einn möguleiki er notkun staðlaðrar tilkynningaraðferðar; til dæmis tiltekið tölvupóstfang eða vefeyðublað. Auk þess getur stofnunin ákveðið hvort taka skuli við nafnlausum skýrslum.

• Stofnunin tekur frá innri getu og setur upp ferli til að bregðast við skýrslum á fullnægjandi hátt. Ráðlegt er að setja upp ferli sem getur bætt úr öllum veikleikum sem finnast á fullnægjandi hátt. Að þessu leyti skiptir uppruni skýrslunnar ekki máli. Veikleikinn kann einnig að hafa verið greindur af starfsmanni innanhúss eða til dæmis í prófun.

• Reynsla sýnir að áhugi á að tilkynna veikleika til stofnunarinnar verður meiri eftir fyrstu birtingu CVD-stefnu. Stofnunin ætti að taka tillit til þessa við skipulagningu (aukinnar) getu.

• Þegar stofnunin fær veikleikaskýrsluna tryggir hún að skýrslan berist eins fljótt og auðið er til þeirrar deildar sem er best til þess fallin að meta og sinna skýrslunni.

• Stofnunin sendir staðfestingu á móttöku skýrslunnar til tilkynnandans, helst stafrænt undirritaða til að leggja áherslu á forgang.

• Því næst ræðir stofnunin við tilkynnandann til að ákvarða tímabilið sem hugsanleg birting fer fram á. Þetta tímabil fer mjög eftir eðli veikleikans og tegund kerfisins.

• Sem viðmiðun er oft notað um það bil 60 daga tímabil fyrir hugbúnaðarveikleika. Erfiðara er að bæta úr veikleikum í vélbúnaði; nota má 6 mánaða viðmið.

• Það getur verið æskilegt að lengja eða stytta þetta tímabil með gagnkvæmu samkomulagi eftir því hversu mörg eða fá upplýsingatæknikerfi eru háð kerfinu sem veikleikinn var tilkynntur fyrir eða hvort veikleikinn er auðveldari eða erfiðari að leysa.

• Veikleiki getur reynst erfiður eða ómögulegur að leysa, eða mikill kostnaður getur fylgt lausn hans. Í slíkum tilvikum getur stofnunin samþykkt að líta á veikleikann sem viðurkennda áhættu og bæta ekki úr honum, hugsanlega í samráði við tilkynnandann.

• Stofnunin mun halda tilkynnandanum upplýstum um framvindu ferlisins.

• Auk þess getur stofnunin boðið að tilkynnandinn fái opinbera viðurkenningu fyrir að birta veikleikann. Einnig er hægt að velja sameiginlega birtingu út á við.

• Æskilegt er að umbuna tilkynnandanum fyrir að tilkynna veikleika í kerfum ef aðilinn hefur fylgt reglum CVD-stefnunnar. Upphæð umbunarinnar getur farið eftir gæðum skýrslunnar. Að umbuna tilkynnandanum getur skapað betra samband milli þess aðila og stofnunarinnar, auk þess að auka vilja fólks til að gera nýjar skýrslur í samræmi við CVD-stefnuna.

• Í samráði við tilkynnandann getur stofnunin komið sér saman um að upplýsa víðara upplýsingatæknisamfélag um veikleikann ef trúlegt er að veikleikinn sé einnig til staðar annars staðar.

• Í CVD-stefnu sinni getur stofnunin skuldbundið sig til þeirrar reglu að hún leggi ekki fram kæru til lögreglu ef tilkynnandinn hefur fylgt reglunum sem lýst er í stefnunni.

Tilkynnandinn

Tilkynnandinn er lykillinn að farsælu CVD-ferli. Á einn eða annan hátt hefur þessi aðili getað greint veikleika og vill stuðla að öryggi upplýsingatæknikerfa með því að láta stofnun bæta úr þessum veikleika og gera hann opinberan. Með því viðurkenna tilkynnendur að þeir geti lagt mikilvægt af mörkum til samfélagsins með því að afhjúpa veikleika á samræmdan hátt. Til að ná fram farsælu CVD- ferli eru eftirfarandi byggingareiningar mikilvægar fyrir tilkynnandann:

• Tilkynnandinn ber ábyrgð á eigin gjörðum og verður að fylgja meginreglum um meðalhóf og staðgönguskyldu (subsidiarity) þegar hann rannsakar og tilkynnir veikleika. Með öðrum orðum ætti tilkynnandinn ekki að gera meira en nauðsynlegt er til að sýna fram á veikleikann og ætti alltaf að tilkynna veikleikann fyrst til eiganda kerfisins/upplýsinganna.

