Coordinated vulnerability disclosureNCSC.nl
1. Įvadas
Visuomenė vis labiau skaitmenėja. Šiais laikais beveik visuose procesuose tam tikru metu naudojami kompiuteriai – nuo mobiliųjų telefonų iki specializuotos programinės įrangos. Nors ši raida sukuria daug naujų galimybių, IT sistemų pažeidžiamumai gali turėti didelį poveikį. Todėl žinios apie šiuos pažeidžiamumus turėtų būti tvarkomos veiksmingai.
Keletas organizacijų 2013 m. pradžioje pradėjo skelbti politiką, kaip pranešti apie pažeidžiamumus. Pasikonsultavęs su šiomis šalimis, Nacionalinis kibernetinio saugumo centras (NCSC) apibendrino pokyčius „Gairėse, kaip pasiekti atsakingo atskleidimo praktiką“ („Leidraad om te komen tot een praktijk van Responsible Disclosure“; toliau – Gairės). Šia politika įmonės parodo, kad yra atviros išorinių pranešimų apie pažeidžiamumus gavimui, aprašo savo sąlygas ir duoda pažadus. Šis procesas sukūrė aiškumą ir šiek tiek saugią aplinką pranešančioms šalims tirti pažeidžiamumus ir apie juos pranešti tiesiogiai nepadarant nusikalstamos veikos. 2016 m. ES aukšto lygio kibernetinio saugumo susitikime 29 organizacijos dar kartą patvirtino pažeidžiamumų tvarkymo politikos svarbą pasirašydamos Koordinuoto pažeidžiamumų atskleidimo manifestą1, kurį inicijavo CIO Platform Nederland ir Rabobank bendradarbiaudami su NCSC.
Koordinuotas pažeidžiamumų atskleidimas (CVD) pasirodė esąs labai svarbus viešosioms ir privačioms šalims. Jos praktikoje labai priklauso nuo netrikdomo informacinių sistemų veikimo. Pranešimai apie jų sistemų pažeidžiamumus pastaraisiais metais padėjo gerinti sistemų saugumą ir tęstinumą – viena vertus, šalinant pažeidžiamumus, kita vertus, didinant Nyderlandų įmonių bendrą IT saugumo sąmoningumą.
Pastaraisiais metais paaiškėjo, kad pranešančios šalys pasirengusios veikti pagal organizacijų parengtos CVD politikos sąlygas. Pranešančios šalys praneša organizacijoms tiesiogiai arba netiesiogiai. Atsakingo atskleidimo praktika parodė, kad geranoriškos pranešančios šalys ir pažeidžiamos organizacijos sugebėjo bendradarbiauti ir taip žengti kitą žingsnį didinant tinklų ir informacinių sistemų saugumą.
Šiam peržiūrėjimui vėl kalbėjomės su plačia ir įvairia pranešančių šalių grupe, privačiomis ir viešosiomis šalimis, taip pat su Prokuratūra ir Nacionaline policija. Šie pokalbiai patvirtino dabartinę praktiką ir lėmė papildymus bei patobulinimus. Svarbiausias naujas dėmesio objektas – pažeidžiamumą pranešančio asmens ir organizacijos bendravimas, taip pat bendravimas su kitomis šalimis po to, kai pažeidžiamumas pašalintas.
Kituose skyriuose aptariamas CVD apibrėžimas, CVD politikos sudedamosios dalys ir komunikacijos procesas.
Pastaba: ankstesnėse Gairėse buvo vartojamas terminas „atsakingas atskleidimas“, kuris tuo metu buvo įprastas šios praktikos terminas. Vėliau paaiškėjo, kad šis terminas per daug akcentuoja pranešančios šalies atsakomybę, nors pagrindinis principas yra tas, kad pranešanti šalis ir potencialiai pažeidžiama organizacija turėtų būti lygiaverčiai dialogo partneriai. Šį požiūrį geriau atspindi dabar dažniausiai vartojamas terminas „koordinuotas pažeidžiamumų atskleidimas“ (CVD), kuris taip pat yra šio proceso pavadinimas ISO 29147 ir 30111 standartuose.
2. Koordinuotas pažeidžiamumų atskleidimas
Per pastaruosius 30 metų buvo naudojami įvairūs metodai didinti sąmoningumą apie IT sistemų pažeidžiamumus. Pavyzdžiai:
„Visiškas atskleidimas“ (Full Disclosure) – pažeidžiamumo visiškas paviešinimas;
„Neatskleidimas“ (Non-disclosure) – pažeidžiamumo pardavimas arba naudojimas patiems;
„Koordinuotas pažeidžiamumų atskleidimas“ (Coordinated Vulnerability Disclosure, CVD) – koordinuotas pažeidžiamumo atskleidimas.
Aiškiai pirmenybė teikiama pastarajai praktikai.
IT bendruomenė parodė didelį norą dalytis žiniomis ir patirtimi. Todėl bendradarbiavimo su šia bendruomene siekimas gali padėti gerinti bendrą sistemų saugumą.
Koordinuoto pažeidžiamumų atskleidimo tikslas
CVD tikslas – prisidėti prie IT sistemų saugumo dalijantis žiniomis apie pažeidžiamumus. Taikant CVD, žiniomis dalijamasi su viena ar keliomis potencialiai pažeidžiamomis organizacijomis, siekiant kartu su pranešančia šalimi rasti bendrą rasto pažeidžiamumo sprendimą. Svarbu, kad paveiktos organizacijos turėtų pakankamai laiko pašalinti pažeidžiamumus arba apsaugoti sistemas, kad kuo labiau apribotų arba išvengtų nuostolių ar žalos. Proceso kertinis akmuo – žinių apie pažeidžiamumus atskleidimas po jų pašalinimo.
