NCSC.nl

1. Ievads

Sabiedrība arvien vairāk digitalizējas. Mūsdienās gandrīz visi procesi kādā brīdī ietver datoru izmantošanu, sākot no mobilajiem tālruņiem līdz specializētai programmatūrai. Lai gan šī attīstība rada daudz jaunu iespēju, ievainojamības IT sistēmās var radīt lielu ietekmi. Tāpēc zināšanas par šīm ievainojamībām ir jāapstrādā efektīvi.

Vairākas organizācijas 2013. gada sākumā sāka publicēt politiku par to, kā ziņot par ievainojamībām. Pēc apspriešanās ar šīm pusēm Nacionālais kiberdrošības centrs (NCSC) apkopoja attīstību „Vadlīniju atbildīgas atklāšanas prakses sasniegšanai” (‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; „Vadlīnijas”) veidā. Ar šo politiku uzņēmumi norāda, ka ir atvērti ārējiem ziņojumiem par ievainojamībām, apraksta savus priekšnosacījumus un dod solījumus. Šis process radīja skaidrību un zināmā mērā drošu vidi, kurā ziņotājas puses var izmeklēt ievainojamības un ziņot par tām, tieši nepārkāpjot kriminālo likumu. ES augsta līmeņa sanāksmē par kiberdrošību 2016. gadā 29 organizācijas atkārtoti apstiprināja politikas nozīmi darbā ar ievainojamībām, parakstot Koordinētas ievainojamību atklāšanas manifestu1, ko ierosināja CIO Platform Netherlands un Rabobank sadarbībā ar NCSC.

Koordinēta ievainojamību atklāšana (CVD) ir izrādījusies ļoti svarīga publiskajām un privātajām pusēm. Tās ir ļoti atkarīgas no informācijas sistēmu netraucētas darbības ikdienas praksē. Ziņojumi par ievainojamībām to sistēmās pēdējos gados ir palīdzējuši uzlabot sistēmu drošību un nepārtrauktību, no vienas puses, novēršot ievainojamības, un, no otras puses, veicinot Nīderlandes uzņēmumu vispārējo izpratni par IT drošību.

Pēdējos gados ir kļuvis skaidrs, ka ziņotājas puses ir gatavas strādāt organizāciju izstrādātās CVD politikas nosacījumu ietvaros. Ziņotājas puses ziņojumus iesniedz organizācijām tieši vai netieši. Atbildīgas atklāšanas prakse ir parādījusi, ka labi domājošas ziņotājas puses un ievainojamās organizācijas ir spējušas sadarboties un tādējādi spert nākamo soli tīklu un informācijas sistēmu drošības palielināšanā.

Šai pārskatīšanai mēs atkal runājām ar plašu un daudzveidīgu ziņotāju pušu loku, privātajām un publiskajām pusēm, kā arī ar Prokuratūru un Nacionālo policiju. Šīs sarunas apstiprināja pašreizējo praksi un noveda pie papildinājumiem un uzlabojumiem. Svarīgākais jaunais uzmanības punkts ir saziņa starp ievainojamības ziņotāju un organizāciju, kā arī ar citām pusēm pēc ievainojamības novēršanas.

Nākamajās nodaļās aplūkota CVD definīcija, CVD politikas būvelementi un saziņas process.

Piezīme: iepriekšējās Vadlīnijās tika lietots termins „atbildīga atklāšana” (‘responsible disclosure’), kas tolaik bija šīs prakses parastais nosaukums. Starplaikā ir kļuvis skaidrs, ka šis termins pārāk uzsver ziņotājas puses atbildību, kamēr pamatprincips ir tāds, ka ziņotājai pusei un potenciāli ievainojamajai organizācijai jābūt vienlīdzīgiem partneriem dialogā. Šo domu labāk izsaka pašlaik plaši lietotais termins „Koordinēta ievainojamību atklāšana” (CVD), kas ir arī nosaukums, ko izmanto ISO 29147 un 30111 standartos par šo procesu.

2. Koordinēta ievainojamība

Pēdējo 30 gadu laikā ir izmantotas dažādas metodes, lai palielinātu izpratni par ievainojamībām IT sistēmās. Piemēri:

‘Pilna atklāšana’ (Full Disclosure), ievainojamības pilnīga publiskošana;
‘Neatklāšana’ (Non-disclosure), ievainojamības pārdošana vai izmantošana pašam;
‘Koordinēta ievainojamību atklāšana’ (CVD), ievainojamības koordinēta atklāšana.

Pēdējā prakse ir skaidri vēlamā.

IT kopiena ir parādījusi lielu gatavību dalīties zināšanās un pieredzē. Tāpēc sadarbības meklēšana ar šo kopienu var palīdzēt uzlabot sistēmu vispārējo drošību.

Koordinētas ievainojamību atklāšanas mērķis

CVD mērķis ir veicināt IT sistēmu drošību, daloties zināšanās par ievainojamībām. CVD ietvaros zināšanas tiek dalītas ar vienu vai vairākām potenciāli ievainojamām organizācijām, lai sadarbībā ar ziņotāju pusi nonāktu pie kopīga atrastās ievainojamības risinājuma. Ir svarīgi, lai skartajām organizācijām būtu pietiekami daudz laika ievainojamību novēršanai vai sistēmu aizsardzībai, lai pēc iespējas ierobežotu vai novērstu zaudējumus vai kaitējumu. Procesa stūrakmens ir zināšanu par ievainojamībām atklāšana pēc to novēršanas.

