NCSC.nl

1. Inleiding

De samenleving digitaliseert steeds verder. Tegenwoordig komt bij vrijwel alle processen op enig moment een computer kijken, van mobiele telefoons tot gespecialiseerde software. Hoewel deze ontwikkeling veel nieuwe kansen biedt, kunnen kwetsbaarheden in IT-systemen grote gevolgen hebben. Daarom moet kennis over deze kwetsbaarheden effectief worden behandeld.

Begin 2013 begonnen enkele organisaties met het publiceren van beleid over hoe kwetsbaarheden kunnen worden gemeld. Na overleg met deze partijen heeft het Nationaal Cyber Security Centrum (NCSC) de ontwikkelingen samengevat in de ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’ (de ‘Leidraad’). Bedrijven geven met dit beleid aan dat zij openstaan voor externe meldingen van kwetsbaarheden, beschrijven hun randvoorwaarden en doen toezeggingen. Dit proces schiep duidelijkheid en een enigszins veilige omgeving voor melders om kwetsbaarheden te onderzoeken en te melden zonder daarmee direct een strafbaar feit te plegen. Tijdens de EU-bijeenkomst op hoog niveau over cyberveiligheid in 2016 bevestigden 29 organisaties opnieuw het belang van beleid voor de omgang met kwetsbaarheden door het ondertekenen van het Manifest Coordinated Vulnerability Disclosure1, dat door het CIO Platform Nederland en Rabobank in samenwerking met het NCSC is geïnitieerd.

Coordinated Vulnerability Disclosure (CVD) is gebleken van groot belang te zijn voor publieke en private partijen. Zij zijn in de dagelijkse praktijk sterk afhankelijk van het ongestoord functioneren van informatiesystemen. Meldingen van kwetsbaarheden in hun systemen hebben de afgelopen jaren bijgedragen aan het verbeteren van de beveiliging en continuïteit van systemen, enerzijds door het verhelpen van kwetsbaarheden en anderzijds door bij te dragen aan het algemene bewustzijn van Nederlandse bedrijven over IT-beveiliging.

De afgelopen jaren is duidelijk geworden dat melders bereid zijn binnen de voorwaarden van het door organisaties opgestelde CVD-beleid te werken. Meldingen worden door melders direct of indirect bij organisaties gedaan. De praktijk van responsible disclosure heeft laten zien dat goedwillende melders en kwetsbare organisaties erin zijn geslaagd samen te werken en zo de volgende stap te zetten in het verhogen van de veiligheid van netwerk- en informatiesystemen.

Voor deze herziening hebben we opnieuw gesproken met een brede en diverse groep melders, private en publieke partijen, alsmede het Openbaar Ministerie en de Nationale Politie. Deze gesprekken hebben de huidige praktijk bevestigd en geleid tot aanvullingen en verbeteringen. Het belangrijkste nieuwe aandachtspunt is de communicatie tussen de melder van een kwetsbaarheid en de organisatie, evenals met andere partijen nadat een kwetsbaarheid is verholpen.

In de volgende hoofdstukken komen de definitie van CVD, de bouwstenen voor een CVD-beleid en het communicatieproces aan bod.

Kanttekening: In de vorige Leidraad werd de term ‘responsible disclosure’ gebruikt, de destijds gangbare term voor deze praktijk. Inmiddels is duidelijk geworden dat deze term te veel nadruk legt op de verantwoordelijkheid van de melder, terwijl het uitgangspunt is dat de melder en de mogelijk kwetsbare organisatie gelijkwaardige partners in de dialoog zijn. Dit sentiment wordt beter weergegeven door de huidige gangbare term ‘Coordinated Vulnerability Disclosure’ (CVD), die ook de naam is die wordt gebruikt in de ISO-normen 29147 en 30111 over dit proces.

2. Gecoördineerde kwetsbaarheid

De afgelopen 30 jaar zijn verschillende methoden gebruikt om het bewustzijn van kwetsbaarheden in IT-systemen te vergroten. Voorbeelden zijn:

‘Full Disclosure’, het volledig openbaar maken van een kwetsbaarheid;
‘Non-disclosure’, het verkopen of zelf gebruiken van een kwetsbaarheid;
‘Coordinated Vulnerability Disclosure’ (CVD), het gecoördineerd openbaar maken van een kwetsbaarheid.

Laatstgenoemde praktijk heeft uitdrukkelijk de voorkeur.

De IT-gemeenschap heeft grote bereidheid getoond om kennis en ervaring te delen. Het zoeken naar samenwerking met deze gemeenschap kan daarom helpen de algehele beveiliging van systemen te verbeteren.

Het doel van Coordinated Vulnerability Disclosure

Het doel van CVD is bij te dragen aan de beveiliging van IT-systemen door kennis over kwetsbaarheden te delen. Bij CVD wordt kennis gedeeld met een of meer mogelijk kwetsbare organisaties om in samenwerking met de melder tot een gezamenlijke oplossing voor de gevonden kwetsbaarheid te komen. Het is belangrijk dat de getroffen organisaties voldoende tijd hebben om eventuele kwetsbaarheden te verhelpen of systemen te beschermen om schade of verlies zoveel mogelijk te beperken of te voorkomen. De hoeksteen van het proces is het openbaar maken van kennis over de kwetsbaarheden na herstel.

