NCSC.nl

1. Wprowadzenie

Społeczeństwo coraz bardziej się cyfryzuje. Obecnie niemal wszystkie procesy obejmują w pewnym momencie użycie komputerów, od telefonów komórkowych po specjalistyczne oprogramowanie. Choć ten rozwój stwarza wiele nowych możliwości, podatności w systemach informatycznych mogą mieć poważne skutki. W rezultacie wiedza o tych podatnościach powinna być skutecznie wykorzystywana.

Szereg organizacji zaczęło publikować polityki dotyczące zgłaszania podatności na początku 2013 roku. Po konsultacjach z tymi stronami Krajowe Centrum Cyberbezpieczeństwa (National Cyber Security Centre, NCSC) podsumowało rozwój wydarzeń w formie „Wytycznych dla osiągnięcia praktyki Responsible Disclosure" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Wytyczne"). Firmy wskazują za pomocą tej polityki, że są otwarte na przyjmowanie zewnętrznych zgłoszeń podatności, opisują swoje warunki wstępne i składają obietnice. Ten proces stworzył jasność i w miarę bezpieczne środowisko dla zgłaszających do badania i zgłaszania podatności bez bezpośredniego popełniania przestępstwa. Na wysokim szczeblu spotkaniu UE w sprawie cyberbezpieczeństwa w 2016 roku 29 organizacji potwierdziło znaczenie polityki postępowania z podatnościami, podpisując Manifest skoordynowanego ujawniania podatności (Coordinated Vulnerability Disclosure Manifesto)1 zainicjowany przez CIO Platform Netherlands i Rabobank we współpracy z NCSC.

Skoordynowane ujawnianie podatności (Coordinated Vulnerability Disclosure, CVD) okazało się mieć wielkie znaczenie dla podmiotów publicznych i prywatnych. Są one w dużym stopniu zależne od niezakłóconego funkcjonowania systemów informacyjnych w codziennej praktyce. Zgłoszenia podatności w ich systemach pomogły w ostatnich latach poprawić bezpieczeństwo i ciągłość systemów, z jednej strony przez usuwanie podatności, a z drugiej przez przyczynianie się do ogólnej świadomości holenderskich firm w zakresie bezpieczeństwa IT.

W ostatnich latach stało się jasne, że zgłaszający są gotowi działać w ramach warunków polityki CVD sporządzonej przez organizacje. Zgłoszenia są dokonywane bezpośrednio lub pośrednio do organizacji przez zgłaszających. Praktyka odpowiedzialnego ujawniania wykazała, że zgłaszający w dobrej wierze i podatne organizacje zdołali współpracować, wykonując w ten sposób kolejny krok w zwiększaniu bezpieczeństwa sieci i systemów informacyjnych.

W tej rewizji ponownie rozmawialiśmy z szeroką i zróżnicowaną grupą zgłaszających, podmiotami prywatnymi i publicznymi, a także z Prokuraturą i Policją Krajową. Rozmowy te potwierdziły obecną praktykę i doprowadziły do uzupełnień i usprawnień. Najważniejszym nowym punktem uwagi jest komunikacja między zgłaszającym podatność a organizacją, a także z innymi stronami po usunięciu podatności.

W kolejnych rozdziałach omówiono definicję CVD, elementy składowe polityki CVD oraz proces komunikacji.

Na marginesie: poprzednie Wytyczne używały terminu „responsible disclosure", który był wówczas powszechnym określeniem tej praktyki. Tymczasem stało się jasne, że termin ten kładzie zbyt duży nacisk na odpowiedzialność strony zgłaszającej, podczas gdy podstawową zasadą jest to, że strona zgłaszająca i potencjalnie podatna organizacja powinny być równorzędnymi partnerami w dialogu. Ten sposób myślenia lepiej oddaje obecnie powszechnie używany termin „Coordinated Vulnerability Disclosure" (CVD), który jest także nazwą używaną w normach ISO 29147 i 30111 dotyczących tego procesu.

2. Skoordynowana podatność

W ciągu ostatnich 30 lat stosowano różne metody podnoszenia świadomości o podatnościach w systemach IT. Przykłady obejmują:

• „Full Disclosure", całkowite upublicznienie podatności;

• „Non-disclosure", sprzedaż lub samodzielne wykorzystanie podatności;

• „Coordinated Vulnerability Disclosure" (CVD), skoordynowane ujawnienie podatności.

Ta ostatnia praktyka jest wyraźnie preferowana.

Społeczność IT wykazała ogromną gotowość do dzielenia się wiedzą i doświadczeniem. Poszukiwanie współpracy z tą społecznością może zatem pomóc w poprawie ogólnego bezpieczeństwa systemów.

Cel skoordynowanego ujawniania podatności

Celem CVD jest przyczynianie się do bezpieczeństwa systemów IT poprzez dzielenie się wiedzą o podatnościach. W CVD wiedza jest udostępniana jednej lub kilku potencjalnie podatnym organizacjom w celu wypracowania wspólnego rozwiązania znalezionej podatności we współpracy ze stroną zgłaszającą. Ważne jest, aby dotknięte organizacje miały wystarczająco dużo czasu na usunięcie wszelkich podatności lub zabezpieczenie systemów w celu jak największego ograniczenia lub zapobieżenia stratom lub szkodom. Kamieniem węgielnym procesu jest ujawnienie wiedzy o podatnościach po ich usunięciu.