CVD ir būtiski, lai visas puses ievērotu vienošanās par to, kā ziņot par ievainojamību un kā ar to rīkoties. Palīdz tas, ja organizācija iepriekš publicē priekšnosacījumus, piemēram, kuras sistēmas ir darbības jomā un kāda veida pētījumus var veikt. Svarīgs princips šiem priekšnosacījumiem ir tāds, ka organizācija principā nenosūtīs ziņojumu par ziņotāju policijai un neveiks citus juridiskus soļus, ja izmeklēšana un ziņošana tiek veikta noteikto nosacījumu ietvaros. Šīs Vadlīnijas sniedz organizācijām norādījumus savas politikas izstrādei, lai iemiesotu CVD principus.

Kā norāda nosaukums, CVD centrā ir organizācijas un ziņotājas puses savstarpēja koordinācija. Šajā ziņā starp ievainojamības ziņotāju un personu organizācijā, kas ir atbildīga par problēmas risināšanu, jābūt pēc iespējas mazākam posmu skaitam.

Var būt svarīgi informēt vairākas puses vienlaikus, ja ievainojamība skar daudzas sistēmas. Tādā gadījumā NCSC vai citas drošības kopienas puses var atbalstīt CVD procesu no koordinējošās lomas.

3. Atbildības jomas

CVD politikas īstenošanas mērķis ir, lai ziņotājas puses un organizācija strādātu kopā, lai samazinātu ievainojamības IT sistēmās. Šīs politikas īstenošana būtu jāuztver kā papildinājums esošajiem informācijas drošības pasākumiem. Dažādiem dalībniekiem katram ir sava loma un atbildība. Tās sīkāk izskaidrotas turpmāk.

Organizācija, kurai pieder/kura pārvalda sistēmu

Organizācija, kurai sistēma pieder/kura to pārvalda vai piegādā, ir galvenokārt atbildīga par šīs sistēmas drošību. Citiem vārdiem sakot, organizācija ir atbildīga arī par rīcību pēc ievainojamības ziņojuma.

Organizācija var izvēlēties izstrādāt savu CVD politiku, izmantojot šīs Vadlīnijas, un paziņot šo politiku potenciālajām ziņotājām pusēm. Publicējot CVD politiku, organizācijas parāda savu gatavību saņemt informāciju par ievainojamībām.

Puse, kas izstrādā CVD politiku, var apņemties ievērot principu, ka tā neiesniegs sūdzību policijai, ja tiek ievēroti politikā noteiktie noteikumi.

Kad ziņotāja puse ir ziņojusi par ievainojamību, atbildība gulstas uz organizāciju. Ir svarīgi apzināties, ka ziņotāja puse bieži ir kāds ārpus organizācijas. Šai pusei nav tiešas ieskata iekšējos procesos, kas var tikt iedarbināti pēc ievainojamības ziņošanas. Tāpēc ziņotājas puses novērtēs, ja tās tiks informētas par norisēm ievainojamības novēršanā. Šī nepārtrauktā saziņa ir svarīga arī, lai radītu pareizas cerības par risinājuma turpmākajiem soļiem un savlaicīgumu.

Puse, kas ziņo par ievainojamību

Ziņotāja puse kaut kādā veidā ir spējusi identificēt ievainojamību un vēlas veicināt IT sistēmu drošību, panākot šīs ievainojamības novēršanu un, iespējams, vēlāk publiskošanu. Ziņotāja puse var būt kaut ko atklājusi ar pasīvu novērošanu vai aktīvi testējot IT sistēmu. Protams, šī puse ir atbildīga par savām darbībām un veidu, kādā tā atklāja ievainojamību. Ziņotājas puses pašas atbildība ir zināt nosacījumus, ko organizācija noteikusi savā CVD politikā. Lielākā daļa valdību un uzņēmumu ir publicējuši savas CVD politikas savās tīmekļvietnēs.

Ievainojamību atrašana tomēr var ietvert likuma pārkāpšanu. CVD kontekstā organizācija un ziņotāja puse var vienoties, ka par jebkurām noziedzīgām darbībām netiks iesniegts ziņojums. Šajā ziņā organizācijas publicētā CVD politika ir vadošais princips. Puses var vienoties arī par to, ka netiks veiktas civiltiesiskas darbības.

Ja ir aizdomas, ka ziņotāja puse ir pārkāpusi likumu, CVD politika vispirms var palīdzēt novērst to, ka ziņotājs tiek nodots iestādēm. Šī procedūra pilnībā ir atkarīga no politikas priekšnosacījumiem, kurus organizācija prasa ziņotājai pusei ievērot, un no tā, vai šī atbilstība ir panākta, potenciāli ar atbilstošu solījumu neiesniegt kriminālsūdzību, kamēr puse darbojas politikas nosacījumu ietvaros. Ja policijai tiek iesniegts ziņojums, CVD politikas esamība un tās ievērošana Nīderlandē ir būtisks apstāklis, ko Prokurors ņems vērā, lemjot par kriminālizmeklēšanas sākšanu un/vai kriminālvajāšanu. Principā policija un Prokuratūra (OM) nesāks kriminālizmeklēšanu, ja ziņotāja puse ir skaidri ievērojusi attiecīgās organizācijas CVD politikas noteikumus. Tomēr Prokuratūra un policija var turpināt lietas izmeklēšanu, ja ir norādes, ka ziņotāja puse ar savām darbībām ir apzināti vai neapzināti pārkāpusi robežas un/vai nav ievērojusi CVD politiku. Pamatojoties uz šo izmeklēšanu, Prokuratūra var lemt, vai ierosināt kriminālvajāšanu.