Bij CVD is het essentieel dat alle partijen zich houden aan afspraken over hoe een kwetsbaarheid wordt gemeld en hoe ermee wordt omgegaan. Het helpt als een organisatie vooraf randvoorwaarden publiceert, zoals welke systemen binnen de scope vallen en wat voor soort onderzoek mag worden uitgevoerd. Een belangrijk uitgangspunt bij deze randvoorwaarden is dat de organisatie in beginsel geen aangifte doet tegen de melder of andere juridische stappen onderneemt als het onderzoek en de melding binnen de gestelde voorwaarden plaatsvinden. Deze Leidraad biedt organisaties houvast bij het opstellen van hun eigen beleid om de uitgangspunten van CVD vorm te geven.

Zoals de naam aangeeft, staat bij CVD centraal dat de organisatie en de melder zich onderling afstemmen. Daarbij moeten er zo min mogelijk schakels zitten tussen degene die de kwetsbaarheid meldt en degene binnen de organisatie die verantwoordelijk is voor het oplossen van het probleem.

Het kan belangrijk zijn meerdere partijen tegelijk te informeren als een kwetsbaarheid veel systemen raakt. In dat geval kunnen het NCSC of andere partijen binnen de beveiligingsgemeenschap het CVD-proces vanuit een coördinerende rol ondersteunen.

3. Verantwoordelijkheidsgebieden

Het doel van het voeren van een CVD-beleid is dat de melders en de organisatie samenwerken om de kwetsbaarheden in IT-systemen te verminderen. De invoering van dit beleid moet worden gezien als een aanvulling op bestaande maatregelen voor informatiebeveiliging. De verschillende actoren hebben elk hun eigen rol en verantwoordelijkheden. Deze worden hieronder nader toegelicht.

De organisatie die een systeem bezit/beheert

De organisatie die een systeem bezit/beheert of levert, is in de eerste plaats verantwoordelijk voor de beveiliging van dit systeem. Met andere woorden: de organisatie is ook verantwoordelijk voor het opvolgen van een kwetsbaarheidsmelding.

De organisatie kan ervoor kiezen met behulp van deze Leidraad een eigen CVD-beleid op te stellen en dit beleid te communiceren met potentiële melders. Door een CVD-beleid te publiceren laten organisaties zien dat zij bereid zijn informatie over kwetsbaarheden te ontvangen.

Een partij die een CVD-beleid vaststelt, kan zich committeren aan het uitgangspunt dat zij geen aangifte doet bij de politie als de regels die voor het beleid gelden, worden nageleefd.

Zodra een melder een kwetsbaarheid heeft gemeld, ligt de verantwoordelijkheid bij de organisatie. Het is belangrijk te beseffen dat de melder vaak iemand van buiten de organisatie is. Deze partij heeft geen direct zicht op de interne processen die na een melding van een kwetsbaarheid in gang kunnen worden gezet. Melders stellen het daarom op prijs te worden geïnformeerd over de ontwikkelingen bij het verhelpen van de kwetsbaarheid. Deze voortdurende communicatie is ook belangrijk om de juiste verwachtingen te scheppen over de opvolging en de tijdigheid van de oplossing.

De partij die een kwetsbaarheid meldt

De melder heeft op de een of andere manier een kwetsbaarheid kunnen ontdekken en wil bijdragen aan de beveiliging van IT-systemen door deze kwetsbaarheid te laten verhelpen en mogelijk in een later stadium openbaar te maken. De melder heeft iets kunnen ontdekken door passieve waarneming of door het IT-systeem actief te testen. Uiteraard is deze partij verantwoordelijk voor de eigen handelingen en de manier waarop de kwetsbaarheid is ontdekt. Het is de eigen verantwoordelijkheid van de melder zich bewust te zijn van de voorwaarden die een organisatie in haar CVD-beleid stelt. De meeste overheden en bedrijven hebben hun CVD-beleid op hun website gepubliceerd.

Het vinden van kwetsbaarheden kan desondanks inhouden dat de wet wordt overtreden. In het kader van CVD kunnen de organisatie en de melder afspreken dat geen aangifte wordt gedaan van eventuele strafbare feiten. In dat opzicht is het door de organisatie gepubliceerde CVD-beleid het richtsnoer. Partijen kunnen ook afspreken dat geen civielrechtelijke stappen worden ondernomen.