W CVD kluczowe jest, aby wszystkie strony przestrzegały ustaleń dotyczących sposobu zgłaszania podatności i postępowania z nią. Pomaga, jeśli organizacja publikuje z wyprzedzeniem warunki wstępne, takie jak to, które systemy są objęte zakresem i jakiego rodzaju badania mogą być prowadzone. Ważną zasadą tych warunków wstępnych jest to, że organizacja co do zasady nie zgłosi strony zgłaszającej ani nie podejmie innych kroków prawnych, jeśli badanie i zgłoszenie zostaną przeprowadzone w ramach ustalonych warunków. Niniejsze Wytyczne dostarczają organizacjom wskazówek w opracowywaniu własnej polityki, aby urzeczywistnić zasady CVD.

Jak wskazuje nazwa, w CVD centralne znaczenie ma to, że organizacja i strona zgłaszająca koordynują się ze sobą. W tym zakresie powinno być jak najmniej ogniw pośrednich między osobą zgłaszającą podatność a osobą w organizacji odpowiedzialną za rozwiązanie problemu.

Może być ważne poinformowanie kilku stron jednocześnie, jeśli podatność dotyka wielu systemów. W takim przypadku NCSC lub inne strony w społeczności bezpieczeństwa mogą wspierać proces CVD, pełniąc rolę koordynującą.

3. Obszary odpowiedzialności

Celem prowadzenia polityki CVD jest to, aby strony zgłaszające i organizacja współpracowały w celu ograniczenia podatności w systemach IT. Wdrożenie tej polityki należy postrzegać jako uzupełnienie istniejących środków dotyczących bezpieczeństwa informacji. Poszczególni aktorzy mają każdy własną rolę i odpowiedzialność. Są one wyjaśnione bardziej szczegółowo poniżej.

Organizacja będąca właścicielem/zarządzająca systemem

Organizacja będąca właścicielem/zarządzająca lub dostarczająca system jest przede wszystkim odpowiedzialna za bezpieczeństwo tego systemu. Innymi słowy, organizacja jest również odpowiedzialna za podjęcie działań w związku ze zgłoszeniem podatności.

Organizacja może zdecydować się opracować własną politykę CVD z wykorzystaniem tych Wytycznych i przekazywać tę politykę potencjalnym stronom zgłaszającym. Publikując politykę CVD, organizacje wyrażają gotowość do przyjmowania informacji o podatnościach.

Strona ustanawiająca politykę CVD może zobowiązać się do zasady, że nie złoży zawiadomienia na policję, jeśli zasady obowiązujące w ramach polityki są przestrzegane.

Gdy strona zgłaszająca zgłosiła podatność, odpowiedzialność spoczywa na organizacji. Ważne jest, aby zdawać sobie sprawę, że strona zgłaszająca jest często osobą spoza organizacji. Strona ta nie ma bezpośredniego wglądu w procesy wewnętrzne, które mogą zostać uruchomione po zgłoszeniu podatności. W rezultacie strony zgłaszające docenią informowanie o postępach w usuwaniu podatności. Ta bieżąca komunikacja jest również ważna, aby stworzyć właściwe oczekiwania co do dalszych działań i terminowości rozwiązania.

Strona zgłaszająca podatność

W taki czy inny sposób strona zgłaszająca zdołała zidentyfikować podatność i chce przyczynić się do bezpieczeństwa systemów IT, doprowadzając do usunięcia tej podatności i ewentualnego jej upublicznienia na późniejszym etapie. Strona zgłaszająca mogła odkryć coś przez bierną obserwację lub przez aktywne testowanie systemu IT. Oczywiście strona ta odpowiada za własne działania i sposób, w jaki odkryła podatność. Odpowiedzialnością samej strony zgłaszającej jest znajomość warunków określonych przez organizację w jej polityce CVD. Większość rządów i firm opublikowała swoje polityki CVD na swoich stronach internetowych.

Znajdowanie podatności może jednak wiązać się z łamaniem prawa. W kontekście CVD organizacja i strona zgłaszająca mogą uzgodnić, że nie będą składać zawiadomień o jakichkolwiek czynach zabronionych. W tym względzie polityka CVD opublikowana przez organizację jest zasadą przewodnią. Strony mogą również uzgodnić, że nie zostaną podjęte żadne działania cywilne.

Jeśli istnieje podejrzenie, że prawo zostało naruszone przez stronę zgłaszającą, polityka CVD może przede wszystkim pomóc zapobiec zgłoszeniu zgłaszającego organom ścigania. Ta procedura zależy całkowicie od warunków wstępnych polityki, których przestrzegania organizacja wymaga od strony zgłaszającej, oraz od tego, czy zostało to osiągnięte, potencjalnie z odpowiednią obietnicą niewnoszenia zawiadomienia o przestępstwie, o ile strona działa w warunkach polityki. Jeśli zostanie złożone zawiadomienie na policję, istnienie polityki CVD i jej przestrzeganie jest w Holandii istotną okolicznością, którą prokurator weźmie pod uwagę przy podejmowaniu decyzji, czy wszcząć śledztwo i/lub wnieść oskarżenie. Co do zasady policja i Prokuratura (OM) nie wszczną postępowania karnego, jeśli strona zgłaszająca wyraźnie przestrzegała zasad polityki CVD danej organizacji. Jednak Prokuratura i policja mogą dalej badać sprawę, jeśli istnieją przesłanki, że strona zgłaszająca świadomie lub nieświadomie posunęła się za daleko w swoich działaniach i/lub nie przestrzegała polityki CVD. Na podstawie tego badania Prokuratura może zdecydować, czy wnieść oskarżenie.