Prokuratūra ir publicējusi politikas vēstuli, kurā konkrētāk aplūkoti aspekti, kas ir svarīgi, nonākot pie lēmuma par izmeklēšanu un/vai kriminālvajāšanu. Piemēram, vai ziņotājas puses darbības kalpoja svarīgām sabiedrības interesēm, vai puse rīkojās nesamērīgi un vai puse, iespējams, varēja rīkoties citādi, mazāk radikāli. Attiecīgā politikas vēstule šos aspektus izstrādā sīkāk.2 Attiecīgā judikatūra kopš 2013. gada3 liecina, ka šie aspekti tiek ņemti vērā arī tiesā, ja organizācijai nav CVD politikas.

4. Koordinētas ievainojamību atklāšanas procesa būvelementi

Turpmāk sniegti būvelementi CVD procesa veidošanai organizācijai, ziņotājam un NCSC.

Organizācija

CVD veicināšana sākas ar organizāciju, kurai pieder IT sistēmas vai kura piegādā IT produktu/sistēmu. Galu galā šī organizācija ir galvenokārt atbildīga par šo IT sistēmu informācijas drošību. Lai efektīvi sadarbotos ar dažādām pusēm ievainojamību novēršanā, organizācija var izlemt izstrādāt un publicēt CVD politiku. Izstrādājot savu CVD politiku, organizācija var parādīt, kā tā rīkojas ar ziņojumiem par ievainojamībām. Šādi organizācija var arī veidot to, kā tā vēlas saņemt paziņojumus. Šādu procesu var organizēt šādi:

Organizācija izstrādā un publicē CVD politiku.
Šajā politikā organizācija nosaka skaidrus noteikumus pētījumiem, ko ziņotājas puses var veikt, piemēram, kuras metodes ir atļautas un kuras sistēmas ir darbības jomā vai ārpus tās.
Organizācija ziņotājai pusei atvieglo ziņojuma iesniegšanu. Viena iespēja ir standartizēta ziņošanas metode; piemēram, konkrēta e-pasta adrese vai tiešsaistes veidlapa. Turklāt organizācija var izlemt, vai pieņemt anonīmus ziņojumus.
Organizācija rezervē iekšējo kapacitāti un izveido procesu, lai atbilstoši reaģētu uz ziņojumiem. Ir ieteicams izveidot procesu, ar kuru var pienācīgi novērst jebkuras atrastās ievainojamības. Šajā ziņā ziņojuma izcelsmei nav nozīmes. Ievainojamību var būt identificējis arī iekšējs darbinieks vai, piemēram, testa laikā.
Praktiskā pieredze rāda, ka pēc CVD politikas pirmās publicēšanas būs lielāka interese ziņot organizācijai par ievainojamībām. Organizācijai tas jāņem vērā, plānojot (papildu) kapacitāti.
Kad organizācija saņem ievainojamības ziņojumu, tā nodrošina, ka ziņojums pēc iespējas ātrāk nonāk tajā nodaļā, kas vislabāk piemērota ziņojuma novērtēšanai un apstrādei.
Organizācija nosūta ziņotājai pusei ziņojuma saņemšanas apstiprinājumu, vēlams ar digitālo parakstu, lai uzsvērtu prioritāti.
Pēc tam organizācija sāks apspriešanos ar ziņotāju pusi, lai noteiktu laika periodu, kurā notiks jebkāda publicēšana. Šis periods lielā mērā būs atkarīgs no ievainojamības rakstura un sistēmas veida.
Kā orientieri programmatūras ievainojamībām bieži izmanto aptuveni 60 dienu periodu. Ievainojamību novēršana aparatūrā ir grūtāk panākama; var izmantot 6 mēnešu orientieri.
Var būt vēlams pagarināt vai saīsināt šo periodu ar savstarpēju vienošanos atkarībā no tā, cik daudz vai maz IT sistēmu ir atkarīgas no sistēmas, par kuru ziņota ievainojamība, vai arī no tā, vai ievainojamību ir vieglāk vai grūtāk novērst.
Ievainojamību var izrādīties grūti vai neiespējami novērst, vai arī tās novēršana var būt saistīta ar lielām izmaksām. Šādos gadījumos organizācija var vienoties uzskatīt ievainojamību par pieņemtu risku un to nenovērst, iespējams, apspriežoties ar ziņotāju pusi.
Organizācija informēs ziņotāju pusi par procesa attīstību.
Turklāt organizācija var piedāvāt, ka ziņotāja puse tiek publiski atzīta par ievainojamības publicēšanu. Ir iespējams arī izvēlēties kopīgu atklāšanu ārpasaulei.
Vēlams atalgot ziņotāju pusi par ziņošanu par ievainojamībām sistēmās, ja puse ir ievērojusi CVD politikas noteikumus. Atlīdzības apmērs var būt atkarīgs no ziņojuma kvalitātes. Ziņotājas puses atalgošana var radīt labākas attiecības starp šo pusi un organizāciju, kā arī palielināt cilvēku gatavību iesniegt jaunus ziņojumus saskaņā ar CVD politiku.
Apspriežoties ar ziņotāju pusi, organizācija var vienoties informēt plašāku IT kopienu par ievainojamību, ja ir ticams, ka ievainojamība pastāv arī citur.
Savā CVD politikā organizācija var apņemties ievērot principu, ka tā neiesniegs sūdzību policijai, ja ziņotāja puse ir ievērojusi politikā izklāstītos noteikumus.