Bij een vermoeden dat de melder de wet heeft overtreden, kan een CVD-beleid er allereerst aan bijdragen te voorkomen dat de melder bij de autoriteiten wordt aangegeven. Deze procedure hangt volledig af van de randvoorwaarden van het beleid waaraan een organisatie een melder houdt en of aan deze naleving is voldaan, eventueel met een bijbehorende toezegging geen aangifte te doen zolang de partij binnen de voorwaarden van het beleid opereert. Als er aangifte wordt gedaan bij de politie, zijn het bestaan van en de naleving van een CVD-beleid in Nederland een relevante omstandigheid, waarmee de officier van justitie rekening houdt bij de beslissing of een strafrechtelijk onderzoek wordt ingesteld en/of tot vervolging wordt overgegaan. In beginsel zullen de politie en het Openbaar Ministerie (OM) geen strafrechtelijk onderzoek instellen als de melder zich duidelijk heeft gehouden aan de regels van het CVD-beleid van de betreffende organisatie. Het Openbaar Ministerie en de politie kunnen de zaak echter verder onderzoeken als er aanwijzingen zijn dat de melder bewust of onbewust te ver is gegaan in zijn handelen en/of zich niet heeft gehouden aan het CVD-beleid. Op basis van dit onderzoek kan het Openbaar Ministerie beslissen of tot vervolging wordt overgegaan.

Het Openbaar Ministerie heeft een beleidsbrief gepubliceerd waarin het specifieker ingaat op aspecten die van belang zijn voor het nemen van een beslissing om te onderzoeken en/of te vervolgen. Bijvoorbeeld of het handelen van de melder een zwaarwegend maatschappelijk belang diende, of de partij disproportioneel heeft gehandeld en of de partij wellicht op een andere, minder ingrijpende manier had kunnen handelen. De betreffende beleidsbrief werkt deze aspecten verder uit.2 Relevante jurisprudentie sinds 20133 laat zien dat deze aspecten ook door de rechter worden meegewogen als een organisatie geen CVD-beleid heeft.

4. Bouwstenen van het Coordinated Vulnerability Disclosure-proces

Hieronder volgen bouwstenen voor de vormgeving van het CVD-proces voor de organisatie, de melder en het NCSC.

De organisatie

Het bevorderen van CVD begint bij een organisatie die IT-systemen bezit of een IT-product/-systeem levert. Deze organisatie is immers in de eerste plaats verantwoordelijk voor de informatiebeveiliging van deze IT-systemen. Om effectief met verschillende partijen samen te werken bij het oplossen van kwetsbaarheden kan een organisatie besluiten een CVD-beleid op te stellen en te publiceren. Door een eigen CVD-beleid op te stellen kan de organisatie laten zien hoe zij met meldingen van kwetsbaarheden omgaat. Zo kan een organisatie ook vormgeven aan de manier waarop zij meldingen wil ontvangen. Een dergelijk proces kan als volgt worden georganiseerd:

De organisatie stelt een CVD-beleid vast en publiceert dit.
In dit beleid geeft de organisatie heldere regels voor het onderzoek dat melders kunnen verrichten, zoals welke technieken zijn toegestaan en welke systemen wel of niet binnen de scope vallen.
De organisatie maakt het de melder gemakkelijk een melding te doen. Een optie is het gebruik van een gestandaardiseerde meldmethode, bijvoorbeeld een specifiek e-mailadres of online formulier. Daarnaast kan de organisatie besluiten of zij anonieme meldingen accepteert.
De organisatie reserveert interne capaciteit en richt een proces in om adequaat op meldingen te reageren. Het is raadzaam een proces in te richten waarmee gevonden kwetsbaarheden adequaat kunnen worden verholpen. De herkomst van de melding is hierbij niet relevant. De kwetsbaarheid kan bijvoorbeeld ook door een interne medewerker of tijdens een test zijn geconstateerd.
Uit de praktijk blijkt dat er na de eerste publicatie van een CVD-beleid meer belangstelling zal zijn om kwetsbaarheden bij de organisatie te melden. De organisatie moet hiermee rekening houden bij het plannen van (extra) capaciteit.
Wanneer de organisatie de kwetsbaarheidsmelding ontvangt, zorgt zij ervoor dat de melding zo snel mogelijk de afdeling bereikt die het best in staat is de melding te beoordelen en af te handelen.
De organisatie stuurt de melder een ontvangstbevestiging, bij voorkeur digitaal ondertekend om de prioriteit te benadrukken.
Vervolgens treedt de organisatie in overleg met de melder om de termijn vast te stellen waarbinnen eventuele publicatie plaatsvindt. Deze termijn hangt sterk af van de aard van de kwetsbaarheid en het type systeem.
Als richtlijn wordt voor softwarekwetsbaarheden vaak een termijn van circa 60 dagen gehanteerd. Het verhelpen van kwetsbaarheden in hardware is moeilijker te realiseren; hiervoor kan een richtlijn van 6 maanden worden gebruikt.
Het kan wenselijk zijn deze termijn in onderling overleg te verlengen of te verkorten, afhankelijk van hoeveel of hoe weinig IT-systemen afhankelijk zijn van het systeem waarvoor de kwetsbaarheid is gemeld of als de kwetsbaarheid gemakkelijker of moeilijker op te lossen is.
Een kwetsbaarheid kan moeilijk of onmogelijk op te lossen blijken, of het oplossen kan hoge kosten met zich meebrengen. In dergelijke gevallen kan de organisatie, eventueel in overleg met de melder, afspreken de kwetsbaarheid als geaccepteerd risico te beschouwen en deze niet te verhelpen.
De organisatie houdt de melder op de hoogte van de ontwikkeling van het proces.
Daarnaast kan de organisatie aanbieden dat de melder publiekelijk wordt erkend voor het openbaar maken van de kwetsbaarheid. Ook is het mogelijk te kiezen voor een gezamenlijke openbaarmaking naar buiten toe.
Het verdient de voorkeur de melder te belonen voor het melden van kwetsbaarheden in systemen als de partij zich aan de regels van het CVD-beleid heeft gehouden. De hoogte van de beloning kan afhangen van de kwaliteit van de melding. Het belonen van de melder kan een betere relatie tussen die partij en de organisatie creëren en de bereidheid vergroten om nieuwe meldingen te doen conform het CVD-beleid.
In overleg met de melder kan de organisatie afspreken de bredere IT-gemeenschap over de kwetsbaarheid te informeren als aannemelijk is dat de kwetsbaarheid ook elders aanwezig is.
In haar CVD-beleid kan de organisatie zich committeren aan het uitgangspunt dat zij geen aangifte doet bij de politie als de melder de in het beleid omschreven regels heeft nageleefd.