Taikant CVD būtina, kad visos šalys laikytųsi susitarimų, kaip pranešti apie pažeidžiamumą ir kaip su juo elgtis. Padeda tai, kad organizacija iš anksto paskelbia sąlygas, pavyzdžiui, kurios sistemos patenka į apimtį ir kokio pobūdžio tyrimai gali būti atliekami. Svarbus šių sąlygų principas – organizacija iš esmės nepraneš apie pranešančią šalį ir nesiims kitų teisinių veiksmų, jei tyrimas ir pranešimas atliekami laikantis nustatytų sąlygų. Šios Gairės teikia organizacijoms nurodymus rengiant savo politiką, įkūnijančią CVD principus.
Kaip rodo pavadinimas, CVD esmė – organizacija ir pranešanti šalis koordinuoja veiksmus tarpusavyje. Šiuo atžvilgiu turėtų būti kuo mažiau grandžių tarp asmens, pranešančio apie pažeidžiamumą, ir organizacijos asmens, atsakingo už problemos sprendimą.
Gali būti svarbu informuoti kelias šalis tuo pat metu, jei pažeidžiamumas paveikia daug sistemų. Tokiu atveju NCSC arba kitos saugumo bendruomenės šalys gali palaikyti CVD procesą koordinuojančiu vaidmeniu.
3. Atsakomybės sritys
CVD politikos siekimo tikslas – kad pranešančios šalys ir organizacija dirbtų kartu mažindamos IT sistemų pažeidžiamumus. Šios politikos įgyvendinimas turėtų būti vertinamas kaip esamų informacijos saugumo priemonių papildymas. Įvairūs dalyviai turi savo vaidmenis ir atsakomybes. Jos išsamiau paaiškintos toliau.
Organizacija, kuri valdo sistemą / yra jos savininkė
Organizacija, kuri valdo sistemą / yra jos savininkė arba ją tiekia, pirmiausia atsako už šios sistemos saugumą. Kitaip tariant, organizacija taip pat atsakinga už pranešimo apie pažeidžiamumą tolesnius veiksmus.
Organizacija gali pasirinkti parengti savo CVD politiką remdamasi šiomis Gairėmis ir pranešti apie šią politiką galimoms pranešančioms šalims. Paskelbdamos CVD politiką, organizacijos parodo norą gauti informaciją apie pažeidžiamumus.
CVD politiką nustatanti šalis gali įsipareigoti laikytis principo, kad nesikreips į policiją, jei laikomasi politikai taikomų taisyklių.
Kai pranešanti šalis praneša apie pažeidžiamumą, atsakomybė tenka organizacijai. Svarbu suvokti, kad pranešanti šalis dažnai yra asmuo ne iš organizacijos. Ši šalis tiesiogiai nemato vidinių procesų, kurie gali būti paleisti pranešus apie pažeidžiamumą. Todėl pranešančios šalys vertina tai, kad yra informuojamos apie pažeidžiamumo šalinimo eigą. Šis nuolatinis bendravimas taip pat svarbus kuriant tinkamus lūkesčius dėl tolesnių veiksmų ir sprendimo laiku.
Šalis, pranešanti apie pažeidžiamumą
Vienu ar kitu būdu pranešanti šalis sugebėjo nustatyti pažeidžiamumą ir nori prisidėti prie IT sistemų saugumo, kad šis pažeidžiamumas būtų pašalintas ir galbūt vėliau paviešintas. Pranešanti šalis galėjo ką nors aptikti pasyviai stebėdama arba aktyviai testuodama IT sistemą. Žinoma, ši šalis atsako už savo veiksmus ir būdą, kuriuo aptiko pažeidžiamumą. Pranešančios šalies pačios atsakomybė – žinoti organizacijos savo CVD politikoje nustatytas sąlygas. Dauguma vyriausybių ir įmonių savo CVD politiką paskelbė savo svetainėse.
Vis dėlto pažeidžiamumų paieška gali apimti įstatymo pažeidimą. CVD kontekste organizacija ir pranešanti šalis gali susitarti, kad dėl jokių nusikalstamų veikų nebus pranešama. Šiuo atžvilgiu pagrindinis principas yra organizacijos paskelbta CVD politika. Šalys taip pat gali susitarti, kad nebus imamasi civilinių veiksmų.
Jei įtariama, kad pranešanti šalis pažeidė įstatymą, CVD politika pirmiausia gali padėti išvengti, kad pranešėjas būtų pranešamas valdžios institucijoms. Ši procedūra visiškai priklauso nuo politikos sąlygų, kurių organizacija reikalauja iš pranešančios šalies, ir nuo to, ar jų buvo laikomasi, galbūt su atitinkamu pažadu nesikreipti dėl baudžiamosios bylos, kol šalis veikia politikos sąlygų ribose. Jei pranešama policijai, CVD politikos egzistavimas ir jos laikymasis Nyderlanduose yra svarbi aplinkybė, kurią prokuroras atsižvelgs spręsdamas, ar pradėti baudžiamąjį tyrimą ir (arba) persekioti. Iš principo policija ir Prokuratūra (OM) nepradės baudžiamojo tyrimo, jei pranešanti šalis aiškiai laikėsi atitinkamos organizacijos CVD politikos taisyklių. Tačiau Prokuratūra ir policija gali toliau tirti bylą, jei yra požymių, kad pranešanti šalis sąmoningai ar nesąmoningai pernelyg toli nuėjo savo veiksmuose ir (arba) nesilaikė CVD politikos. Remdamasi šiuo tyrimu, Prokuratūra gali nuspręsti, ar persekioti.