Prokuratura opublikowała pismo polityczne, w którym omawia bardziej szczegółowo aspekty ważne przy podejmowaniu decyzji o wszczęciu śledztwa i/lub wniesieniu oskarżenia. Na przykład, czy działania strony zgłaszającej służyły ważnemu interesowi publicznemu, czy strona działała nieproporcjonalnie i czy strona mogła być może działać w inny, mniej drastyczny sposób. Odnośne pismo polityczne rozwija te aspekty.2 Istotne orzecznictwo od 20133 pokazuje, że te aspekty są również brane pod uwagę w sądzie, jeśli organizacja nie ma polityki CVD.

4. Elementy składowe procesu skoordynowanego ujawniania podatności

Poniżej przedstawiono elementy składowe kształtowania procesu CVD dla organizacji, zgłaszającego i NCSC.

Organizacja

Promowanie CVD zaczyna się od organizacji będącej właścicielem systemów IT lub dostarczającej produkt/system IT. W końcu to ta organizacja jest przede wszystkim odpowiedzialna za bezpieczeństwo informacji tych systemów IT. Aby skutecznie współpracować z różnymi stronami w celu rozwiązywania podatności, organizacja może zdecydować się opracować i opublikować politykę CVD. Opracowanie własnej polityki CVD pozwala organizacji wykazać, jak postępuje ze zgłoszeniami podatności. W ten sposób organizacja może również ukształtować sposób, w jaki chce otrzymywać powiadomienia. Taki proces może być zorganizowany następująco:

• Organizacja ustanawia i publikuje politykę CVD.

• W tej polityce organizacja podaje jasne zasady badań, które strony zgłaszające mogą prowadzić, takie jak to, które techniki są dozwolone i które systemy są objęte zakresem lub poza nim.

• Organizacja ułatwia stronie zgłaszającej dokonanie zgłoszenia. Jedną z opcji jest użycie ustandaryzowanej metody zgłaszania; na przykład konkretnego adresu e-mail lub formularza online. Ponadto organizacja może zdecydować, czy przyjmować zgłoszenia anonimowe.

• Organizacja rezerwuje wewnętrzne zasoby i ustanawia proces w celu odpowiedniego reagowania na zgłoszenia. Zaleca się ustanowienie procesu, za pomocą którego wszelkie znalezione podatności mogą być odpowiednio usunięte. W tym względzie pochodzenie zgłoszenia nie ma znaczenia. Podatność mogła też zostać zidentyfikowana przez pracownika wewnętrznego lub na przykład podczas testu.

• Praktyczne doświadczenie pokazuje, że po pierwszej publikacji polityki CVD pojawi się większe zainteresowanie zgłaszaniem podatności do organizacji. Organizacja powinna to uwzględnić przy planowaniu (dodatkowych) zasobów.

• Gdy organizacja otrzyma zgłoszenie podatności, zapewnia, że zgłoszenie jak najszybciej trafi do działu najlepiej przystosowanego do jego oceny i obsługi.

• Organizacja wysyła potwierdzenie otrzymania zgłoszenia do strony zgłaszającej, najlepiej podpisane cyfrowo, aby podkreślić priorytet.

• Następnie organizacja przystąpi do konsultacji ze stroną zgłaszającą w celu ustalenia okresu, w którym nastąpi ewentualna publikacja. Okres ten będzie w dużym stopniu zależał od charakteru podatności i rodzaju systemu.

• Jako wytyczną dla podatności oprogramowania często stosuje się okres około 60 dni. Usuwanie podatności w sprzęcie jest trudniejsze; można zastosować wytyczną 6 miesięcy.

• Może być pożądane przedłużenie lub skrócenie tego okresu za obopólnym porozumieniem w zależności od tego, ile lub jak mało systemów IT zależy od systemu, którego dotyczy zgłoszona podatność, lub czy podatność jest łatwiejsza lub trudniejsza do rozwiązania.

• Podatność może okazać się trudna lub niemożliwa do rozwiązania albo mogą wiązać się z tym wysokie koszty. W takich przypadkach organizacja może uzgodnić uznanie podatności za zaakceptowane ryzyko i jej nieusuwanie, ewentualnie w konsultacji ze stroną zgłaszającą.

• Organizacja będzie informować stronę zgłaszającą o przebiegu procesu.

• Ponadto organizacja może zaproponować, aby strona zgłaszająca została publicznie doceniona za opublikowanie podatności. Możliwe jest także wybranie wspólnego ujawnienia światu zewnętrznemu.

• Zaleca się nagradzanie strony zgłaszającej za zgłaszanie podatności w systemach, jeśli strona przestrzegała zasad polityki CVD. Wysokość nagrody może zależeć od jakości zgłoszenia. Nagradzanie strony zgłaszającej może stworzyć lepszą relację między tą stroną a organizacją, a także zwiększyć gotowość ludzi do dokonywania nowych zgłoszeń zgodnie z polityką CVD.