• Tilkynnandinn verður að tilkynna vandamálið eins fljótt og auðið er til að koma í veg fyrir að illviljaðir aðilar uppgötvi veikleikann og nýti sér hann.

• Tilkynnandinn verður að gera skýrsluna til stofnunarinnar í trúnaði til að koma í veg fyrir að aðrir fái aðgang að þessum upplýsingum.

• Tilkynnandinn má ekki gera framlagningu skýrslu eða frekari upplýsingagjöf háða umbun. Frumkvæðið að því að veita umbun vegna skýrslu liggur hjá móttökustofnuninni, sem getur lýst forsendum í birtri stefnu sinni.

• Tilkynnandinn og stofnunin gera skýr samkomulög um birtingu veikleikans. Ef fleiri en ein stofnun á í hlut er grundvallarreglan sú að veikleika má aðeins birta ef allar stofnanirnar samþykkja það. Ráðlegt er að gera þessi samkomulög á frumstigi.

• Tilkynnandinn og stofnunin sem á í hlut geta gert samkomulög um að upplýsa víðara upplýsingatæknisamfélag. Til dæmis getur þetta átt við um veikleika (hvort sem hann er þegar þekktur eða ekki) sem vitað er að er til staðar á fleiri en einum stað. Þjóðaröryggismiðstöð netöryggis (NCSC) getur komið að þessu ferli til að styðja markhópa miðstjórnar og mikilvægra innviða eða til að upplýsa nokkra aðila þegar um er að ræða veikleika sem hefur áhrif á mörg kerfi.

NCSC

CVD-ferlið er fyrst og fremst mál stofnana og tilkynnenda. Engu að síður mun NCSC hvetja til notkunar CVD-ferlis. Í samráði við tilkynnandann og stofnunina getur NCSC einnig komið að því að deila upplýsingum um veikleikann með umdæmi sínu til að takmarka frekari öryggisáhættu sem stafar af veikleikanum.

Ef tilkynning veikleikans gengur ekki eins og tilkynnandinn væntir, eða ef hann vill helst ekki tilkynna veikleikann beint til stofnunarinnar, getur hann haft samband við NCSC.4 Í því tilviki getur NCSC verið milliliður þar sem þörf krefur.

Eigandi upplýsingatæknikerfisins ber ávallt ábyrgð á öryggi kerfisins. NCSC getur ekki neytt eiganda kerfisins til að bæta úr veikleika, né getur það tryggt að eigandinn muni ekki grípa til lagalegra aðgerða gegn tilkynnandanum. Þar af leiðandi verður tilkynnandinn að taka tillit til áðurnefndra byggingareininga fyrir stofnanir og tilkynnendur þegar hann leitar að og tilkynnir veikleika. Tilkynnandi getur vænst þess að NCSC geri sitt ýtrasta til að láta bæta úr veikleikanum og meðhöndli skýrsluna í trúnaði. NCSC deilir engum persónuupplýsingum nema því sé skylt samkvæmt lögum.

Ef mögulegt er mun NCSC nota upplýsingarnar sem fengist hafa um veikleika í samráði við stofnanir og tilkynnendur til að deila þekkingunni frekar með upplýsingatæknisamfélaginu. Til dæmis getur það gert það með því að birta hluta upplýsinganna, skrifa eða uppfæra upplýsingablað (fact sheet) eða hvítbók (white paper), eða með því að upplýsa tilteknar stofnanir.

• Eftir því hver stofnunin er og eðli veikleikans sem staðfestur er mun NCSC leitast við að vekja athygli viðkomandi stofnunar á veikleikanum. Eigandi viðkomandi upplýsingatæknikerfis er þó áfram ábyrgur fyrir kerfinu.

• Þar sem það er mögulegt og nauðsynlegt mun NCSC veita viðkomandi stofnun ráðgjöf um hvernig bæta skuli úr veikleikanum.

• NCSC mun meðhöndla skýrslur í trúnaði og mun ekki deila persónu- upplýsingum tilkynnenda eða móttökustofnunar án samþykkis, nema það leiði af lagaskyldu.