Prokuratūra paskelbė politikos raštą, kuriame konkrečiau aptariami aspektai, svarbūs priimant sprendimą tirti ir (arba) persekioti. Pavyzdžiui, ar pranešančios šalies veiksmai tarnavo svarbiam viešajam interesui, ar šalis veikė neproporcingai ir ar šalis galbūt galėjo veikti kitu, ne tokiu drastišku būdu. Atitinkamas politikos raštas šiuos aspektus plėtoja toliau.2 Svarbi teismų praktika nuo 2013 m.3 rodo, kad šie aspektai taip pat atsižvelgiami teisme, jei organizacija neturi CVD politikos.
4. Koordinuoto pažeidžiamumų atskleidimo proceso sudedamosios dalys
Toliau pateikiamos sudedamosios dalys, formuojant CVD procesą organizacijai, pranešėjui ir NCSC.
Organizacija
CVD skatinimas prasideda nuo organizacijos, kuriai priklauso IT sistemos arba kuri tiekia IT produktą / sistemą. Juk ši organizacija pirmiausia atsakinga už šių IT sistemų informacijos saugumą. Siekdama veiksmingai dirbti su įvairiomis šalimis pažeidžiamumams šalinti, organizacija gali nuspręsti parengti ir paskelbti CVD politiką. Parengusi savo CVD politiką, organizacija gali parodyti, kaip elgiasi su pranešimais apie pažeidžiamumus. Taip organizacija taip pat gali nustatyti, kaip nori gauti pranešimus. Toks procesas gali būti organizuotas taip:
Organizacija parengia ir paskelbia CVD politiką.
Šioje politikoje organizacija pateikia aiškias taisykles dėl tyrimų, kuriuos gali atlikti pranešančios šalys, pavyzdžiui, kokie metodai leidžiami ir kurios sistemos patenka į apimtį ar yra už jos ribų.
Organizacija pranešančiai šaliai palengvina pranešimo pateikimą. Viena galimybė – standartizuotas pranešimo būdas; pavyzdžiui, konkretus el. pašto adresas ar internetinė forma. Be to, organizacija gali nuspręsti, ar priims anoniminius pranešimus.
Organizacija rezervuoja vidinius pajėgumus ir sukuria procesą, kad tinkamai reaguotų į pranešimus. Patartina sukurti procesą, kuriuo būtų galima tinkamai pašalinti rastus pažeidžiamumus. Šiuo atžvilgiu pranešimo kilmė nesvarbi. Pažeidžiamumą galėjo nustatyti, pavyzdžiui, vidinis darbuotojas arba atliekant testą.
Praktinė patirtis rodo, kad po pirmosios CVD politikos paskelbimo organizacijai bus daugiau susidomėjimo pranešti apie pažeidžiamumus. Organizacija turėtų tai atsižvelgti planuodama (papildomus) pajėgumus.
Gavusi pranešimą apie pažeidžiamumą, organizacija užtikrina, kad pranešimas kuo greičiau pasiektų skyrių, geriausiai tinkamą jį įvertinti ir spręsti.
Organizacija išsiunčia pranešančiai šaliai gavimo patvirtinimą, pageidautina pasirašytą skaitmeniniu parašu, kad būtų pabrėžtas prioritetas.
Vėliau organizacija konsultuojasi su pranešančia šalimi, kad nustatytų laikotarpį, per kurį bus paskelbta informacija. Šis laikotarpis labai priklausys nuo pažeidžiamumo pobūdžio ir sistemos tipo.
Kaip orientyras programinės įrangos pažeidžiamumams dažnai naudojamas maždaug 60 dienų laikotarpis. Aparatinės įrangos pažeidžiamumus pašalinti sunkiau; galima naudoti 6 mėnesių orientyrą.
Šį laikotarpį gali būti pageidautina pratęsti ar sutrumpinti abipusiu susitarimu, priklausomai nuo to, kiek ar kaip mažai IT sistemų priklauso nuo sistemos, dėl kurios pranešta apie pažeidžiamumą, arba nuo to, ar pažeidžiamumą lengviau, ar sunkiau išspręsti.
Pažeidžiamumą gali būti sunku arba neįmanoma išspręsti, arba jo sprendimas gali kainuoti brangiai. Tokiais atvejais organizacija gali sutikti laikyti pažeidžiamumą priimtina rizika ir jo nešalinti, galbūt konsultuodamasi su pranešančia šalimi.
Organizacija informuoja pranešančią šalį apie proceso eigą.
Be to, organizacija gali pasiūlyti viešai pripažinti pranešančią šalį už pažeidžiamumo paskelbimą. Taip pat galima pasirinkti bendrą atskleidimą išoriniam pasauliui.
Pageidautina atlygint pranešančiai šaliai už pranešimą apie sistemų pažeidžiamumus, jei šalis laikėsi CVD politikos taisyklių. Atlygio dydis gali priklausyti nuo pranešimo kokybės. Pranešančios šalies atlyginimas gali sukurti geresnius santykius tarp tos šalies ir organizacijos, taip pat padidinti žmonių norą teikti naujus pranešimus pagal CVD politiką.