De melder

De melder is de sleutel tot een succesvol CVD-proces. Deze partij heeft op de een of andere manier een kwetsbaarheid kunnen ontdekken en wil bijdragen aan de beveiliging van IT-systemen door deze kwetsbaarheid door een organisatie te laten verhelpen en openbaar te laten maken. Daarmee erkennen melders dat zij een belangrijke bijdrage aan de maatschappij kunnen leveren door kwetsbaarheden op gecoördineerde wijze aan het licht te brengen. Om te komen tot een succesvol CVD-proces zijn de volgende bouwstenen voor de melder van belang:

De melder is verantwoordelijk voor zijn eigen handelen en moet bij het onderzoeken en melden van kwetsbaarheden zowel het proportionaliteits- als het subsidiariteitsbeginsel in acht nemen. Met andere woorden: de melder moet niet meer doen dan nodig is om de kwetsbaarheid aan te tonen en moet de kwetsbaarheid altijd eerst bij de eigenaar van het systeem/de informatie melden.
De melder moet het probleem zo snel mogelijk melden om te voorkomen dat kwaadwillende partijen de kwetsbaarheid ontdekken en misbruiken.
De melder moet de melding op vertrouwelijke wijze bij de organisatie doen om te voorkomen dat anderen toegang krijgen tot deze informatie.
De melder mag het indienen van een melding of het verder verstrekken van informatie niet afhankelijk maken van de beloning. Het initiatief voor het toekennen van een beloning bij een melding ligt bij de ontvangende organisatie, die in haar gepubliceerde beleid randvoorwaarden kan schetsen.
De melder en de organisatie maken duidelijke afspraken over de openbaarmaking van de kwetsbaarheid. Als meer dan één organisatie betrokken is, is het uitgangspunt dat de kwetsbaarheden alleen mogen worden gepubliceerd als alle organisaties hiermee instemmen. Het is raadzaam deze afspraken in een vroeg stadium te maken.
De melder en de betrokken organisatie kunnen afspraken maken over het informeren van de bredere IT-gemeenschap. Dit kan bijvoorbeeld gelden voor een kwetsbaarheid (al dan niet reeds bekend) waarvan bekend is dat zij op meer dan één plek aanwezig is. Het Nationaal Cyber Security Centrum (NCSC) kan bij dit proces worden betrokken om de doelgroepen van de centrale overheid en vitale infrastructuur te ondersteunen of om meerdere partijen te informeren bij een kwetsbaarheid die veel systemen raakt.

Het NCSC

Het CVD-proces is in de eerste plaats een zaak van organisaties en melders. Niettemin zal het NCSC het gebruik van een CVD-proces stimuleren. In overleg met de melder en de organisatie kan het NCSC ook worden betrokken bij het delen van informatie over de kwetsbaarheid met zijn doelgroep (constituency) om verdere beveiligingsrisico's als gevolg van de kwetsbaarheid te beperken.

Als de melding van de kwetsbaarheid niet verloopt zoals de melder verwacht, of als hij de kwetsbaarheid liever niet rechtstreeks bij de organisatie meldt, kan hij contact opnemen met het NCSC.4 In dat geval kan het NCSC waar nodig als intermediair optreden.

De eigenaar van het IT-systeem is te allen tijde verantwoordelijk voor de beveiliging van het systeem. Het NCSC kan de eigenaar van het systeem niet dwingen een kwetsbaarheid te verhelpen, noch kan het garanderen dat de eigenaar geen juridische stappen tegen de melder onderneemt. Als gevolg hiervan moet de melder bij het zoeken naar en melden van een kwetsbaarheid rekening houden met de eerdergenoemde bouwstenen voor organisaties en melders. Een melder mag van het NCSC verwachten dat het zijn uiterste best doet om de kwetsbaarheid te laten verhelpen en de melding vertrouwelijk te behandelen. Het NCSC deelt geen persoonsgegevens, tenzij het daartoe wettelijk verplicht is.