• Hvar sem unnt er mun NCSC halda tilkynnandanum upplýstum um framvindu í samskiptum við stofnunina og úrbótum á veikleikanum.

• Í tilvikum þar sem skýrsla er gerð til NCSC mun NCSC reyna að koma tilkynnandanum eða hugsanlegum tilkynnanda og stofnuninni í samband hvoru við annað.

Ef tilkynnandi hefur fundið veikleika í hugbúnaðarvöru eða veikleika sem hefur áhrif á mörg ólík kerfi, til dæmis, getur tilkynnandinn beðið NCSC um að samræma úrbætur og birtingu veikleikans.

Ásamt tilkynnandanum, samstarfsaðilum, þróunaraðilum og/eða hugbúnaðarþróunaraðilum og öðrum öryggisteymum mun NCSC hjálpa til við að greina, bæta úr eða láta bæta úr, samræma og birta veikleikann á stýrðan hátt. Allt þetta ferli fer fram í nánu samráði við tilkynnandann sem fann veikleikann.

CVD-stefna reynir að finna jafnvægi milli mikilvægis þess að birta veikleika eins fljótt og auðið er, svo hægt sé að grípa til ráðstafana, og mikilvægis þess að bæði þróunaraðilar og birgjar hafi nægan tíma til að bæta úr veikleikanum. Fyrir þetta ferli notar NCSC staðlað tímabil upp á 60 daga milli skýrslu og opinberrar birtingar. Þó geta verið aðstæður þar sem ákveðið er að lengja eða stytta þetta tímabil.

NCSC mun aðeins deila upplýsingum um veikleikann með þriðju aðilum að höfðu samráði við tilkynnandann. Það er nauðsynlegt í þessu samhengi að NCSC eigi samstarf og deili því upplýsingum um veikleikann með hagsmunaaðilum til að birta veikleika á samræmdan hátt. NCSC mun með því tryggja að réttir aðilar geti unnið að því að bæta úr veikleikanum, hjálpa til við að takmarka tap eða tjón og hjálpa til við að vekja athygli á veikleikanum sem fannst.

5. Samskipti og birtingarferlið

Fimm ára reynsla hefur sýnt að skýr samskipti eru hornsteinn farsæls CVD-ferlis. Það eru atriði sem þarf að huga að fyrir, meðan á og eftir CVD-ferlið.

Samskipti um birtingarferlið

Að birta CVD-stefnu er fyrsta skrefið í samskiptum um ferlið. Með því að birta stefnu opinberlega eru tilkynnendur hvattir til að láta stofnunina vita um alla veikleika sem finnast.

Annars vegar getur stofnunin sett skilyrði fyrir rannsókninni sem gerð er til að uppgötva veikleika og hvernig haft er samband. Hins vegar getur stofnunin skuldbundið sig til þeirrar reglu að hún leggi ekki fram kæru til lögreglu ef reglum stefnunnar er fylgt. Þessi nálgun verndar stöðu tilkynnandans.

CVD-stefnu má breyta eða uppfæra síðar. Mikilvægt er að vera skýr um breytingar að þessu leyti. Tilkynnendur hafa hagsmuni af því að vita hverju hefur verið breytt og hvenær. Til dæmis má skýra breytingar með því að setja útgáfudagsetningu í upphaf CVD-stefnunnar, með því að lýsa samantekt breytinga undir CVD-stefnunni eða með því að halda skjalasafn með gömlum útgáfum af CVD-stefnunni.

CVD-stefnan getur veitt leiðbeiningar um hvernig eigi að eiga samskipti meðan á ferlinu stendur, til dæmis með því að tilgreina reglulegar uppfærslur með tölvupósti eða vefgátt. Auk þess getur CVD-stefnan lýst því hvernig tilkynnanda má þakka með því að nefna hann í uppfærslu, taka hann inn í heiðurshöll (hall of fame) eða með hvers kyns annarri umbun.

Samskipti meðan á birtingarferlinu stendur

Tilkynnandi hefur CVD-ferlið með því að senda skilaboð til stofnunarinnar. Í þessum skilaboðum gefur tilkynnandinn skýra lýsingu á veikleikanum sem uppgötvaðist. Mikilvæg atriði eru IP-tala eða vefslóð kerfisins sem verður fyrir áhrifum og nauðsynleg skref til að endurskapa veikleikann.

Mikilvægt er að stofnunin hafi skýr samskipti við tilkynnandann svo væntingar um ferlið séu skýrar.