Konsultuodamasi su pranešančia šalimi, organizacija gali sutikti informuoti platesnę IT bendruomenę apie pažeidžiamumą, jei tikėtina, kad pažeidžiamumas yra ir kitose vietose.
Savo CVD politikoje organizacija gali įsipareigoti laikytis principo, kad nesikreips į policiją, jei pranešanti šalis laikėsi politikoje nurodytų taisyklių.
Pranešanti šalis
Pranešanti šalis yra sėkmingo CVD proceso raktas. Vienu ar kitu būdu ši šalis sugebėjo nustatyti pažeidžiamumą ir nori prisidėti prie IT sistemų saugumo, kad organizacija šį pažeidžiamumą pašalintų ir jis būtų paviešintas. Taip elgdamosi pranešančios šalys pripažįsta, kad gali reikšmingai prisidėti prie visuomenės, koordinuotai atskleisdamos pažeidžiamumus. Siekiant sėkmingo CVD proceso, pranešančiai šaliai svarbios šios sudedamosios dalys:
Pranešanti šalis atsako už savo veiksmus ir, tirdama pažeidžiamumus bei apie juos pranešdama, privalo laikytis proporcingumo ir subsidiarumo principų. Kitaip tariant, pranešanti šalis neturėtų daryti daugiau, nei būtina pažeidžiamumui įrodyti, ir visada pirmiausia turėtų pranešti apie pažeidžiamumą sistemos / informacijos savininkui.
Pranešanti šalis turi pranešti apie problemą kuo greičiau, kad piktavaliai nesužinotų apie pažeidžiamumą ir juo nepasinaudotų.
Pranešanti šalis turi pranešti organizacijai konfidencialiai, kad kiti negautų prieigos prie šios informacijos.
Pranešanti šalis negali pranešimo pateikimo ar tolesnio informacijos teikimo susieti su atlygiu. Iniciatyva skirti atlygį už pranešimą priklauso gaunančiai organizacijai, kuri savo paskelbtoje politikoje gali nurodyti sąlygas.
Pranešanti šalis ir organizacija aiškiai susitaria dėl pažeidžiamumo atskleidimo. Jei dalyvauja daugiau nei viena organizacija, pagrindinis principas – pažeidžiamumus galima skelbti tik tada, kai tam pritaria visos organizacijos. Patartina tokius susitarimus sudaryti ankstyvame etape.
Pranešanti šalis ir susijusi organizacija gali susitarti dėl platesnės IT bendruomenės informavimo. Pavyzdžiui, tai gali būti taikoma pažeidžiamumui (jau žinomam ar ne), apie kurį žinoma, kad jis yra daugiau nei vienoje vietoje. Į šį procesą gali būti įtrauktas Nacionalinis kibernetinio saugumo centras (NCSC), kad palaikytų centrinės valdžios ir kritinės infrastruktūros tikslines grupes arba informuotų kelias šalis, kai pažeidžiamumas paveikia daug sistemų.
NCSC
CVD procesas pirmiausia yra organizacijų ir pranešančių šalių reikalas. Vis dėlto NCSC skatins naudoti CVD procesą. Konsultuojantis su pranešančia šalimi ir organizacija, NCSC taip pat gali būti įtrauktas į informacijos apie pažeidžiamumą dalijimąsi su savo auditorija, siekiant apriboti tolesnę su pažeidžiamumu susijusią saugumo riziką.
Jei pranešimas apie pažeidžiamumą vyksta ne taip, kaip tikisi pranešanti šalis, arba jei ji mieliau nepranešinėtų apie pažeidžiamumą tiesiogiai organizacijai, ji gali kreiptis į NCSC.4 Tokiu atveju NCSC prireikus gali veikti kaip tarpininkas.
IT sistemos savininkas visada atsako už sistemos saugumą. NCSC negali priversti sistemos savininko pašalinti pažeidžiamumo, taip pat negali garantuoti, kad savininkas nesiims teisinių veiksmų prieš pranešančią šalį. Todėl, ieškodama pažeidžiamumo ir apie jį pranešdama, pranešanti šalis turi atsižvelgti į minėtas organizacijų ir pranešančių šalių sudedamąsias dalis. Pranešanti šalis gali tikėtis, kad NCSC padarys viską, ką gali, kad pažeidžiamumas būtų pašalintas ir pranešimas būtų tvarkomas konfidencialiai. NCSC nesidalija jokiais asmens duomenimis, nebent teisiškai privalo tai daryti.
Jei įmanoma, NCSC naudos gautą informaciją apie pažeidžiamumus, konsultuodamasis su organizacijomis ir pranešančiomis šalimis, kad toliau dalytųsi žiniomis su IT bendruomene. Pavyzdžiui, tai galima daryti paskelbiant dalį informacijos, rašant ar atnaujinant informacinį lapą ar baltąją knygą arba informuojant konkrečias organizacijas.
Priklausomai nuo atitinkamos organizacijos ir nustatyto pažeidžiamumo pobūdžio, NCSC dės pastangas atkreipti atitinkamos organizacijos dėmesį į pažeidžiamumą. Tačiau atitinkamos IT sistemos savininkas ir toliau atsako už sistemą.