Ziņotāja puse

Ziņotāja puse ir veiksmīga CVD procesa atslēga. Kaut kādā veidā šī puse ir spējusi identificēt ievainojamību un vēlas veicināt IT sistēmu drošību, panākot, ka organizācija šo ievainojamību novērš un ka tā tiek publiskota. Šādi ziņotājas puses atzīst, ka var sniegt svarīgu ieguldījumu sabiedrībā, atklājot ievainojamības koordinētā veidā. Lai panāktu veiksmīgu CVD procesu, ziņotājai pusei ir svarīgi šādi būvelementi:

Ziņotāja puse ir atbildīga par savām darbībām un, izmeklējot ievainojamības un ziņojot par tām, tai jāievēro samērīguma, kā arī subsidiaritātes principi. Citiem vārdiem sakot, ziņotājai pusei nevajadzētu darīt vairāk, nekā nepieciešams ievainojamības pierādīšanai, un par ievainojamību vienmēr vispirms jāziņo sistēmas/informācijas īpašniekam.
Ziņotājai pusei par problēmu jāziņo pēc iespējas ātrāk, lai novērstu, ka ļaunprātīgas puses atklāj ievainojamību un to izmanto.
Ziņotājai pusei ziņojums organizācijai jāiesniedz konfidenciāli, lai novērstu, ka citi iegūst piekļuvi šai informācijai.
Ziņotāja puse nedrīkst padarīt ziņojuma iesniegšanu vai turpmākās informācijas sniegšanu atkarīgu no atlīdzības. Iniciatīva piešķirt atlīdzību ziņojuma gadījumā ir saņēmējai organizācijai, kas savā publicētajā politikā var izklāstīt priekšnosacījumus.
Ziņotāja puse un organizācija skaidri vienojas par ievainojamības atklāšanu. Ja iesaistīta vairāk nekā viena organizācija, pamatprincips ir tāds, ka ievainojamības var publicēt tikai tad, ja tam piekrīt visas organizācijas. Ieteicams šādas vienošanās panākt agrīnā posmā.
Ziņotāja puse un iesaistītā organizācija var vienoties par plašākas IT kopienas informēšanu. Piemēram, šī situācija var attiekties uz ievainojamību (neatkarīgi no tā, vai tā jau ir zināma), par kuru zināms, ka tā pastāv vairāk nekā vienā vietā. Nacionālo kiberdrošības centru (NCSC) var iesaistīt šajā procesā, lai atbalstītu centrālās valdības un kritiskās infrastruktūras mērķgrupas vai lai informētu vairākas puses ievainojamības gadījumā, kas skar daudzas sistēmas.

NCSC

CVD process galvenokārt ir organizāciju un ziņotāju pušu lieta. Tomēr NCSC veicinās CVD procesa izmantošanu. Apspriežoties ar ziņotāju pusi un organizāciju, NCSC var tikt iesaistīts arī ar informācijas par ievainojamību dalīšanu ar savu mērķauditoriju, lai ierobežotu turpmākos drošības riskus, ko rada ievainojamība.

Ja ievainojamības ziņošana norit ne tā, kā ziņotāja puse sagaida, vai ja tā dod priekšroku nezināt par ievainojamību tieši organizācijai, tā var sazināties ar NCSC.4 Šajā gadījumā NCSC vajadzības gadījumā var darboties kā starpnieks.

IT sistēmas īpašnieks vienmēr ir atbildīgs par sistēmas drošību. NCSC nevar piespiest sistēmas īpašnieku novērst ievainojamību, kā arī nevar garantēt, ka īpašnieks neveiks juridiskas darbības pret ziņotāju pusi. Tāpēc, meklējot ievainojamību un ziņojot par to, ziņotājai pusei jāņem vērā iepriekšminētie būvelementi organizācijām un ziņotājām pusēm. Ziņotāja puse var sagaidīt, ka NCSC darīs visu iespējamo, lai ievainojamība tiktu novērsta, un ziņojumu apstrādās konfidenciāli. NCSC nedala nekādus personas datus, ja vien tas nav juridiski pienākums.

Ja iespējams, NCSC izmantos iegūto informāciju par ievainojamībām, apspriežoties ar organizācijām un ziņotājām pusēm, lai tālāk dalītos zināšanās ar IT kopienu. Piemēram, to var darīt, publicējot daļu informācijas, rakstot vai atjauninot faktu lapu vai baltās grāmatas, vai informējot konkrētas organizācijas.

Atkarībā no attiecīgās organizācijas un konstatētās ievainojamības rakstura NCSC centīsies vērst attiecīgās organizācijas uzmanību uz ievainojamību. Tomēr attiecīgās IT sistēmas īpašnieks joprojām ir atbildīgs par sistēmu.
Ja iespējams un nepieciešams, NCSC sniegs attiecīgajai organizācijai padomus par to, kā novērst ievainojamību.
NCSC ziņojumus apstrādās konfidenciāli un nedalīs ziņotāju pušu vai saņēmējas organizācijas personas datus bez piekrišanas, ja vien tas neizriet no likumā noteikta pienākuma.
Kad vien iespējams, NCSC informēs ziņotāju pusi par norisēm saziņā ar organizāciju un ievainojamības novēršanā.
Gadījumos, kad ziņojums tiek iesniegts NCSC, NCSC centīsies savest kontaktā ziņotāju pusi vai potenciālo ziņotāju pusi un organizāciju.