Hún getur gert það nú þegar með því að senda staðfestingu á móttöku (sjálfvirka eða á annan hátt) sem inniheldur vísbendingu um tímann sem fyrsta eða síðari efnislegt svar verður sent innan.

Einnig er hægt að láta þetta tímabil vera opið og gefa fyrstu vísbendingu um tímann eftir að hafa metið efni skýrslunnar. Ráðlegt er að vera skýr eins fljótt og auðið er um tímabilið sem lausn getur náðst innan. Þannig veit tilkynnandinn hvenær vænta má niðurstöðu.

Í sumum tilvikum getur birtingardagur þegar verið skýr fyrir tilkynnandanum; til dæmis vegna kynningar á ráðstefnu eða vegna þess að tilkynnandinn hefur sett sín eigin tímamörk. Í því tilviki er enn mikilvægt að tilkynnandinn komi þessari tímalínu skýrt á framfæri, tilgreini hana eins snemma og kostur er og sé skýr um möguleika/ómöguleika á að fresta þessari dagsetningu.

Tilkynnandi er oft einhver utan stofnunarinnar, sem hefur enga sýn á innri ferla sem skýrsla getur sett af stað. Stofnanir geta haldið tilkynnandanum upplýstum um framvindu ferlisins með reglulegum uppfærslum. Þessi nálgun gerir tilkynnandanum ljóst að unnið er að lausn. Þar sem þörf krefur getur stofnun óskað eftir skýringum eða að prófa lausn meðan á ferlinu stendur.

Ef stofnun getur ekki staðið við upphaflegan lausnarfrest má ræða við tilkynnandann um að fresta honum. Regluleg samskipti geta gert þessa stöðu ljósa fyrir tilkynnanda á fyrra stigi.

Megintilgangur CVD er að draga úr áhrifum veikleikans, en „full birting" veikleikans er alltaf valkostur fyrir tilkynnanda ef hann telur að ferlið muni taka of langan tíma. Þessi ráðstöfun er hin orðtakskennda „stóra kylfa" (big stick) sem tilkynnandinn hefur yfir að ráða. Að sjálfsögðu verður að koma í veg fyrir þessar aðstæður eins og kostur er.

Samskipti eftir birtingarferlið

Margar mögulegar ástæður eru fyrir því að tilkynnandi gæti leitað að veikleikum og tilkynnt þá síðan til stofnana í gegnum CVD-ferlið. Fyrir mikinn fjölda tilkynnenda er mikilvægur hvati (opinber) viðurkenning.

Tilkynnendur fá opinbera viðurkenningu með þakkarorðum í uppfærslu eða með því að komast í heiðurshöll (hall of fame). Þörfin fyrir opinbera viðurkenningu á þó ekki við um alla tilkynnendur; sumir vilja í raun ekki vera þekktir almenningi. Ef stofnunin er í samskiptum er því ráðlegt að fá samþykki tilkynnandans fyrir því að nefna hann.

Auk þess geta tilkynnendur einnig ákveðið að ræða um skýrslu eftir að CVD-ferlinu lýkur. Til dæmis getur tilkynnandinn lýst uppgötvunarferlinu eða varað aðra við veikleikanum. Tilkynnandi getur ákveðið að leggja birtinguna fyrir stofnun til upplýsingar. Þar sem CVD-ferlinu er í grundvallaratriðum lokið eftir að veikleikinn hefur verið fjarlægður er tilkynnandanum í framhaldinu frjálst að ræða um hann, nema frekari samkomulög séu gerð í stefnunni eða meðan á ferlinu stendur.

Listi

Samskipti um birtingarferlið

• Birting CVD-stefnunnar á vefsvæðinu

• Vera skýr um takmarkanir (sjá kafla 6 fyrir mismunandi nálganir)

• Takmarkanir á rannsóknaraðferðum

• Leiðbeiningar um samskipti

• Leiðbeiningar um mögulega umbun: Heiðurshöll (hall of fame), fjárhagsleg umbun, bolur o.s.frv.

• Vera skýr um allar uppfærslur á CVD-stefnunni, þar á meðal dagsetningu breytinga

Samskipti meðan á birtingarferlinu stendur

• Tilkynnandi hefur samband við stofnunina um veikleika sem uppgötvaðist.