• W konsultacji ze stroną zgłaszającą organizacja może uzgodnić poinformowanie szerszej społeczności IT o podatności, jeśli jest prawdopodobne, że podatność występuje także w innych miejscach.

• W swojej polityce CVD organizacja może zobowiązać się do zasady, że nie złoży zawiadomienia na policję, jeśli strona zgłaszająca przestrzegała zasad określonych w polityce.

Strona zgłaszająca

Strona zgłaszająca jest kluczem do skutecznego procesu CVD. W taki czy inny sposób ta strona zdołała zidentyfikować podatność i chce przyczynić się do bezpieczeństwa systemów IT, doprowadzając do usunięcia tej podatności przez organizację i jej upublicznienia. W ten sposób strony zgłaszające uznają, że mogą wnieść ważny wkład w społeczeństwo, ujawniając podatności w sposób skoordynowany. Aby osiągnąć skuteczny proces CVD, dla strony zgłaszającej ważne są następujące elementy składowe:

• Strona zgłaszająca odpowiada za własne działania i musi przestrzegać zasad proporcjonalności oraz pomocniczości (subsydiarności) podczas badania i zgłaszania podatności. Innymi słowy, strona zgłaszająca nie powinna robić więcej, niż jest konieczne do wykazania podatności, i powinna zawsze zgłaszać podatność najpierw właścicielowi systemu/informacji.

• Strona zgłaszająca musi zgłosić problem jak najszybciej, aby zapobiec odkryciu podatności przez złośliwe strony i jej wykorzystaniu.

• Strona zgłaszająca musi dokonać zgłoszenia do organizacji w sposób poufny, aby zapobiec uzyskaniu dostępu do tych informacji przez innych.

• Strona zgłaszająca nie może uzależniać złożenia zgłoszenia ani dalszego przekazywania informacji od nagrody. Inicjatywa przyznania nagrody w przypadku zgłoszenia leży po stronie organizacji przyjmującej, która może określić warunki wstępne w swojej opublikowanej polityce.

• Strona zgłaszająca i organizacja dokonują jasnych ustaleń w sprawie ujawnienia podatności. Jeśli zaangażowana jest więcej niż jedna organizacja, podstawową zasadą jest to, że podatności mogą być publikowane tylko wtedy, gdy wszystkie organizacje na to się zgodzą. Dokonanie tych ustaleń na wczesnym etapie jest wskazane.

• Strona zgłaszająca i zaangażowana organizacja mogą dokonywać ustaleń w sprawie informowania szerszej społeczności IT. Na przykład sytuacja ta może mieć zastosowanie do podatności (znanej już lub nie), o której wiadomo, że występuje w więcej niż jednym miejscu. Krajowe Centrum Cyberbezpieczeństwa (NCSC) może zostać zaangażowane w ten proces w celu wsparcia grup docelowych administracji centralnej i infrastruktury krytycznej lub poinformowania kilku stron w przypadku podatności, która dotyka wielu systemów.

NCSC

Proces CVD jest przede wszystkim sprawą organizacji i stron zgłaszających. Niemniej NCSC będzie zachęcać do stosowania procesu CVD. W konsultacji ze stroną zgłaszającą i organizacją NCSC może również być zaangażowane w dzielenie się informacjami o podatności ze swoją grupą odbiorców w celu ograniczenia dalszych zagrożeń dla bezpieczeństwa wynikających z podatności.

Jeśli zgłoszenie podatności nie przebiega tak, jak oczekuje strona zgłaszająca, lub jeśli woli ona nie zgłaszać podatności bezpośrednio do organizacji, może skontaktować się z NCSC.4 W takim przypadku NCSC może działać jako pośrednik, jeśli to konieczne.

Właściciel systemu IT jest zawsze odpowiedzialny za bezpieczeństwo systemu. NCSC nie może zmusić właściciela systemu do usunięcia podatności ani zagwarantować, że właściciel nie podejmie kroków prawnych wobec strony zgłaszającej. W rezultacie strona zgłaszająca musi uwzględnić wspomniane wyżej elementy składowe dla organizacji i stron zgłaszających podczas poszukiwania i zgłaszania podatności. Strona zgłaszająca może oczekiwać, że NCSC dołoży wszelkich starań, aby podatność została usunięta, i będzie traktować zgłoszenie poufnie. NCSC nie udostępnia żadnych danych osobowych, chyba że jest do tego prawnie zobowiązane.

Jeśli to możliwe, NCSC wykorzysta informacje uzyskane o podatnościach w konsultacji z organizacjami i stronami zgłaszającymi do dalszego dzielenia się wiedzą ze społecznością IT. Może to zrobić na przykład przez opublikowanie części informacji, napisanie lub aktualizację broszury informacyjnej (fact sheet) lub białej księgi (white paper) albo przez poinformowanie konkretnych organizacji.

• W zależności od danej organizacji i charakteru stwierdzonej podatności NCSC dołoży starań, aby zwrócić uwagę danej organizacji na podatność. Jednak właściciel danego systemu IT pozostaje odpowiedzialny za system.

• Tam, gdzie to możliwe i konieczne, NCSC udzieli danej organizacji porad, jak usunąć podatność.