Kur įmanoma ir būtina, NCSC pateiks atitinkamai organizacijai patarimų, kaip pašalinti pažeidžiamumą.
NCSC tvarkys pranešimus konfidencialiai ir nesidalys pranešančių šalių ar gaunančios organizacijos asmens duomenimis be sutikimo, nebent tai kyla iš įstatymo pareigos.
Kur įmanoma, NCSC informuos pranešančią šalį apie bendravimo su organizacija ir pažeidžiamumo šalinimo eigą.
Tais atvejais, kai pranešama NCSC, NCSC stengsis supažindinti pranešančią arba potencialią pranešančią šalį ir organizaciją tarpusavyje.
Jei pranešanti šalis, pavyzdžiui, rado programinės įrangos produkto pažeidžiamumą arba pažeidžiamumą, paveikiantį daug skirtingų sistemų, pranešanti šalis gali paprašyti NCSC koordinuoti pažeidžiamumo šalinimą ir atskleidimą.
Kartu su pranešančia šalimi, partneriais, kūrėjais ir (arba) programinės įrangos kūrėjais bei kitomis saugumo komandomis NCSC padės išanalizuoti, pašalinti arba užtikrinti pašalinimą, koordinuoti ir kontroliuojamai atskleisti pažeidžiamumą. Visas šis procesas vyksta glaudžiai konsultuojantis su pranešančia šalimi, aptikusia pažeidžiamumą.
CVD politika bando rasti pusiausvyrą tarp pažeidžiamumų atskleidimo kuo greičiau, kad būtų galima imtis priemonių, svarbos ir kūrėjų bei tiekėjų turėjimo pakankamai laiko pažeidžiamumui pašalinti svarbos. Šiam procesui NCSC naudoja standartinį 60 dienų laikotarpį tarp pranešimo ir viešo atskleidimo. Tačiau gali susidaryti aplinkybės, kai gali būti nuspręsta šį laikotarpį pratęsti ar sutrumpinti.
NCSC niekada nesidalins informacija apie pažeidžiamumą su trečiosiomis šalimis, nepasikonsultavęs su pranešančia šalimi. Šiame kontekste esminis dalykas yra tai, kad NCSC bendradarbiauja ir todėl dalijasi informacija apie pažeidžiamumą su suinteresuotosiomis šalimis, kad pažeidžiamumas būtų atskleistas koordinuotai. Taip NCSC užtikrins, kad tinkamos šalys galėtų dirbti pašalindamos pažeidžiamumą, padės apriboti galimą nuostolį ar žalą ir padės atkreipti dėmesį į rastą pažeidžiamumą.
5. Komunikacija ir atskleidimo procesas
Penkerių metų praktika parodė, kad aiški komunikacija yra sėkmingo CVD proceso kertinis akmuo. Yra dėmesio reikalaujančių dalykų CVD proceso pradžioje, metu ir po jo.
Komunikacija apie atskleidimo procesą
CVD politikos paskelbimas yra pirmas žingsnis komunikuojant apie procesą. Viešai paskelbus politiką, pranešančios šalys kviečiamos pranešti organizacijai apie rastus pažeidžiamumus.
Viena vertus, organizacija gali nustatyti sąlygas pažeidžiamumams aptikti atliekamam tyrimui ir būdui, kaip ieškoma kontakto. Kita vertus, organizacija gali įsipareigoti laikytis principo, kad nesikreips į policiją, jei laikomasi politikos taisyklių. Toks požiūris apsaugo pranešančios šalies padėtį.
CVD politika gali būti pakeista ar atnaujinta vėliau. Svarbu aiškiai nurodyti su tuo susijusius pakeitimus. Pranešančioms šalims svarbu žinoti, kas ir kada buvo pakeista. Pavyzdžiui, pakeitimus galima paaiškinti nurodant paskelbimo datą CVD politikos pradžioje, aprašant pakeitimų santrauką po CVD politika arba laikant senų CVD politikos versijų archyvą.
CVD politikoje gali būti pateiktos gairės, kaip bendrauti proceso metu, pavyzdžiui, nurodant reguliarius naujinimus el. paštu ar žiniatinklio portalu. Be to, CVD politikoje gali būti aprašyta, kaip pranešėjas gali būti pripažintas – paminint jį atnaujinime, įtraukiant į šlovės salę (hall of fame) ar kitokia atlygio forma.
Komunikacija atskleidimo proceso metu
Pranešanti šalis pradeda CVD procesą išsiųsdama žinutę organizacijai. Šioje žinutėje pranešanti šalis aiškiai aprašo aptiktą pažeidžiamumą. Svarbūs elementai – paveiktos sistemos IP adresas ar URL ir būtini žingsniai pažeidžiamumui atkurti.
Organizacijai svarbu aiškiai komunikuoti su pranešančia šalimi, kad lūkesčiai dėl proceso būtų aiškūs.
Tai ji gali padaryti jau išsiųsdama gavimo patvirtinimą (automatinį ar kitokį), kuriame nurodomas laikotarpis, per kurį bus pateiktas pirminis ar tolesnis esminis atsakymas.
Taip pat galima palikti šį laikotarpį atvirą ir pirminį laikotarpio įvertį pateikti įvertinus pranešimo turinį. Patartina kuo anksčiau aiškiai nurodyti laikotarpį, per kurį galima pasiekti sprendimą. Taip pranešėjas žino, kada galima tikėtis rezultato.