• Stofnunin stýrir væntingum, svo sem svartíma fyrir fyrsta tæknilega svar

• Stofnunin og tilkynnandinn veita hvort öðru skýrleika um áætlað lausnartímabil

• Stofnunin veitir oft (ferlis)uppfærslu

• Þar sem þörf krefur ræða tilkynnandinn og stofnunin að hafa samband við aðrar viðeigandi stofnanir

Samskipti eftir birtingarferlið

• Ræða (opinbera) viðurkenningu og umbun tilkynnandans

• Semja um hvernig upplýsingar um veikleikann verða birtar, svo sem rannsóknarstigið eða upplýsing annarra stofnana

6. Dæmi um stefnu um samræmda birtingu öryggisveikleika

Til eru margar ólíkar gerðir stefnutexta um samræmda birtingu öryggisveikleika. Þar sem birt CVD-stefna þjónar sem vegvísir fyrir mögulega tilkynnendur skaltu tryggja að form þessarar stefnu sé í samræmi við stefnu og áætlun stofnunarinnar.

Eftirfarandi atriði eru mikilvæg í CVD-stefnu:

• samskiptaleið fyrir örugg samskipti;

• forsendur fyrir tilkynnendur;

• skýrar væntingar um meðhöndlun skýrslu;

• aðferð til að umbuna skýrslu;

• útgáfunúmer og dagsetning síðustu endurskoðunar.

Hér að neðan eru þrjú dæmi: Margar stofnanir í Hollandi hafa sótt innblástur í grunndæmi ResponsibleDisclosure.nl. Aðrar stofnanir bæta við frekari forsendum, sjá stefnu Fox IT. Enn aðrar stofnanir nota frjálsara snið til að falla að markhópi sínum, sjá stefnu Bits of Freedom.

Dæmi: ResponsibleDisclosure.nl

Þessi texti er skrifaður af Floor Terra og er birtur með Creative Commons Attribution 3.0 Unported leyfi.

Hjá Acme Corporation lítum við á öryggi kerfa okkar sem forgangsmál. En sama hversu mikla fyrirhöfn við leggjum í öryggi kerfanna geta samt verið til staðar veikleikar.

Ef þú uppgötvar veikleika viljum við vita af því svo við getum gripið til aðgerða til að bregðast við honum eins fljótt og auðið er.

Við viljum biðja þig um að hjálpa okkur að vernda viðskiptavini okkar og kerfi betur.

Vinsamlegast gerðu eftirfarandi:

• Sendu niðurstöður þínar í tölvupósti á cert@example.com. Dulkóðaðu niðurstöður þínar með PGP- lyklinum okkar til að koma í veg fyrir að þessar mikilvægu upplýsingar komist í rangar hendur,

• Nýttu þér ekki veikleikann eða vandamálið sem þú uppgötvaðir, til dæmis með því að sækja meiri gögn en nauðsynlegt er til að sýna fram á veikleikann eða með því að eyða eða breyta gögnum annarra,

• Segðu öðrum ekki frá vandamálinu fyrr en það hefur verið leyst,

• Notaðu ekki árásir á líkamlegt öryggi, félagsverkfræði, dreifða þjónustuhömlun, ruslpóst eða forrit þriðju aðila, og

• Gefðu nægar upplýsingar til að endurskapa vandamálið svo við getum leyst það eins fljótt og auðið er. Venjulega duga IP-tala eða vefslóð kerfisins sem varð fyrir áhrifum og lýsing á veikleikanum, en flóknir veikleikar geta krafist frekari útskýringa.

Það sem við lofum:

• Við munum svara skýrslu þinni innan 3 virkra daga með mati okkar á skýrslunni og áætluðum lausnardegi,

• Ef þú hefur fylgt leiðbeiningunum hér að ofan munum við ekki grípa til neinna lagalegra aðgerða gegn þér vegna skýrslunnar,

• Við munum meðhöndla skýrslu þína með ströngum trúnaði og ekki miðla persónuupplýsingum þínum til þriðju aðila án leyfis þíns,

• Við munum halda þér upplýstum um framvindu við að leysa vandamálið,

• Í opinberum upplýsingum um vandamálið sem tilkynnt var munum við nefna nafn þitt sem finnanda vandamálsins (nema þú óskir annars), og

• Sem þakklætisvott fyrir aðstoð þína bjóðum við verðlaun fyrir hverja skýrslu um öryggisvandamál sem okkur var ekki þegar kunnugt um. Upphæð verðlaunanna ræðst af alvarleika lekans og gæðum skýrslunnar. Lágmarksverðlaun verða gjafabréf að verðmæti 50 €.