• NCSC będzie traktować zgłoszenia poufnie i nie będzie udostępniać danych osobowych stron zgłaszających ani organizacji przyjmującej bez zgody, chyba że wynika to z obowiązku ustawowego.

• Tam, gdzie to możliwe, NCSC będzie informować stronę zgłaszającą o postępach w kontakcie z organizacją i usuwaniu podatności.

• W przypadkach, gdy zgłoszenie jest dokonywane do NCSC, NCSC będzie starać się nawiązać kontakt między stroną zgłaszającą lub potencjalną stroną zgłaszającą a organizacją.

Jeśli strona zgłaszająca znalazła podatność w produkcie oprogramowania lub podatność dotykającą wielu różnych systemów, na przykład, strona zgłaszająca może poprosić NCSC o skoordynowanie usuwania i ujawnienia podatności.

Wraz ze stroną zgłaszającą, partnerami, programistami i/lub twórcami oprogramowania oraz innymi zespołami bezpieczeństwa NCSC pomoże analizować, usuwać lub doprowadzić do usunięcia, koordynować i ujawniać podatność w sposób kontrolowany. Cały ten proces odbywa się w ścisłej konsultacji ze stroną zgłaszającą, która znalazła podatność.

Polityka CVD stara się znaleźć równowagę między znaczeniem ujawniania podatności możliwie jak najszybciej, aby można było podjąć środki, a znaczeniem tego, aby zarówno programiści, jak i dostawcy mieli wystarczająco dużo czasu na usunięcie podatności. W tym procesie NCSC stosuje standardowy termin 60 dni między zgłoszeniem a publicznym ujawnieniem. Mogą jednak wystąpić okoliczności, w których może zostać podjęta decyzja o przedłużeniu lub skróceniu tego okresu.

NCSC będzie udostępniać informacje o podatności stronom trzecim wyłącznie po konsultacji ze stroną zgłaszającą. W tym kontekście istotne jest, aby NCSC współpracowało i w związku z tym dzieliło się informacjami o podatności z zainteresowanymi stronami, aby ujawnić podatność w sposób skoordynowany. Czyniąc to, NCSC zapewni, że właściwe strony będą mogły pracować nad usunięciem podatności, pomoże ograniczyć wszelkie straty lub szkody i pomoże zwrócić uwagę na znalezioną podatność.

5. Komunikacja i proces ujawniania

Pięć lat praktyki wykazało, że jasna komunikacja jest kamieniem węgielnym udanego procesu CVD. Są punkty uwagi przed procesem CVD, w jego trakcie i po nim.

Komunikacja o procesie ujawniania

Opublikowanie polityki CVD jest pierwszym krokiem w komunikowaniu o procesie. Publikując politykę publicznie, zaprasza się strony zgłaszające do powiadamiania organizacji o wszelkich znalezionych podatnościach.

Z jednej strony organizacja może ustalić warunki prowadzenia badań mających na celu wykrywanie podatności i sposób nawiązywania kontaktu. Z drugiej strony organizacja może zobowiązać się do zasady, że nie złoży zawiadomienia na policję, jeśli zasady polityki są przestrzegane. To podejście chroni pozycję strony zgłaszającej.

Politykę CVD można później zmienić lub zaktualizować. Ważne jest, aby jasno informować o zmianach w tym zakresie. Strony zgłaszające mają interes w wiedzy, co zostało zmienione i kiedy. Na przykład zmiany można wyjaśnić przez umieszczenie daty publikacji na początku polityki CVD, opisanie podsumowania zmian pod polityką CVD lub prowadzenie archiwum ze starymi wersjami polityki CVD.

Polityka CVD może zawierać wytyczne dotyczące komunikacji w trakcie procesu, na przykład wskazując regularne aktualizacje przez e-mail lub portal internetowy. Ponadto polityka CVD może opisywać, jak można docenić zgłaszającego, wspominając o nim w aktualizacji, wpisując do galerii sław (hall of fame) lub w jakikolwiek inny sposób nagradzania.

Komunikacja w trakcie procesu ujawniania

Strona zgłaszająca rozpoczyna proces CVD, wysyłając wiadomość do organizacji. W tej wiadomości strona zgłaszająca daje jasny opis odkrytej podatności. Ważnymi elementami są adres IP lub adres URL dotkniętego systemu oraz kroki niezbędne do odtworzenia podatności.

Ważne jest, aby organizacja komunikowała się jasno ze stroną zgłaszającą, aby oczekiwania co do procesu były jasne.

Może to zrobić już przez wysłanie potwierdzenia otrzymania (automatycznego lub innego), które zawiera wskazanie terminu, w którym zostanie wysłana pierwsza lub kolejna odpowiedź merytoryczna.

Możliwe jest również pozostawienie tego okresu otwartego i podanie wstępnego wskazania terminu po ocenie treści zgłoszenia. Zaleca się, aby jak najszybciej jasno określić okres, w którym można osiągnąć rozwiązanie. W ten sposób zgłaszający wie, kiedy można spodziewać się wyniku.

W niektórych przypadkach może być tak, że data publikacji jest już znana stronie zgłaszającej; na przykład z powodu prezentacji na konferencji lub dlatego, że strona zgłaszająca ustaliła własny termin. W tym przypadku nadal jest ważne, aby strona zgłaszająca jasno komunikowała ten harmonogram, podała go jak najwcześniej i jasno określiła możliwość/niemożliwość przesunięcia tej daty.