Ja ziņotāja puse, piemēram, ir atradusi ievainojamību programmatūras produktā vai ievainojamību, kas skar daudzas dažādas sistēmas, ziņotāja puse var lūgt NCSC koordinēt ievainojamības novēršanu un atklāšanu.

Kopā ar ziņotāju pusi, partneriem, izstrādātājiem un/vai programmatūras izstrādātājiem un citām drošības komandām NCSC palīdzēs analizēt, novērst vai panākt novēršanu, koordinēt un kontrolētā veidā atklāt ievainojamību. Viss šis process notiek ciešā apspriešanās ar ziņotāju pusi, kas atrada ievainojamību.

CVD politika cenšas panākt līdzsvaru starp nozīmi atklāt ievainojamības pēc iespējas ātrāk, lai varētu veikt pasākumus, un nozīmi, lai izstrādātājiem, kā arī piegādātājiem būtu pietiekami daudz laika ievainojamības novēršanai. Šim procesam NCSC izmanto standarta termiņu 60 dienas starp ziņojumu un publisku atklāšanu. Tomēr var būt apstākļi, kuros var tikt nolemts šo periodu pagarināt vai saīsināt.

NCSC jebkad dalīsies ar informāciju par ievainojamību ar trešajām pusēm tikai pēc apspriešanās ar ziņotāju pusi. Šajā kontekstā ir būtiski, ka NCSC sadarbojas un tāpēc dalās ar informāciju par ievainojamību ar ieinteresētajām pusēm, lai ievainojamību atklātu koordinēti. Tādējādi NCSC nodrošinās, ka pareizās puses var strādāt pie ievainojamības novēršanas, palīdzēs ierobežot jebkādus zaudējumus vai kaitējumu un palīdzēs vērst uzmanību uz atrasto ievainojamību.

5. Saziņa un atklāšanas process

Piecu gadu prakse ir parādījusi, ka skaidra saziņa ir veiksmīga CVD procesa stūrakmens. Ir uzmanības punkti pirms CVD procesa, tā laikā un pēc tā.

Saziņa par atklāšanas procesu

CVD politikas publicēšana ir pirmais solis saziņā par procesu. Publicējot politiku publiski, ziņotājas puses tiek aicinātas paziņot organizācijai par jebkurām atrastajām ievainojamībām.

No vienas puses, organizācija var noteikt nosacījumus pētījumam, ko veic ievainojamību atklāšanai, un veidam, kā tiek meklēts kontakts. No otras puses, organizācija var apņemties ievērot principu, ka tā neiesniegs sūdzību policijai, ja tiek ievēroti politikas noteikumi. Šī pieeja aizsargā ziņotājas puses stāvokli.

CVD politiku var mainīt vai atjaunināt vēlākā laikā. Ir svarīgi skaidri norādīt izmaiņas šajā ziņā. Ziņotājām pusēm ir interese zināt, kas ir mainīts un kad. Piemēram, izmaiņas var skaidrot, CVD politikas sākumā iekļaujot publicēšanas datumu, aprakstot izmaiņu kopsavilkumu zem CVD politikas vai uzturot arhīvu ar vecajām CVD politikas versijām.

CVD politika var sniegt norādījumus par to, kā sazināties procesa laikā, piemēram, norādot regulārus atjauninājumus pa e-pastu vai tīmekļa portālā. Turklāt CVD politika var aprakstīt, kā ziņotāju var atzīt, pieminot viņu atjauninājumā, uzņemot Slavas zālē (hall of fame) vai jebkurā citā atlīdzības veidā.

Saziņa atklāšanas procesa laikā

Ziņotāja puse sāk CVD procesu, nosūtot ziņojumu organizācijai. Šajā ziņojumā ziņotāja puse sniedz skaidru atklātās ievainojamības aprakstu. Svarīgi elementi ir skartās sistēmas IP adrese vai URL un nepieciešamie soļi ievainojamības atveidošanai.

Organizācijai ir svarīgi skaidri sazināties ar ziņotāju pusi, lai cerības par procesu būtu skaidras.

To var izdarīt jau, nosūtot saņemšanas apstiprinājumu (automatizētu vai citādu), kas satur norādi uz termiņu, kurā tiks nosūtīta pirmā vai turpmākā būtiska atbilde.

Šo periodu ir iespējams arī atstāt atvērtu un sniegt sākotnējo norādi par termiņu pēc ziņojuma satura novērtēšanas. Ieteicams pēc iespējas ātrāk skaidri norādīt periodu, kurā var tikt panākts risinājums. Šādi ziņotājs zina, kad var sagaidīt rezultātu.

Dažos gadījumos ziņotājai pusei jau var būt skaidrs publicēšanas datums; piemēram, prezentācijas dēļ konferencē vai tāpēc, ka ziņotāja puse ir noteikusi savu termiņu. Šajā gadījumā joprojām ir svarīgi, lai ziņotāja puse skaidri paziņo šo laika grafiku, norāda to pēc iespējas agrāk un skaidri pasaka par šī datuma atlikšanas iespējamību/neiespējamību.

Ziņotāja puse bieži ir kāds ārpus organizācijas, kam nav ieskata iekšējos procesos, ko var iedarbināt ziņojums. Organizācijas var informēt ziņotāju pusi par procesa norisēm ar regulāriem atjauninājumiem. Šī pieeja ziņotājai pusei skaidri parāda, ka pie risinājuma tiek strādāts. Vajadzības gadījumā organizācija procesa laikā var lūgt precizējumus vai risinājuma testēšanu.