Indien mogelijk zal het NCSC de verkregen informatie over kwetsbaarheden in overleg met organisaties en melders gebruiken om de kennis verder te delen met de IT-gemeenschap. Dit kan bijvoorbeeld door een deel van de informatie te publiceren, een factsheet of whitepaper te schrijven of bij te werken, of door specifieke organisaties te informeren.

Afhankelijk van de betreffende organisatie en de aard van de vastgestelde kwetsbaarheid zal het NCSC zich inspannen om de kwetsbaarheid onder de aandacht van de betreffende organisatie te brengen. De eigenaar van het betreffende IT-systeem blijft echter verantwoordelijk voor het systeem.
Waar mogelijk en nodig zal het NCSC de betreffende organisatie adviseren over hoe de kwetsbaarheid kan worden verholpen.
Het NCSC zal meldingen vertrouwelijk behandelen en zal de persoonsgegevens van de melders of de ontvangende organisatie niet zonder toestemming delen, tenzij dit voortvloeit uit een wettelijke verplichting.
Waar mogelijk zal het NCSC de melder op de hoogte houden van de ontwikkelingen in het contact met de organisatie en het verhelpen van de kwetsbaarheid.
In gevallen waarin een melding bij het NCSC wordt gedaan, zal het NCSC proberen de melder of potentiële melder en de organisatie met elkaar in contact te brengen.

Als een melder bijvoorbeeld een kwetsbaarheid in een softwareproduct heeft gevonden of een kwetsbaarheid die veel verschillende systemen raakt, kan de melder het NCSC vragen het verhelpen en openbaar maken van de kwetsbaarheid te coördineren.

Samen met de melder, partners, ontwikkelaars en/of softwareontwikkelaars en andere beveiligingsteams zal het NCSC helpen de kwetsbaarheid te analyseren, te verhelpen of te laten verhelpen, te coördineren en op gecontroleerde wijze openbaar te maken. Dit hele proces vindt plaats in nauw overleg met de melder die de kwetsbaarheid heeft gevonden.

Een CVD-beleid probeert een evenwicht te vinden tussen het belang van het zo snel mogelijk openbaar maken van kwetsbaarheden, zodat maatregelen kunnen worden genomen, en het belang dat ontwikkelaars en leveranciers voldoende tijd hebben om de kwetsbaarheid te verhelpen. Voor dit proces hanteert het NCSC een standaardtermijn van 60 dagen tussen de melding en de openbaarmaking. Er kunnen echter omstandigheden zijn waarin kan worden besloten deze termijn te verlengen of te verkorten.

Het NCSC zal alleen na overleg met de melder informatie over de kwetsbaarheid met derden delen. Het is in deze context essentieel dat het NCSC samenwerkt en dus informatie over de kwetsbaarheid deelt met belanghebbenden om een kwetsbaarheid op gecoördineerde wijze openbaar te maken. Het NCSC zorgt er daarbij voor dat de juiste partijen aan het verhelpen van de kwetsbaarheid kunnen werken, helpt eventuele schade of verlies te beperken en helpt aandacht te vestigen op de gevonden kwetsbaarheid.

5. Communicatie en het openbaarmakingsproces

Vijf jaar praktijk heeft aangetoond dat heldere communicatie de hoeksteen is van een succesvol CVD-proces. Er zijn aandachtspunten voor, tijdens en na het CVD-proces.

Communicatie over het openbaarmakingsproces

Het publiceren van een CVD-beleid is een eerste stap in de communicatie over het proces. Door een beleid openbaar te publiceren worden melders uitgenodigd de organisatie op de hoogte te stellen van gevonden kwetsbaarheden.

Enerzijds kan de organisatie voorwaarden opstellen voor het onderzoek dat wordt gedaan om kwetsbaarheden te ontdekken en voor de manier waarop contact wordt gezocht. Anderzijds kan de organisatie zich committeren aan het uitgangspunt dat zij geen aangifte doet bij de politie als de regels van het beleid worden nageleefd. Deze aanpak beschermt de positie van de melder.

Een CVD-beleid kan later worden gewijzigd of bijgewerkt. Het is belangrijk hierover duidelijk te zijn. Melders hebben er belang bij te weten wat er is gewijzigd en wanneer. Wijzigingen kunnen bijvoorbeeld worden verduidelijkt door aan het begin van het CVD-beleid een publicatiedatum op te nemen, door onder het CVD-beleid een samenvatting van de wijzigingen te beschrijven of door een archief met oude versies van het CVD-beleid bij te houden.

Het CVD-beleid kan richtlijnen geven over hoe tijdens het proces wordt gecommuniceerd, bijvoorbeeld door regelmatige updates per e-mail of via een webportaal aan te geven. Daarnaast kan het CVD-beleid beschrijven hoe een melder kan worden erkend door vermelding bij een update, opname in een hall of fame of een andere vorm van beloning.

Communicatie tijdens het openbaarmakingsproces

Een melder start een CVD-proces door een bericht naar de organisatie te sturen. In dit bericht geeft de melder een duidelijke beschrijving van de ontdekte kwetsbaarheid. Belangrijke elementen zijn het IP-adres of de URL van het getroffen systeem en de stappen die nodig zijn om de kwetsbaarheid te reproduceren.