Strona zgłaszająca jest często osobą spoza organizacji, która nie ma wglądu w procesy wewnętrzne, które mogą zostać uruchomione przez zgłoszenie. Organizacje mogą informować stronę zgłaszającą o postępach procesu poprzez regularne aktualizacje. Takie podejście jasno pokazuje stronie zgłaszającej, że trwają prace nad rozwiązaniem. W razie potrzeby organizacja może poprosić o wyjaśnienie lub o przetestowanie rozwiązania w trakcie procesu.

Jeśli organizacja nie jest w stanie dotrzymać pierwotnego terminu rozwiązania, można omówić z zgłaszającym jego przesunięcie. Regularna komunikacja może uświadomić tę sytuację zgłaszającemu na wcześniejszym etapie.

Głównym zamiarem CVD jest złagodzenie podatności, ale „pełne ujawnienie" (full disclosure) podatności jest zawsze opcją dla strony zgłaszającej, jeśli uważa ona, że proces potrwa zbyt długo. Ten środek to przysłowiowy „duży kij" (big stick) dostępny dla strony zgłaszającej. Naturalnie tej sytuacji należy w jak największym stopniu unikać.

Komunikacja po procesie ujawniania

Istnieje wiele możliwych powodów, dla których strona zgłaszająca może szukać podatności i następnie zgłaszać je organizacjom w ramach procesu CVD. Dla dużej liczby stron zgłaszających ważną zachętą jest (publiczne) uznanie.

Strony zgłaszające otrzymują publiczne uznanie poprzez podziękowanie w aktualizacji lub wpis do galerii sław (hall of fame). Jednak potrzeba publicznego uznania nie dotyczy wszystkich stron zgłaszających; niektórzy wręcz nie chcą być znani publicznie. W przypadku komunikacji ze strony organizacji zaleca się zatem uzyskanie zgody strony zgłaszającej na wymienienie jej.

Ponadto strony zgłaszające mogą również zdecydować się komunikować o zgłoszeniu po zakończeniu procesu CVD. Na przykład strona zgłaszająca może opisać proces odkrycia lub ostrzec innych o podatności. Zgłaszający może zdecydować się przedłożyć publikację organizacji w celach informacyjnych. Ponieważ proces CVD co do zasady kończy się po usunięciu podatności, strona zgłaszająca jest następnie wolna w komunikowaniu o niej, chyba że w polityce lub w trakcie procesu poczyniono dodatkowe ustalenia.

Lista

Komunikacja o procesie ujawniania

• Publikacja polityki CVD na stronie internetowej

• Jasność co do ograniczeń (różne podejścia zob. rozdział 6)

• Ograniczenia w metodach badawczych

• Wytyczne dotyczące komunikacji

• Wytyczne dotyczące możliwych nagród: galeria sław (hall of fame), nagroda finansowa, koszulka itd.

• Jasność co do wszelkich aktualizacji polityki CVD, w tym daty zmian

Komunikacja w trakcie procesu ujawniania

• Zgłaszający kontaktuje się z organizacją w sprawie odkrytej podatności.

• Organizacja zarządza oczekiwaniami, takimi jak czas reakcji na pierwszą odpowiedź techniczną

• Organizacja i zgłaszający zapewniają sobie nawzajem jasność co do oczekiwanego okresu rozwiązania

• Organizacja często przekazuje aktualizację (procesu)

• W razie potrzeby zgłaszający i organizacja omawiają kontakt z innymi właściwymi organizacjami

Komunikacja po procesie ujawniania

• Omówienie (publicznego) uznania i nagrodzenia zgłaszającego

• Ustalenie, jak informacje o podatności zostaną opublikowane, na przykład faza badań lub poinformowanie innych organizacji

6. Przykłady polityki skoordynowanego ujawniania podatności

Istnieje wiele różnych form tekstów polityk dotyczących skoordynowanego ujawniania podatności. Ponieważ opublikowana polityka CVD pełni rolę drogowskazu dla potencjalnych stron zgłaszających, upewnij się, że forma tej polityki jest zgodna z polityką i strategią organizacji.

Następujące elementy są ważne w polityce CVD:

• metoda kontaktu dla bezpiecznej komunikacji;

• warunki wstępne dla stron zgłaszających;

• jasne oczekiwania dotyczące obsługi zgłoszenia;

• metoda nagradzania zgłoszenia;

• numer wersji i data ostatniej rewizji.

Poniżej znajdują się trzy przykłady: wiele organizacji w Holandii czerpało z podstawowego przykładu ResponsibleDisclosure.nl. Inne organizacje dodają dodatkowe warunki wstępne, zob. politykę Fox IT. Jeszcze inne organizacje stosują swobodniejszy format, aby dopasować się do swoich odbiorców, zob. politykę Bits of Freedom.

Przykład: ResponsibleDisclosure.nl

Ten tekst został napisany przez Floor Terra i jest opublikowany na licencji Creative Commons Attribution 3.0 Unported.

W Acme Corporation uważamy bezpieczeństwo naszych systemów za najwyższy priorytet. Ale bez względu na to, ile wysiłku wkładamy w bezpieczeństwo systemów, nadal mogą występować podatności.

Jeśli odkryjesz podatność, chcielibyśmy o niej wiedzieć, abyśmy mogli podjąć kroki w celu jak najszybszego jej usunięcia.