Ja organizācija nespēj ievērot sākotnējo risinājuma termiņu, par tā atlikšanu var runāt ar ziņotāju. Regulāra saziņa ziņotājam var padarīt šo situāciju skaidru agrākā posmā.

CVD galvenais nodoms ir mazināt ievainojamību, taču ievainojamības ‘pilna atklāšana’ (full disclosure) vienmēr ir iespēja ziņotājai pusei, ja tā uzskata, ka process aizņems pārāk ilgu laiku. Šis pasākums ir sakāmvārdā minētā ‘lielā nūja’, kas ir pieejama ziņotājai pusei. Protams, šī situācija pēc iespējas jānovērš.

Saziņa pēc atklāšanas procesa

Pastāv daudzi iespējami iemesli, kāpēc ziņotāja puse varētu meklēt ievainojamības un pēc tam par tām ziņot organizācijām ar CVD procesu. Lielam skaitam ziņotāju pušu svarīgs stimuls ir (publiska) atzinība.

Ziņotājas puses saņem publisku atzinību ar pateicību atjauninājumā vai ierakstu Slavas zālē. Tomēr vajadzība pēc publiskas atzinības neattiecas uz visām ziņotājām pusēm; dažas patiesībā nevēlas, lai sabiedrība viņus zinātu. Tāpēc, ja organizācija sazinās, ieteicams iegūt ziņotājas puses piekrišanu viņu nosaukšanai.

Turklāt ziņotājas puses pēc CVD procesa pabeigšanas var arī izlemt sazināties par ziņojumu. Piemēram, ziņotāja puse var aprakstīt atklāšanas procesu vai brīdināt citus par ievainojamību. Ziņotājs var izlemt iesniegt publikāciju organizācijai informatīviem nolūkiem. Tā kā CVD process principā ir pabeigts pēc ievainojamības novēršanas, ziņotājai pusei pēc tam ir brīvi par to sazināties, ja vien politikā vai procesa laikā nav noslēgtas papildu vienošanās.

Saraksts

Saziņa par atklāšanas procesu

CVD politikas publicēšana tīmekļvietnē
Skaidrība par ierobežojumiem (dažādas pieejas skatiet 6. nodaļā)
Ierobežojumi izmeklēšanas metodēs
Norādījumi par saziņu
Norādījumi par iespējamām atlīdzībām: Slavas zāle (hall of fame), finansiāla atlīdzība, T-krekls utt.
Skaidrība par jebkuriem CVD politikas atjauninājumiem, tostarp izmaiņu datumu

Saziņa atklāšanas procesa laikā

Ziņotājs sazinās ar organizāciju par atklātu ievainojamību.
Organizācija pārvalda cerības, piemēram, atbildes laiku pirmajai tehniskajai atbildei
Organizācija un ziņotājs viens otram sniedz skaidrību par gaidāmo risināšanas periodu
Organizācija bieži sniedz (procesa) atjauninājumu
Vajadzības gadījumā ziņotājs un organizācija apspriež sazināšanos ar citām attiecīgām organizācijām

Saziņa pēc atklāšanas procesa

Apspriest ziņotāja (publisku) atzinību un atlīdzību
Vienoties par to, kā tiks publicēta informācija par ievainojamību, piemēram, pētījuma posms vai citu organizāciju informēšana

6. Koordinētas ievainojamību atklāšanas politikas piemēri

Ir daudz dažādu koordinētas ievainojamību atklāšanas politikas tekstu formu. Tā kā publicētā CVD politika kalpo kā ceļa rādītājs potenciālajām ziņotājām pusēm, pārliecinieties, ka šīs politikas forma atbilst organizācijas politikai un stratēģijai.

CVD politikā svarīgi ir šādi elementi:

kontaktmetode drošai saziņai;
priekšnosacījumi ziņotājām pusēm;
skaidras cerības par ziņojuma apstrādi;
ziņojuma atalgošanas metode;
versijas numurs un pēdējās pārskatīšanas datums.

Turpmāk sniegti trīs piemēri: daudzas organizācijas Nīderlandē ir smēlušās no ResponsibleDisclosure.nl pamatpiemēra. Citas organizācijas iekļauj papildu priekšnosacījumus, skatiet Fox IT politiku. Vēl citas organizācijas izmanto brīvāku formātu, lai pielāgotos savai mērķauditorijai, skatiet Bits of Freedom politiku.

Piemērs: ResponsibleDisclosure.nl

Šo tekstu ir uzrakstījusi Floor Terra, un tas ir publicēts ar Creative Commons Attribution 3.0 Unported licenci.

Acme Corporation mēs uzskatām savu sistēmu drošību par augstāko prioritāti. Taču neatkarīgi no tā, cik lielas pūles mēs ieguldām sistēmu drošībā, ievainojamības joprojām var būt.

Ja atklājat ievainojamību, mēs vēlētos par to zināt, lai varētu pēc iespējas ātrāk veikt pasākumus tās novēršanai.

Mēs vēlētos lūgt jūs palīdzēt mums labāk aizsargāt mūsu klientus un mūsu sistēmas.