Het is belangrijk dat de organisatie duidelijk communiceert met de melder, zodat de verwachtingen over het proces helder zijn.

Dat kan zij al doen door een ontvangstbevestiging (geautomatiseerd of anderszins) te sturen met een indicatie van de termijn waarbinnen een eerste of vervolgreactie inhoudelijk wordt verstuurd.

Het is ook mogelijk deze termijn open te laten en na beoordeling van de inhoud van de melding een eerste indicatie van de termijn te geven. Het is raadzaam zo snel mogelijk duidelijk te zijn over de termijn waarbinnen een oplossing kan worden bereikt. Op die manier weet de melder wanneer een uitkomst kan worden verwacht.

Het kan in sommige gevallen voorkomen dat een publicatiedatum voor de melder al vaststaat, bijvoorbeeld vanwege een presentatie op een conferentie of omdat de melder een eigen termijn heeft gesteld. In dat geval is het nog steeds belangrijk dat de melder deze tijdlijn duidelijk communiceert, zo vroeg mogelijk vermeldt en duidelijk is over de mogelijkheid/onmogelijkheid om deze datum uit te stellen.

Een melder is vaak iemand van buiten de organisatie, die geen inzicht heeft in de interne processen die door een melding in gang kunnen worden gezet. Organisaties kunnen de melder via regelmatige updates op de hoogte houden van de ontwikkelingen in het proces. Zo wordt voor een melder duidelijk dat er aan een oplossing wordt gewerkt. Waar nodig kan een organisatie tijdens het proces om opheldering vragen of verzoeken een oplossing te testen.

Als een organisatie de oorspronkelijke oplossingstermijn niet kan halen, kan met de melder worden overlegd deze uit te stellen. Regelmatige communicatie kan deze situatie in een eerder stadium voor een melder duidelijk maken.

De hoofdbedoeling van CVD is de kwetsbaarheid te beperken, maar ‘full disclosure’ van de kwetsbaarheid is voor een melder altijd een optie als hij het gevoel heeft dat het proces te lang duurt. Dit middel is de spreekwoordelijke ‘grote stok’ waarover de melder beschikt. Uiteraard moet deze situatie zoveel mogelijk worden voorkomen.

Communicatie na het openbaarmakingsproces

Er zijn veel mogelijke redenen waarom een melder naar kwetsbaarheden zoekt en deze via het CVD-proces bij organisaties meldt. Voor een groot aantal melders is (publieke) erkenning een belangrijke drijfveer.

Melders krijgen publieke erkenning via een bedankje in een update of opname in een hall of fame. De behoefte aan publieke erkenning geldt echter niet voor alle melders; sommigen willen juist niet bij het publiek bekend zijn. Bij communicatie door de organisatie is het daarom raadzaam toestemming van de melder te verkrijgen om hem te noemen.

Daarnaast kunnen melders er ook voor kiezen na afronding van het CVD-proces over een melding te communiceren. Zo kan de melder het ontdekkingsproces beschrijven of anderen waarschuwen voor de kwetsbaarheid. Een melder kan besluiten de publicatie ter informatie aan een organisatie voor te leggen. Aangezien het CVD-proces in beginsel is afgerond na het verwijderen van de kwetsbaarheid, staat het de melder daarna vrij hierover te communiceren, tenzij in het beleid of tijdens het proces aanvullende afspraken zijn gemaakt.

Lijst

Communicatie over het openbaarmakingsproces

Publicatie van het CVD-beleid op de website
Wees duidelijk over beperkingen (zie hoofdstuk 6 voor verschillende benaderingen)
Beperkingen in onderzoeksmethoden
Richtlijnen over communicatie
Richtlijnen over mogelijke beloningen: hall of fame, financiële beloning, t-shirt enzovoort
Wees duidelijk over eventuele updates van het CVD-beleid, inclusief de datum van wijzigingen

Communicatie tijdens het openbaarmakingsproces

Melder neemt contact op met de organisatie over een ontdekte kwetsbaarheid.
Organisatie beheert verwachtingen, zoals de reactietijd voor een eerste technische reactie
Organisatie en melder scheppen duidelijkheid naar elkaar over de verwachte oplossingstermijn
Organisatie geeft regelmatig een (voortgangs)update
Waar nodig bespreken melder en organisatie het contact met andere relevante organisaties

Communicatie na het openbaarmakingsproces

Bespreek (publieke) erkenning en beloning van de melder
Regel hoe informatie over de kwetsbaarheid wordt gepubliceerd, zoals de onderzoeksfase of het informeren van andere organisaties

6. Voorbeelden van beleid voor Coordinated Vulnerability Disclosure

Er zijn veel verschillende vormen van beleidsteksten over Coordinated Vulnerability Disclosure. Omdat het gepubliceerde CVD-beleid fungeert als wegwijzer voor potentiële melders, moet u ervoor zorgen dat de vorm van dit beleid aansluit bij het beleid en de strategie van de organisatie.