Við leggjum okkur fram um að leysa öll vandamál eins fljótt og auðið er og viljum gegna virku hlutverki í lokabirtingu um vandamálið eftir að það hefur verið leyst.

Dæmi: Fox-IT

Hjá Fox-IT lítum við á öryggi kerfa okkar, nets og vara sem afar mikilvægt. Þrátt fyrir þá miklu aðgát sem við sýnum í öryggismálum geta veikir punktar samt verið til staðar. Ef þú hefur fundið slíkan veikleika viljum við fá að heyra af því eins fljótt og auðið er svo við getum gripið til viðeigandi ráðstafana eins hratt og hægt er.

Veikir punktar geta uppgötvast á tvo vegu: þú getur álpast fyrir tilviljun á eitthvað við venjulega notkun stafræns umhverfis, eða þú getur sérstaklega gert þitt besta til að finna þá.

Stefna okkar um ábyrga birtingu er ekki boð um að skanna virkt viðskiptanet okkar til að finna veika punkta. Við vöktum viðskiptanet okkar sjálf. Þetta þýðir að miklar líkur eru á að skönnun uppgötvist og að rannsókn verði framkvæmd af öryggisrekstrarmiðstöð okkar (Security Operation Center, SOC), sem gæti leitt til óþarfa kostnaðar. Þér er hins vegar boðið að leita virkt að veikleikum í vörum okkar í ótengdu umhverfi utan framleiðslu og tilkynna okkur niðurstöður þínar. Ábyrgð okkar gagnvart viðskiptavinum okkar þýðir að ætlun okkar er ekki að hvetja til tölvuárása á innviði þeirra; hins vegar viljum við heyra frá þér eins fljótt og auðið er ef veikleikar finnast, svo við getum leyst þá á viðeigandi hátt.

Við viljum vinna með þér til að geta betur varið viðskiptavini okkar og kerfi.

Við biðjum þig að:

• Senda niðurstöður þínar í tölvupósti eins fljótt og auðið er á security-alert@fox-it.com.

• Misnota ekki veikleikann; til dæmis með því að sækja, breyta eða eyða gögnum. Við munum alltaf taka skýrslu þína alvarlega og rannsaka allan grun um veikleika, jafnvel án sönnunar.

• Deila ekki vandamálinu með öðrum fyrr en það hefur verið leyst.

• Nota ekki árásir á líkamlegt öryggi, félagsverkfræði eða tölvuþrjótaverkfæri, svo sem veikleikaskanna.

• Gefa nægar upplýsingar til að endurskapa vandamálið svo við getum leyst það eins fljótt og auðið er. Venjulega duga IP-tala eða vefslóð kerfisins sem varð fyrir áhrifum og lýsing á veikleikanum, þó gætu þurft frekari upplýsingar um flóknari veikleika.

Það sem við lofum:

• Við munum svara skýrslu þinni innan þriggja virkra daga, með mati okkar á skýrslunni og áætluðum lausnardegi.

• Við munum meðhöndla skýrslu þína í trúnaði og munum ekki deila persónuupplýsingum þínum með þriðju aðilum án leyfis þíns. Undantekning frá þessu eru lögregla og dómstólar ef til saksóknar kemur eða ef upplýsinga er krafist.

• Við munum halda þér upplýstum um framvindu lausnar vandamálsins.

• Í samskiptum um tilkynnta vandamálið munum við nefna nafn þitt sem þann aðila sem uppgötvaði vandamálið, ef þú óskar þess.

• Því miður er ekki hægt að tryggja fyrirfram að engar lagalegar aðgerðir verði gerðar gegn þér. Við vonumst til að geta skoðað hverja stöðu fyrir sig. Við teljum okkur siðferðilega skylt að tilkynna þig ef við grunum að veikleikinn eða gögn séu misnotuð, eða að þú hafir deilt þekkingu á veikleikanum með öðrum. Þú getur verið viss um að tilviljanakennd uppgötvun í netumhverfi okkar muni ekki leiða til saksóknar.

• Sem þakklæti fyrir aðstoð þína bjóðum við verðlaun fyrir hverja skýrslu um öryggis- vandamál sem okkur er ókunnugt um. Við ákvörðum verðmæti verðlaunanna út frá alvarleika brotsins og gæðum skýrslunnar.