Chcielibyśmy cię prosić o pomoc w lepszej ochronie naszych klientów i naszych systemów.

Prosimy o wykonanie następujących czynności:

• Wyślij swoje ustalenia e-mailem na adres cert@example.com. Zaszyfruj swoje ustalenia naszym kluczem PGP, aby zapobiec dostaniu się tych krytycznych informacji w niepowołane ręce,

• Nie wykorzystuj odkrytej podatności ani problemu, na przykład pobierając więcej danych, niż to konieczne do wykazania podatności, ani usuwając lub modyfikując dane innych osób,

• Nie ujawniaj problemu innym, dopóki nie zostanie rozwiązany,

• Nie stosuj ataków na bezpieczeństwo fizyczne, socjotechniki, rozproszonej odmowy usługi, spamu ani aplikacji stron trzecich, oraz

• Podaj wystarczające informacje do odtworzenia problemu, abyśmy mogli go rozwiązać jak najszybciej. Zwykle wystarczy adres IP lub adres URL dotkniętego systemu oraz opis podatności, ale złożone podatności mogą wymagać dalszych wyjaśnień.

Co obiecujemy:

• Odpowiemy na twoje zgłoszenie w ciągu 3 dni roboczych, przedstawiając naszą ocenę zgłoszenia i przewidywaną datę rozwiązania,

• Jeśli zastosowałeś się do powyższych instrukcji, nie podejmiemy wobec ciebie żadnych kroków prawnych w związku ze zgłoszeniem,

• Będziemy traktować twoje zgłoszenie z zachowaniem ścisłej poufności i nie przekażemy twoich danych osobowych stronom trzecim bez twojej zgody,

• Będziemy informować cię o postępach w rozwiązywaniu problemu,

• W publicznych informacjach dotyczących zgłoszonego problemu podamy twoje imię i nazwisko jako odkrywcy problemu (chyba że sobie tego nie życzysz), oraz

• Na znak wdzięczności za twoją pomoc oferujemy nagrodę za każde zgłoszenie problemu z bezpieczeństwem, który nie był jeszcze nam znany. Wysokość nagrody zostanie ustalona na podstawie wagi wycieku i jakości zgłoszenia. Minimalną nagrodą będzie bon podarunkowy o wartości 50 €.

Dążymy do rozwiązania wszystkich problemów jak najszybciej i chcielibyśmy odegrać aktywną rolę w ostatecznej publikacji na temat problemu po jego rozwiązaniu.

Przykład: Fox-IT

W Fox-IT bezpieczeństwo naszych systemów, sieci i produktów uważamy za najwyższej wagi. Pomimo ogromnej staranności, jaką wkładamy w bezpieczeństwo, słabe punkty nadal mogą pozostać. Jeśli znalazłeś taką słabość, chcielibyśmy dowiedzieć się o niej jak najszybciej, abyśmy mogli podjąć odpowiednie środki jak najprędzej.

Słabe punkty można odkryć na dwa sposoby: możesz przypadkowo natrafić na coś podczas normalnego korzystania ze środowiska cyfrowego albo możesz wyraźnie dołożyć wszelkich starań, aby je znaleźć.

Nasza polityka odpowiedzialnego ujawniania nie jest zaproszeniem do aktywnego skanowania naszej sieci biznesowej w celu wykrywania słabych punktów. Monitorujemy naszą sieć biznesową sami. Oznacza to, że istnieje duże prawdopodobieństwo, że skanowanie zostanie wykryte i że dochodzenie przeprowadzi nasze Centrum Operacji Bezpieczeństwa (Security Operation Center, SOC), co może skutkować niepotrzebnymi kosztami. Jesteś jednak zaproszony do aktywnego poszukiwania podatności w naszych produktach w środowisku offline, nieprodukcyjnym, i zgłaszania nam swoich ustaleń. Nasza odpowiedzialność wobec klientów oznacza, że nie zamierzamy zachęcać do prób włamań do ich infrastruktury; chcielibyśmy jednak dowiedzieć się od ciebie jak najszybciej, jeśli zostaną znalezione podatności, abyśmy mogli je odpowiednio usunąć.

Chcielibyśmy współpracować z tobą, aby lepiej chronić naszych klientów i nasze systemy.

Prosimy, abyś:

• Przesłał swoje ustalenia e-mailem jak najszybciej na adres security-alert@fox-it.com.

• Nie nadużywał podatności; na przykład pobierając, edytując lub usuwając dane. Zawsze potraktujemy twoje zgłoszenie poważnie i zbadamy każde podejrzenie podatności, nawet bez dowodów.

• Nie dzielił się problemem z innymi, dopóki nie zostanie rozwiązany.

• Nie stosował ataków na bezpieczeństwo fizyczne, socjotechniki ani narzędzi hakerskich, takich jak skanery podatności.

• Podał wystarczające informacje do odtworzenia problemu, abyśmy mogli go rozwiązać jak najszybciej. Zwykle wystarczy adres IP lub adres URL dotkniętego systemu oraz opis podatności, chociaż w przypadku bardziej złożonych podatności mogą być potrzebne dodatkowe informacje.

Co obiecujemy:

• Odpowiemy na twoje zgłoszenie w ciągu trzech dni roboczych, przedstawiając naszą ocenę zgłoszenia i przewidywaną datę rozwiązania.