Kai kuriais atvejais skelbimo data pranešančiai šaliai gali būti jau aiški; pavyzdžiui, dėl pranešimo konferencijoje arba todėl, kad pranešanti šalis pati nustatė savo terminą. Šiuo atveju vis tiek svarbu, kad pranešanti šalis aiškiai komunikuotų šį grafiką, nurodytų jį kuo anksčiau ir aiškiai pasakytų apie šios datos atidėjimo galimybę / negalimybę.
Pranešanti šalis dažnai yra asmuo ne iš organizacijos, neturintis įžvalgos į vidinius procesus, kuriuos gali paleisti pranešimas. Organizacijos gali informuoti pranešančią šalį apie proceso eigą reguliariais naujinimais. Toks požiūris pranešančiai šaliai aiškiai parodo, kad sprendimas yra rengiamas. Prireikus organizacija proceso metu gali paprašyti paaiškinimo arba išbandyti sprendimą.
Jei organizacija negali laikytis pradinio sprendimo termino, tai galima aptarti su pranešėju dėl jo atidėjimo. Reguliarus bendravimas gali šią situaciją pranešėjui paaiškinti ankstesniame etape.
Pagrindinis CVD tikslas – sušvelninti pažeidžiamumą, tačiau „visiškas atskleidimas“ (full disclosure) visada yra galimybė pranešančiai šaliai, jei ji mano, kad procesas užtruks per ilgai. Ši priemonė yra pasakiškasis „didysis kuolas“ pranešančios šalies žinioje. Natūralu, kad tokios situacijos reikia kuo labiau vengti.
Komunikacija po atskleidimo proceso
Yra daug galimų priežasčių, kodėl pranešanti šalis gali ieškoti pažeidžiamumų ir tada apie juos pranešti organizacijoms per CVD procesą. Daugeliui pranešančių šalių svarbi paskata yra (viešas) pripažinimas.
Pranešančios šalys gauna viešą pripažinimą per padėką naujinime arba įtraukimą į šlovės salę. Tačiau viešo pripažinimo poreikis galioja ne visoms pranešančioms šalims; kai kurios iš tikrųjų nenori būti žinomos visuomenei. Todėl, kai organizacija komunikuoja, patartina gauti pranešančios šalies sutikimą ją paminėti.
Be to, pranešančios šalys taip pat gali nuspręsti komunikuoti apie pranešimą baigus CVD procesą. Pavyzdžiui, pranešanti šalis gali aprašyti atradimo procesą arba perspėti kitus apie pažeidžiamumą. Pranešėjas gali nuspręsti pateikti publikaciją organizacijai informaciniais tikslais. Kadangi CVD procesas iš principo baigiasi pašalinus pažeidžiamumą, pranešanti šalis vėliau yra laisva apie tai komunikuoti, nebent politikoje ar proceso metu sudaryti papildomi susitarimai.
Sąrašas
Komunikacija apie atskleidimo procesą
CVD politikos paskelbimas svetainėje
Aiškiai nurodyti apribojimus (įvairius požiūrius žr. 6 skyriuje)
Tyrimo metodų apribojimai
Komunikacijos gairės
Gairės dėl galimų atlygių: šlovės salė (Hall of fame), finansinis atlygis, marškinėliai ir pan.
Aiškiai nurodyti bet kokius CVD politikos atnaujinimus, įskaitant pakeitimų datą
Komunikacija atskleidimo proceso metu
Pranešėjas susisiekia su organizacija dėl aptikto pažeidžiamumo.
Organizacija valdo lūkesčius, pavyzdžiui, pirmojo techninio atsakymo laiką
Organizacija ir pranešėjas aiškiai pasako vienas kitam apie numatomą sprendimo laikotarpį
Organizacija dažnai pateikia (proceso) naujinimą
Prireikus pranešėjas ir organizacija aptaria susisiekimą su kitomis svarbiomis organizacijomis
Komunikacija po atskleidimo proceso
Aptarti pranešėjo (viešą) pripažinimą ir atlygį
Sutarti, kaip bus skelbiama informacija apie pažeidžiamumą, pavyzdžiui, tyrimo fazė ar kitų organizacijų informavimas
6. Koordinuoto pažeidžiamumų atskleidimo politikos pavyzdžiai
Yra daug skirtingų koordinuoto pažeidžiamumų atskleidimo politikos tekstų formų. Kadangi paskelbta CVD politika yra orientyras galimoms pranešančioms šalims, pasirūpinkite, kad šios politikos forma atitiktų organizacijos politiką ir strategiją.
CVD politikoje svarbūs šie elementai:
kontaktinis būdas saugiai komunikacijai;
sąlygos pranešančioms šalims;
aiškūs lūkesčiai dėl pranešimo tvarkymo;
pranešimo atlygio metodas;
versijos numeris ir paskutinės redakcijos data.
Žemiau pateikti trys pavyzdžiai: daug organizacijų Nyderlanduose rėmėsi pagrindiniu ResponsibleDisclosure.nl pavyzdžiu. Kitos organizacijos įtraukia papildomų sąlygų, žr. Fox IT politiką. Dar kitos taiko laisvesnį formatą, kad atitiktų savo tikslinę auditoriją, žr. Bits of Freedom politiką.
Pavyzdys: ResponsibleDisclosure.nl
Šį tekstą parašė Floor Terra ir jis paskelbtas pagal Creative Commons Attribution 3.0 Unported licenciją.