De volgende elementen zijn belangrijk in een CVD-beleid:

contactmethode voor veilige communicatie;
randvoorwaarden voor melders;
duidelijke verwachtingen over de afhandeling van een melding;
methode voor het belonen van een melding;
versienummer en datum van de laatste herziening.

Hieronder volgen drie voorbeelden: Veel organisaties in Nederland hebben geput uit het basisvoorbeeld van ResponsibleDisclosure.nl. Andere organisaties nemen aanvullende randvoorwaarden op, zie het beleid van Fox IT. Weer andere organisaties hanteren een vrijer format om aan te sluiten bij hun doelgroep, zie het beleid van Bits of Freedom.

Bij Acme Corporation beschouwen we de beveiliging van onze systemen als topprioriteit. Maar hoeveel moeite we ook in systeembeveiliging steken, er kunnen nog steeds kwetsbaarheden aanwezig zijn.

Als je een kwetsbaarheid ontdekt, willen we dat graag weten zodat we maatregelen kunnen nemen om deze zo snel mogelijk aan te pakken.

We willen je vragen ons te helpen onze klanten en onze systemen beter te beschermen.

Doe het volgende:

Mail je bevindingen naar cert@example.com. Versleutel je bevindingen met onze PGP-sleutel om te voorkomen dat deze kritieke informatie in verkeerde handen valt,
Maak geen misbruik van de kwetsbaarheid of het probleem dat je hebt ontdekt, bijvoorbeeld door meer gegevens te downloaden dan nodig is om de kwetsbaarheid aan te tonen of door gegevens van anderen te verwijderen of te wijzigen,
Maak het probleem niet bekend aan anderen totdat het is opgelost,
Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of applicaties van derden, en
Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaan het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, maar complexe kwetsbaarheden kunnen nadere uitleg vereisen.

Wat wij beloven:

We reageren binnen 3 werkdagen op je melding met onze beoordeling van de melding en een verwachte oplossingsdatum,
Als je de bovenstaande instructies hebt gevolgd, nemen we geen juridische stappen tegen je met betrekking tot de melding,
We behandelen je melding strikt vertrouwelijk en geven je persoonlijke gegevens niet zonder jouw toestemming door aan derden,
We houden je op de hoogte van de voortgang bij het oplossen van het probleem,
In de openbare informatie over het gemelde probleem noemen we jouw naam als de ontdekker van het probleem (tenzij je anders wenst), en
Als blijk van onze dankbaarheid voor je hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat ons nog niet bekend was. Het bedrag van de beloning wordt bepaald op basis van de ernst van het lek en de kwaliteit van de melding. De minimale beloning is een cadeaubon van €50.

We streven ernaar alle problemen zo snel mogelijk op te lossen en we willen graag een actieve rol spelen in de uiteindelijke publicatie over het probleem nadat het is opgelost.

Voorbeeld: Fox-IT

Bij Fox-IT beschouwen we de beveiliging van onze systemen, ons netwerk en onze producten als van het grootste belang. Ondanks de grote zorg die we aan beveiliging besteden, kunnen er nog steeds zwakke plekken overblijven. Als je zo'n zwakke plek hebt gevonden, horen we het graag zo snel mogelijk, zodat we zo snel mogelijk passende maatregelen kunnen nemen.

Zwakke plekken kunnen op twee manieren worden ontdekt: je kunt per ongeluk iets tegenkomen tijdens het normale gebruik van een digitale omgeving, of je kunt er uitdrukkelijk je best voor doen ze te vinden.

Ons beleid voor verantwoorde melding is geen uitnodiging om ons bedrijfsnetwerk actief te scannen om zwakke plekken te ontdekken. We bewaken ons bedrijfsnetwerk zelf. Dit betekent dat er een grote kans is dat een scan wordt gedetecteerd en dat ons Security Operation Center (SOC) een onderzoek instelt, wat kan leiden tot onnodige kosten. Je wordt echter uitgenodigd om actief te zoeken naar kwetsbaarheden in onze producten in een offline niet-productieomgeving en je bevindingen aan ons te melden. Onze verantwoordelijkheid jegens onze klanten betekent dat het niet onze bedoeling is om hackpogingen op hun infrastructuur aan te moedigen; we horen echter graag zo snel mogelijk van je als er kwetsbaarheden worden gevonden, zodat we deze adequaat kunnen oplossen.

We werken graag met je samen om onze klanten en onze systemen beter te kunnen beschermen.

We vragen je:

Mail je bevindingen zo snel mogelijk naar security-alert@fox-it.com.
Maak geen misbruik van de kwetsbaarheid; bijvoorbeeld door gegevens te downloaden, te bewerken of te verwijderen. We nemen je melding altijd serieus en onderzoeken elk vermoeden van een kwetsbaarheid, ook zonder bewijs.
Deel het probleem niet met anderen totdat het is opgelost.
Gebruik geen aanvallen op fysieke beveiliging, social engineering of hacktools, zoals kwetsbaarheidsscanners.
Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaan het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, hoewel voor complexere kwetsbaarheden meer informatie nodig kan zijn.