• Będziemy traktować twoje zgłoszenie poufnie i nie udostępnimy twoich danych osobowych stronom trzecim bez twojej zgody. Wyjątkiem jest policja i organy wymiaru sprawiedliwości w przypadku ścigania lub żądania udzielenia informacji.

• Będziemy informować cię o postępach w rozwiązywaniu problemu.

• W komunikacji o zgłoszonym problemie, jeśli sobie tego życzysz, wskażemy twoje imię i nazwisko jako strony, która odkryła problem.

• Niestety nie można z góry zagwarantować, że nie zostaną podjęte żadne kroki prawne wobec ciebie. Mamy nadzieję móc rozpatrywać każdą sytuację indywidualnie. Uważamy się za moralnie zobowiązanych do zgłoszenia cię, jeśli podejrzewamy, że słabość lub dane są nadużywane albo że udostępniłeś wiedzę o słabości innym. Możesz być pewien, że przypadkowe odkrycie w naszym środowisku online nie doprowadzi do ścigania.

• W podziękowaniu za twoją pomoc oferujemy nagrodę za każde zgłoszenie problemu z bezpieczeństwem, który nie jest nam znany. Wartość nagrody ustalamy na podstawie powagi naruszenia i jakości zgłoszenia.

Dążymy do rozwiązania wszystkich problemów jak najszybciej, do informowania wszystkich zaangażowanych stron i chcielibyśmy być zaangażowani w każdą publikację na temat problemu po jego rozwiązaniu.

Przykład: Bits of Freedom

Nasze uzależnienie od infrastruktury cyfrowej stale rośnie. Dotyczy to społeczeństwa jako całości, ale także nas samych. Dlatego naszym zdaniem rządy i organizacje (w tym nasza) powinny zdecydowanie zaangażować się w zabezpieczanie naszej infrastruktury cyfrowej. Zdajemy sobie sprawę, że pomimo naszych najlepszych intencji i największej staranności w naszych systemach mogą występować podatności. Jeśli natrafisz na jedną z tych słabości, chętnie się o niej dowiemy, abyśmy mogli rozwiązać problem.

Czego od ciebie oczekujemy

• Gdy badasz jeden z naszych systemów, pamiętaj o proporcjonalności ataku. Nie ma potrzeby wykazywać, że gdy poddasz naszą stronę internetową największemu atakowi DDoS w historii internetu, strona może stać się niedostępna. My to wiemy. Rozumiemy też, że jeśli wjedziesz buldożerem do naszego biura, prawdopodobnie uda ci się zdobyć jeden z naszych laptopów.

• Ta zasada proporcjonalności jest istotna także przy demonstrowaniu samej podatności. Nie powinieneś przeglądać ani modyfikować więcej danych, niż jest to ściśle konieczne do potwierdzenia słuszności twojego odkrycia. Na przykład, jeśli możesz zmodyfikować naszą stronę główną, dodaj do niej tylko jedno niekontrowersyjne słowo zamiast przejmować całą stronę. Jeśli możesz uzyskać dostęp do bazy danych, wystarczy pokazać nam listę znajdujących się w niej tabel lub ewentualnie pierwszy rekord jednej z tych tabel.

• Podatność w jednym z naszych systemów należy zgłosić jak najszybciej, wysyłając e-mail na adres security@bof.nl. Najlepiej zaszyfruj swoją wiadomość za pomocą OpenPGP. Podaj wystarczające informacje, abyśmy mogli odtworzyć i zbadać problem.

• Publiczny klucz OpenPGP dla security@bof.nl

• Nie podzielisz się swoją wiedzą o podatności z innymi stronami, dopóki nie zajmiemy się problemem i nadal jesteśmy w rozsądnym terminie od zgłoszenia przez ciebie problemu.

• Usuniesz wszystkie poufne informacje uzyskane podczas swojego badania, jak tylko usuniemy podatność.

Czego możesz od nas oczekiwać

• Odpowiemy na twoje zgłoszenie w ciągu trzech dni w sposób szczegółowy. Dołączymy szacunkowy czas, jakiego będziemy potrzebować na zajęcie się problemem. Oczywiście będziemy regularnie informować cię o naszych postępach.

• Usuniemy podatność jak najszybciej. Tutaj również ważna jest proporcjonalność: czas potrzebny na naprawę podatności zależy od kilku czynników, w tym od wagi i złożoności danego problemu.

• Gdy zastosujesz się do przedstawionych tu wytycznych, nie podejmiemy wobec ciebie kroków prawnych w związku ze zgłoszeniem.

• Ważne jest dla nas, aby docenić cię za to, co zrobiłeś – jeśli chcesz. Wspomnimy twoje imię i nazwisko w publikacji dotyczącej podatności tylko jeśli się na to zgodzisz.

• W podziękowaniu za pomoc w lepszej ochronie naszych systemów chcielibyśmy nagrodzić każde zgłoszenie podatności, która była nam wówczas nieznana. Nagroda będzie zależeć od wagi podatności i jakości zgłoszenia.

• Jeśli znajdziesz podatność w oprogramowaniu strony trzeciej, z którego korzystamy, a podatność ta jest objęta programem bug bounty, nie będziemy próbować domagać się tej nagrody; powinieneś to zrobić ty.