Acme Corporation mūsų sistemų saugumą laikome svarbiausiu prioritetu. Tačiau kad ir kiek pastangų skirtume sistemų saugumui, pažeidžiamumų vis tiek gali likti.
Jei aptikote pažeidžiamumą, norėtume apie tai žinoti, kad galėtume kuo greičiau imtis veiksmų jam pašalinti.
Prašome padėti mums geriau apsaugoti savo klientus ir sistemas.
Prašome:
Išsiųsti savo radinius el. paštu adresu cert@example.com. Užšifruokite radinius naudodami mūsų PGP raktą, kad ši kritinė informacija nepatektų į netinkamas rankas,
Nepasinaudoti aptiktu pažeidžiamumu ar problema, pavyzdžiui, atsisiunčiant daugiau duomenų, nei būtina pažeidžiamumui įrodyti, arba ištrinant ar keičiant kitų žmonių duomenis,
Neatskleisti problemos kitiems, kol ji neišspręsta,
Nenaudoti išpuolių prieš fizinį saugumą, socialinės inžinerijos, paskirstytųjų paslaugos trikdymo atakų (DDoS), šlamšto ar trečiųjų šalių programų, ir
Pateikti pakankamai informacijos problemai atkurti, kad galėtume ją išspręsti kuo greičiau. Paprastai pakanka paveiktos sistemos IP adreso arba URL ir pažeidžiamumo aprašymo, tačiau sudėtingiems pažeidžiamumams gali prireikti papildomų paaiškinimų.
Ką žadame:
Į jūsų pranešimą atsakysime per 3 darbo dienas, pateikdami pranešimo vertinimą ir numatomą sprendimo datą,
Jei laikėtės pirmiau pateiktų nurodymų, nesiimsime jokių teisinių veiksmų prieš jus dėl pranešimo,
Jūsų pranešimą tvarkysime griežtai konfidencialiai ir neperduosime jūsų asmens duomenų trečiosioms šalims be jūsų leidimo,
Informuosime jus apie problemos sprendimo pažangą,
Viešoje informacijoje apie pranešta problemą nurodysime jūsų vardą kaip problemos atradėjo (nebent pageidautumėte kitaip), ir
Kaip padėkos ženklą už jūsų pagalbą siūlome atlygį už kiekvieną pranešimą apie saugumo problemą, kuri mums dar nebuvo žinoma. Atlygio dydis nustatomas pagal nutekėjimo sunkumą ir pranešimo kokybę. Minimalus atlygis – 50 € dovanų čekis.
Stengiamės išspręsti visas problemas kuo greičiau ir norėtume aktyviai dalyvauti galutiniame paskelbime apie problemą, kai ji bus išspręsta.
Pavyzdys: Fox-IT
Fox-IT mūsų sistemų, tinklo ir produktų saugumą laikome itin svarbiu. Nepaisant didelio rūpestingumo saugumo srityje, silpnųjų vietų vis tiek gali likti. Jei radote tokią silpnąją vietą, norėtume apie tai sužinoti kuo greičiau, kad galėtume kuo greičiau imtis tinkamų priemonių.
Silpnąsias vietas galima aptikti dviem būdais: galite netyčia jas užtikti įprastai naudodamiesi skaitmenine aplinka arba aiškiai stengtis jas rasti.
Mūsų atsakingo atskleidimo politika nėra kvietimas aktyviai skenuoti mūsų verslo tinklą silpnosioms vietoms aptikti. Savo verslo tinklą stebime patys. Tai reiškia, kad didelė tikimybė, jog skenavimas bus aptiktas ir mūsų Saugumo operacijų centras (SOC) atliks tyrimą, o tai gali sukelti nereikalingų išlaidų. Tačiau kviečiame aktyviai ieškoti pažeidžiamumų mūsų produktuose atsijungusioje nekūrybinėje (ne gamybinėje) aplinkoje ir pranešti mums apie savo radinius. Mūsų atsakomybė klientams reiškia, kad nenorime skatinti įsilaužimo bandymų į jų infrastruktūrą; tačiau norėtume kuo greičiau išgirsti, jei randama pažeidžiamumų, kad galėtume juos tinkamai išspręsti.
Norėtume bendradarbiauti su jumis, kad galėtume geriau apsaugoti savo klientus ir sistemas.
Prašome:
Kuo greičiau išsiųsti savo radinius el. paštu security-alert@fox-it.com.
Nepiktnaudžiauti pažeidžiamumu, pavyzdžiui, atsisiunčiant, redaguojant ar ištrinant duomenis. Visada rimtai vertinsime jūsų pranešimą ir tirsime bet kokį įtarimą dėl pažeidžiamumo, net ir be įrodymų.
Nesidalyti problema su kitais, kol ji neišspręsta.
Nenaudoti išpuolių prieš fizinį saugumą, socialinės inžinerijos ar įsilaužimo priemonių, tokių kaip pažeidžiamumų skeneriai.
Pateikti pakankamai informacijos problemai atkurti, kad galėtume ją išspręsti kuo greičiau. Paprastai pakanka paveiktos sistemos IP adreso arba URL ir pažeidžiamumo aprašymo, nors sudėtingesniems pažeidžiamumams gali prireikti daugiau informacijos.
Ką žadame:
Į jūsų pranešimą atsakysime per tris darbo dienas, pateikdami pranešimo vertinimą ir numatomą sprendimo datą.