Wat wij beloven:

We reageren binnen drie werkdagen op je melding met onze beoordeling van de melding en een verwachte oplossingsdatum.
We behandelen je melding vertrouwelijk en delen je persoonlijke gegevens niet zonder jouw toestemming met derden. Een uitzondering hierop zijn de politie en de rechterlijke macht bij vervolging of als de informatie wordt gevorderd.
We houden je op de hoogte van de voortgang bij de oplossing van het probleem.
In de communicatie over het gemelde probleem noemen we, als je dat wilt, jouw naam als de partij die het probleem heeft ontdekt.
Het is helaas niet mogelijk om vooraf te garanderen dat er geen juridische stappen tegen je worden ondernomen. We hopen elke situatie afzonderlijk te kunnen beoordelen. We achten ons moreel verplicht je aan te geven als we vermoeden dat de zwakke plek of gegevens worden misbruikt, of dat je kennis van de zwakke plek met anderen hebt gedeeld. Je kunt erop vertrouwen dat een toevallige ontdekking in onze online omgeving niet tot vervolging leidt.
Als dank voor je hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat ons niet bekend is. We bepalen de waarde van de beloning op basis van de ernst van de inbreuk en de kwaliteit van de melding.

We streven ernaar alle problemen zo snel mogelijk op te lossen, alle betrokken partijen op de hoogte te houden en we willen graag betrokken zijn bij elke publicatie over het probleem zodra het is opgelost.

Voorbeeld: Bits of Freedom

Onze afhankelijkheid van digitale infrastructuur neemt voortdurend toe. Dit geldt voor de samenleving als geheel, maar ook voor onszelf. Het is daarom onze mening dat overheden en organisaties (inclusief de onze) zich sterk moeten inzetten voor het beveiligen van onze digitale infrastructuur. We beseffen dat er, ondanks onze beste bedoelingen en grootste zorg, kwetsbaarheden in onze systemen kunnen bestaan. Als je een van deze zwakke plekken tegenkomt, horen we het graag van je zodat we het probleem kunnen oplossen.

Wat we van je verwachten

Houd bij het onderzoeken van een van onze systemen rekening met de proportionaliteit van de aanval. Het is niet nodig aan te tonen dat onze website onbereikbaar kan worden als je er de grootste DDoS-aanval uit de geschiedenis van het internet op loslaat. Dat weten we. We begrijpen ook dat als je met een bulldozer ons kantoor binnenrijdt, je waarschijnlijk een van onze laptops kunt wegkapen.
Dit proportionaliteitsbeginsel is ook van belang bij het aantonen van de kwetsbaarheid zelf. Je moet niet meer gegevens inzien of wijzigen dan strikt noodzakelijk is om de juistheid van je bevinding te bevestigen. Als je bijvoorbeeld onze homepage kunt wijzigen, voeg er dan slechts één niet-controversieel woord aan toe in plaats van de hele pagina over te nemen. Als je toegang tot een database kunt krijgen, volstaat het om ons een lijst van de tabellen daarin te laten zien, of misschien het eerste record in een van die tabellen.
Een kwetsbaarheid in een van onze systemen moet zo snel mogelijk worden gemeld door een e-mail te sturen naar security@bof.nl. Bij voorkeur versleutel je je bericht met OpenPGP. Geef voldoende informatie zodat we het probleem kunnen reproduceren en onderzoeken.
De openbare OpenPGP-sleutel voor security@bof.nl
Je deelt je kennis van de kwetsbaarheid niet met andere partijen zolang we het probleem niet hebben aangepakt en we nog binnen een redelijk tijdsbestek zitten sinds je het probleem hebt gemeld.
Je verwijdert alle vertrouwelijke informatie die je tijdens je onderzoek hebt verkregen zodra we de kwetsbaarheid hebben opgelost.

Wat je van ons kunt verwachten

We reageren binnen drie dagen uitgebreid op je melding. We nemen een schatting op van de tijd die we nodig hebben om het probleem aan te pakken. Uiteraard houden we je regelmatig op de hoogte van onze voortgang.
We lossen de kwetsbaarheid zo snel mogelijk op. Ook hier is proportionaliteit belangrijk: de tijd die nodig is om een kwetsbaarheid te verhelpen hangt af van verschillende factoren, waaronder de ernst en de complexiteit van het betreffende probleem.
Wanneer je de hier uiteengezette richtlijnen volgt, nemen we geen juridische stappen tegen je met betrekking tot je melding.
Het is belangrijk voor ons om je te erkennen voor wat je hebt gedaan - als je dat wilt. We noemen je naam in een publicatie over de kwetsbaarheid alleen als je daarmee instemt.
Als dank voor je hulp bij het beter beschermen van onze systemen willen we elke melding van een kwetsbaarheid die ons op dat moment onbekend was belonen. De beloning hangt af van de ernst van de kwetsbaarheid en de kwaliteit van de melding.
Als je een kwetsbaarheid vindt in software van derden die wij gebruiken en die kwetsbaarheid valt onder een bugbountyprogramma, proberen wij die bounty niet op te eisen; dat moet jij doen.