Lūdzu, rīkojieties šādi:

Nosūtiet savus atklājumus pa e-pastu uz cert@example.com. Šifrējiet savus atklājumus ar mūsu PGP atslēgu, lai šī kritiskā informācija nenonāktu nepareizās rokās,
Neizmantojiet atklāto ievainojamību vai problēmu savā labā, piemēram, lejupielādējot vairāk datu, nekā nepieciešams ievainojamības demonstrēšanai, vai dzēšot vai pārveidojot citu cilvēku datus,
Neatklājiet problēmu citiem, kamēr tā nav atrisināta,
Neizmantojiet uzbrukumus fiziskajai drošībai, sociālo inženieriju, izkliedētu pakalpojumatteici, surogātpastu (spam) vai trešo pušu lietojumprogrammas, un
Sniedziet pietiekamu informāciju problēmas atveidošanai, lai mēs to varētu atrisināt pēc iespējas ātrāk. Parasti skartās sistēmas IP adreses vai URL un ievainojamības apraksta ir pietiekami, taču sarežģītām ievainojamībām var būt nepieciešams papildu skaidrojums.

Ko mēs apsolām:

Mēs atbildēsim uz jūsu ziņojumu 3 darbadienu laikā ar savu ziņojuma novērtējumu un paredzamo atrisināšanas datumu,
Ja esat ievērojuši iepriekš minētos norādījumus, mēs nepieņemsim nekādus juridiskus pasākumus pret jums saistībā ar ziņojumu,
Mēs apstrādāsim jūsu ziņojumu ar stingru konfidencialitāti un nenodosim jūsu personas datus trešajām pusēm bez jūsu atļaujas,
Mēs informēsim jūs par progresu problēmas atrisināšanā,
Publiskajā informācijā par ziņoto problēmu mēs norādīsim jūsu vārdu kā problēmas atklājēju (ja vien jūs nevēlaties citādi), un
Kā pateicības zīmi par jūsu palīdzību mēs piedāvājam atlīdzību par katru ziņojumu par drošības problēmu, kas mums vēl nebija zināma. Atlīdzības apmērs tiks noteikts, pamatojoties uz noplūdes nopietnību un ziņojuma kvalitāti. Minimālā atlīdzība būs 50 € dāvanu karte.

Mēs cenšamies atrisināt visas problēmas pēc iespējas ātrāk, un mēs vēlētos aktīvi piedalīties galīgajā publikācijā par problēmu pēc tās atrisināšanas.

Piemērs: Fox-IT

Fox-IT mēs uzskatām savu sistēmu, tīkla un produktu drošību par ārkārtīgi svarīgu. Neraugoties uz lielo rūpību, ko veltām drošībai, vājās vietas joprojām var palikt. Ja esat atradis šādu vāju vietu, mēs vēlētos par to uzzināt pēc iespējas ātrāk, lai varētu pēc iespējas ātrāk veikt atbilstošus pasākumus.

Vājās vietas var atklāt divos veidos: jūs varat nejauši uzgriezties kaut kam digitālās vides parastas lietošanas laikā vai arī varat skaidri censties tās atrast.

Mūsu atbildīgas atklāšanas politika nav aicinājums aktīvi skenēt mūsu uzņēmuma tīklu, lai atklātu vājās vietas. Mēs paši uzraugām savu uzņēmuma tīklu. Tas nozīmē, ka ir liela iespējamība, ka skenēšana tiks atklāta un mūsu Drošības operāciju centrs (SOC) veiks izmeklēšanu, kas varētu radīt nevajadzīgas izmaksas. Tomēr jūs esat aicināts aktīvi meklēt ievainojamības mūsu produktos bezsaistes neproduktīvā vidē un ziņot mums par saviem atklājumiem. Mūsu atbildība pret klientiem nozīmē, ka mūsu nodoms nav mudināt uz uzlaušanas mēģinājumiem to infrastruktūrā; tomēr mēs vēlētos dzirdēt no jums pēc iespējas ātrāk, ja tiek atrastas ievainojamības, lai varētu tās pienācīgi novērst.

Mēs vēlētos strādāt kopā ar jums, lai labāk spētu aizsargāt savus klientus un savas sistēmas.

Mēs lūdzam jūs:

Nosūtīt savus atklājumus pa e-pastu pēc iespējas ātrāk uz security-alert@fox-it.com.
Neļaunprātīgi izmantot ievainojamību, piemēram, lejupielādējot, rediģējot vai dzēšot datus. Mēs vienmēr nopietni uztversim jūsu ziņojumu un izmeklēsim jebkādas aizdomas par ievainojamību, pat bez pierādījumiem.
Nedalīties ar problēmu ar citiem, kamēr tā nav atrisināta.
Neizmantot uzbrukumus fiziskajai drošībai, sociālo inženieriju vai uzlaušanas rīkus, piemēram, ievainojamību skenerus.
Sniegt pietiekamu informāciju, lai problēmu varētu atveidot, lai mēs to varētu atrisināt pēc iespējas ātrāk. Parasti skartās sistēmas IP adreses vai URL un ievainojamības apraksta pietiek, lai gan sarežģītākām ievainojamībām var būt nepieciešams vairāk informācijas.