Jūsų pranešimą tvarkysime konfidencialiai ir neperduosime jūsų asmeninės informacijos trečiosioms šalims be jūsų leidimo. Išimtis – policija ir teismai baudžiamojo persekiojimo atveju arba jei informacijos reikalaujama.
Informuosime jus apie problemos sprendimo pažangą.
Bendraudami apie pranešta problemą, nurodysime jūsų vardą kaip šalies, aptikusios problemą, jei to pageidausite.
Deja, neįmanoma iš anksto garantuoti, kad prieš jus nebus imtasi jokių teisinių veiksmų. Tikimės, kad galėsime svarstyti kiekvieną situaciją individualiai. Laikome save morališkai įpareigotais apie jus pranešti, jei įtariame, kad silpnąja vieta ar duomenimis piktnaudžiaujama arba kad pasidalijote žiniomis apie silpnąją vietą su kitais. Galite būti tikri, kad atsitiktinis radinys mūsų internetinėje aplinkoje nesukels baudžiamojo persekiojimo.
Kaip padėką už jūsų pagalbą siūlome atlygį už kiekvieną pranešimą apie mums nežinomą saugumo problemą. Atlygio vertę nustatome pagal pažeidimo sunkumą ir pranešimo kokybę.
Stengiamės išspręsti visas problemas kuo greičiau, informuoti visas susijusias šalis ir norėtume dalyvauti bet kuriame paskelbime apie problemą, kai ji bus išspręsta.
Pavyzdys: Bits of Freedom
Mūsų priklausomybė nuo skaitmeninės infrastruktūros nuolat auga. Tai taikoma visai visuomenei, bet ir mums patiems. Todėl, mūsų nuomone, vyriausybės ir organizacijos (įskaitant mus) turėtų tvirtai įsipareigoti saugoti mūsų skaitmeninę infrastruktūrą. Suprantame, kad, nepaisant geriausių ketinimų ir didžiausio rūpestingumo, mūsų sistemose gali būti pažeidžiamumų. Jei aptiktumėte vieną iš šių silpnųjų vietų, mielai išgirstume jūsų žinią, kad galėtume problemą išspręsti.
Ko tikimės iš jūsų
Tyrinėdami vieną iš mūsų sistemų, atsižvelkite į išpuolio proporcingumą. Nereikia įrodinėti, kad mūsų svetainė gali tapti nepasiekiama, jei ją paveiktų didžiausia interneto istorijoje DDoS ataka. Tai žinome. Taip pat suprantame, kad jei įvažiuotumėte buldozeriu į mūsų biurą, tikriausiai galėtumėte pagrobti vieną iš mūsų nešiojamųjų kompiuterių.
Šis proporcingumo principas svarbus ir demonstruojant patį pažeidžiamumą. Neturėtumėte tikrinti ar keisti daugiau duomenų, nei griežtai būtina savo radinio pagrįstumui patvirtinti. Pavyzdžiui, jei galite pakeisti mūsų pagrindinį puslapį, tiesiog pridėkite vieną nekontroversišką žodį, užuot perėmę visą puslapį. Jei galite gauti prieigą prie duomenų bazės, pakanka parodyti joje esančių lentelių sąrašą arba galbūt pirmą vienos iš tų lentelių įrašą.
Apie pažeidžiamumą vienoje iš mūsų sistemų reikėtų pranešti kuo greičiau, išsiunčiant el. laišką adresu security@bof.nl. Pageidautina, kad savo žinutę užšifruotumėte naudodami OpenPGP. Pateikite pakankamai informacijos, kad galėtume problemą atkurti ir ištirti.
Viešasis OpenPGP raktas, skirtas security@bof.nl
Savo žinių apie pažeidžiamumą nesidalysite su kitomis šalimis, kol mes neišspręsime problemos ir vis dar nepraėjo pagrįstas laikotarpis nuo jūsų pranešimo apie problemą.
Visą konfidencialią informaciją, gautą tyrimo metu, ištrinsite, kai tik pašalinsime pažeidžiamumą.
Ko galite tikėtis iš mūsų
Į jūsų pranešimą išsamiai atsakysime per tris dienas. Pateiksime laiko, kurio prireiks problemai išspręsti, įvertį. Žinoma, reguliariai informuosime jus apie savo pažangą.
Pažeidžiamumą pašalinsime kuo greičiau. Ir čia svarbus proporcingumas: laikas, reikalingas pažeidžiamumui ištaisyti, priklauso nuo kelių veiksnių, tarp jų – nagrinėjamos problemos sunkumo ir sudėtingumo.
Jei laikysitės čia pateiktų gairių, nesiimsime jokių teisinių veiksmų prieš jus dėl jūsų pranešimo.
Mums svarbu pripažinti jūsų nuopelnus – jei to norite. Jūsų vardą publikacijoje apie pažeidžiamumą paminėsime tik jums sutikus.
Kaip padėką už pagalbą geriau apsaugant mūsų sistemas, norėtume apdovanoti kiekvieną pranešimą apie pažeidžiamumą, kuris tuo metu mums nebuvo žinomas. Atlygis priklausys nuo pažeidžiamumo sunkumo ir pranešimo kokybės.
Jei rastumėte pažeidžiamumą trečiosios šalies programinėje įrangoje, kurią naudojame, ir tam pažeidžiamumui taikoma klaidų atradimo apdovanojimų (bug bounty) programa, nesistengsime pretenduoti į šį apdovanojimą; turėtumėte tai padaryti jūs.