Við leggjum okkur fram um að leysa öll vandamál eins fljótt og auðið er, halda öllum hlutaðeigandi aðilum upplýstum og við viljum taka þátt í allri umfjöllun um vandamálið eftir að það hefur verið leyst.

Dæmi: Bits of Freedom

Háð okkar stafrænum innviðum eykst stöðugt. Þetta á við um samfélagið í heild, en einnig um okkur sjálf. Það er því álit okkar að ríkisstjórnir og stofnanir (þar á meðal okkar eigin) ættu að skuldbinda sig eindregið til að tryggja öryggi stafrænna innviða okkar. Við gerum okkur grein fyrir því að þrátt fyrir bestu fyrirætlanir og mestu aðgát geta veikleikar verið til staðar í kerfum okkar. Ef þú finnur einn af þessum veikleikum þætti okkur vænt um að heyra frá þér svo við getum leyst vandamálið.

Það sem við væntum af þér

• Þegar þú rannsakar eitt af kerfum okkar skaltu hafa meðalhóf árásarinnar í huga. Það er engin þörf á að sýna fram á að þegar þú beitir vefsvæði okkar stærstu DDoS-árás í sögu internetsins, getur vefsvæðið orðið óaðgengilegt. Við vitum það. Við skiljum líka að ef þú ekur jarðýtu inn á skrifstofuna okkar muntu líklega geta hrifsað eina af fartölvum okkar.

• Þessi meðalhófsregla á einnig við þegar veikleikinn sjálfur er sýndur. Þú ættir ekki að skoða eða breyta meiri gögnum en nauðsynlegt er til að staðfesta réttmæti niðurstöðu þinnar. Til dæmis, ef þú getur breytt heimasíðu okkar, bættu þá bara við einu óumdeildu orði í stað þess að taka yfir alla síðuna. Ef þú kemst inn í gagnagrunn nægir að sýna okkur lista yfir töflurnar sem þar eru, eða kannski fyrstu færsluna í einni þeirra.

• Tilkynna ætti veikleika í einu af kerfum okkar eins fljótt og auðið er með því að senda tölvupóst á security@bof.nl. Helst myndirðu dulkóða skilaboðin þín með OpenPGP. Vinsamlegast gefðu nægar upplýsingar svo við getum endurskapað og rannsakað vandamálið.

• Opinberi OpenPGP-lykillinn fyrir security@bof.nl

• Þú munt ekki deila þekkingu þinni á veikleikanum með öðrum aðilum svo lengi sem við höfum ekki tekið á vandamálinu og við erum enn innan hæfilegs tímaramma frá því að þú tilkynntir vandamálið.

• Þú munt eyða öllum trúnaðarupplýsingum sem þú hefur fengið við rannsókn þína um leið og við höfum leyst veikleikann.

Það sem þú getur vænst af okkur

• Við munum svara skýrslu þinni innan þriggja daga á ítarlegan hátt. Við munum láta fylgja mat á þeim tíma sem við þurfum til að takast á við vandamálið. Að sjálfsögðu munum við reglulega halda þér upplýstum um framvindu okkar.

• Við munum leysa veikleikann eins fljótt og auðið er. Hér er meðalhóf einnig mikilvægt: tíminn sem þarf til að laga veikleika fer eftir nokkrum þáttum, þar á meðal alvarleika og flækjustigi vandamálsins sem um ræðir.

• Þegar þú fylgir leiðbeiningunum sem settar eru fram hér munum við ekki grípa til lagalegra aðgerða gegn þér vegna skýrslu þinnar.

• Okkur er mikilvægt að þakka þér fyrir það sem þú gerðir - ef þú vilt. Við munum nefna nafn þitt í umfjöllun um veikleikann aðeins ef þú samþykkir það.

• Sem þakkir fyrir að hjálpa okkur að vernda kerfi okkar betur viljum við umbuna fyrir hverja skýrslu um veikleika sem okkur var ókunnur á þeim tíma. Umbunin fer eftir alvarleika veikleikans og gæðum skýrslunnar.

• Ef þú finnur veikleika í hugbúnaði þriðja aðila sem við notum og sá veikleiki fellur undir villuverðlaunaáætlun (bug bounty) munum við ekki reyna að gera tilkall til þeirra verðlauna; það ættir þú að gera.