Ko mēs apsolām:

Mēs atbildēsim uz jūsu ziņojumu trīs darbadienu laikā ar ziņojuma novērtējumu un paredzamo atrisināšanas datumu.
Mēs apstrādāsim jūsu ziņojumu konfidenciāli un nedalīsimies ar jūsu personas informāciju ar trešajām pusēm bez jūsu atļaujas. Izņēmums ir policija un tiesu iestādes kriminālvajāšanas gadījumā vai ja informācija tiek pieprasīta.
Mēs informēsim jūs par problēmas risinājuma gaitu.
Saziņā par ziņoto problēmu mēs norādīsim jūsu vārdu kā pusi, kas problēmu atklāja, ja to vēlaties.
Diemžēl nav iespējams iepriekš garantēt, ka pret jums netiks veiktas nekādas juridiskas darbības. Mēs ceram, ka varēsim izskatīt katru situāciju atsevišķi. Mēs uzskatām sevi par morāli pienākošiem ziņot par jums, ja aizdomājamies, ka vājā vieta vai dati tiek ļaunprātīgi izmantoti vai ka jūs esat dalījies ar zināšanām par vājo vietu ar citiem. Varat būt pārliecināts, ka nejauša atklāšana mūsu tiešsaistes vidē neradīs kriminālvajāšanu.
Kā pateicību par jūsu palīdzību mēs piedāvājam atlīdzību par katru ziņojumu par drošības problēmu, kas mums nav zināma. Mēs nosakām atlīdzības apmēru, pamatojoties uz pārkāpuma nopietnību un ziņojuma kvalitāti.

Mēs cenšamies atrisināt visas problēmas pēc iespējas ātrāk, informēt visas iesaistītās puses un vēlētos būt iesaistīti jebkurā publikācijā par problēmu pēc tās atrisināšanas.

Piemērs: Bits of Freedom

Mūsu atkarība no digitālās infrastruktūras pastāvīgi pieaug. Tas attiecas uz sabiedrību kopumā, bet arī uz mums pašiem. Tāpēc mūsu viedoklis ir, ka valdībām un organizācijām (tostarp mūsējai) būtu stingri jāapņemas nodrošināt mūsu digitālo infrastruktūru. Mēs apzināmies, ka, neraugoties uz mūsu labākajiem nodomiem un lielāko rūpību, mūsu sistēmās var būt ievainojamības. Ja jūs tiešām atrodat kādu no šīm vājajām vietām, mēs labprāt vēlētos sazināties ar jums, lai varētu problēmu atrisināt.

Ko mēs sagaidām no jums

Pētot kādu no mūsu sistēmām, paturiet prātā uzbrukuma samērīgumu. Nav vajadzības demonstrēt, ka, pakļaujot mūsu tīmekļvietni lielākajam DDoS uzbrukumam interneta vēsturē, vietne var kļūt nepieejama. Mēs to zinām. Mēs arī saprotam, ka, ja ar buldozeru iebrauksiet mūsu birojā, jūs, visticamāk, varēsiet nočiept vienu no mūsu klēpjdatoriem.
Šis samērīguma princips ir svarīgs arī pašas ievainojamības demonstrēšanā. Jums nevajadzētu pārbaudīt vai mainīt vairāk datu, nekā stingri nepieciešams sava atklājuma derīguma apstiprināšanai. Piemēram, ja varat mainīt mūsu mājaslapu, vienkārši pievienojiet tai vienu nekontroversiālu vārdu, nevis pārņemiet visu lapu. Ja varat iegūt piekļuvi datubāzei, pietiek parādīt mums tajā esošo tabulu sarakstu vai varbūt pirmo ierakstu vienā no šīm tabulām.
Par ievainojamību kādā no mūsu sistēmām jāziņo pēc iespējas ātrāk, nosūtot e-pastu uz security@bof.nl. Vēlams, lai jūs šifrētu savu ziņojumu, izmantojot OpenPGP. Lūdzu, sniedziet pietiekami daudz informācijas, lai mēs varētu atveidot un izmeklēt problēmu.
Publiskā OpenPGP atslēga adresei security@bof.nl
Jūs nedalīsieties ar savām zināšanām par ievainojamību ar citām pusēm, kamēr mēs neesam risinājuši problēmu un joprojām ir saprātīgs laika posms kopš jūsu ziņojuma par problēmu.
Jūs izdzēsīsiet visu konfidenciālo informāciju, ko ieguvāt izmeklēšanas laikā, līdzko būsim atrisinājuši ievainojamību.

Ko jūs varat sagaidīt no mums

Mēs atbildēsim uz jūsu ziņojumu trīs dienu laikā detalizēti. Mēs norādīsim laika novērtējumu, kāds mums būs nepieciešams problēmas risināšanai. Protams, mēs regulāri informēsim jūs par savu progresu.
Mēs atrisināsim ievainojamību pēc iespējas ātrāk. Arī šeit samērīgums ir svarīgs: laiks, kas nepieciešams ievainojamības novēršanai, ir atkarīgs no vairākiem faktoriem, tostarp no attiecīgās problēmas nopietnības un sarežģītības.
Ja ievērosiet šeit izklāstītās vadlīnijas, mēs nepieņemsim nekādus juridiskus pasākumus pret jums saistībā ar jūsu ziņojumu.
Mums ir svarīgi atzīt jūsu nopelnus par paveikto, ja vēlaties. Mēs minēsim jūsu vārdu publikācijā par ievainojamību tikai tad, ja jūs tam piekrītat.
Kā pateicību par palīdzību mūsu sistēmu labākā aizsardzībā mēs vēlētos atalgot katru ziņojumu par ievainojamību, kas mums tajā laikā nebija zināma. Atlīdzība būs atkarīga no ievainojamības nopietnības un ziņojuma kvalitātes.

Ja atrastu ievainojamību trešās puses programmatūrā, ko mēs izmantojam, un uz šo ievainojamību attiecas kļūdu atklāšanas atalgojuma (bug bounty) programma, mēs necentīsimies pieprasīt šo atalgojumu; jums tas būtu jāizdara.