NCSC.nl

1. Introducere

Societatea se digitalizează tot mai mult. În zilele noastre, aproape toate procesele implică la un moment dat utilizarea computerelor, de la telefoane mobile la software specializat. Deși această evoluție creează multe oportunități noi, vulnerabilitățile din sistemele IT pot avea un impact major. Prin urmare, cunoștințele despre aceste vulnerabilități ar trebui gestionate eficient.

Un număr de organizații au început să publice politici privind modul de raportare a vulnerabilităților la începutul anului 2013. După consultarea acestor părți, Centrul Național pentru Securitate Cibernetică (National Cyber Security Centre, NCSC) a rezumat evoluțiile sub forma „Ghidului pentru atingerea unei practici de Responsible Disclosure" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Ghidul"). Companiile indică prin această politică că sunt deschise să primească rapoarte externe de vulnerabilități, își descriu condițiile prealabile și fac promisiuni. Acest proces a creat claritate și un mediu oarecum sigur pentru părțile care raportează pentru a investiga și raporta vulnerabilități fără a comite direct o infracțiune penală. La reuniunea la nivel înalt a UE privind securitatea cibernetică din 2016, 29 de organizații au reafirmat importanța unei politici de gestionare a vulnerabilităților prin semnarea Manifestului privind divulgarea coordonată a vulnerabilităților (Coordinated Vulnerability Disclosure Manifesto)1 inițiat de CIO Platform Netherlands și Rabobank în cooperare cu NCSC.

Divulgarea coordonată a vulnerabilităților (Coordinated Vulnerability Disclosure, CVD) s-a dovedit a fi de mare importanță pentru părțile publice și private. Acestea depind în mare măsură de funcționarea nestingherită a sistemelor informatice în practica de zi cu zi. Rapoartele de vulnerabilități din sistemele lor au ajutat la îmbunătățirea securității și continuității sistemelor în ultimii ani, pe de o parte prin remedierea vulnerabilităților și pe de altă parte prin contribuția la conștientizarea generală a companiilor olandeze privind securitatea IT.

În ultimii ani, a devenit clar că părțile care raportează sunt pregătite să lucreze în condițiile politicii CVD întocmite de organizații. Rapoartele sunt făcute direct sau indirect către organizații de către părțile care raportează. Practica de divulgare responsabilă a arătat că părțile care raportează cu bune intenții și organizațiile vulnerabile au reușit să coopereze și astfel să facă pasul următor în creșterea securității rețelelor și sistemelor informatice.

Pentru această revizuire, am vorbit din nou cu un grup larg și divers de părți care raportează, părți private și publice, precum și cu Parchetul și Poliția Națională. Aceste conversații au confirmat practica actuală și au condus la completări și îmbunătățiri. Cel mai important punct nou de atenție este comunicarea între persoana care raportează vulnerabilitatea și organizație, precum și cu alte părți după ce o vulnerabilitate a fost remediată.

Capitolele următoare discută definiția CVD, elementele de construcție pentru o politică CVD și procesul de comunicare.

În paranteză: Ghidul anterior folosea termenul „responsible disclosure", care era termenul comun pentru această practică la acea vreme. Între timp a devenit clar că acest termen pune prea mult accent pe responsabilitatea părții care raportează, în timp ce principiul de bază este că partea care raportează și organizația potențial vulnerabilă ar trebui să fie parteneri egali în dialog. Acest sentiment este mai bine surprins în termenul folosit în mod obișnuit în prezent, „Coordinated Vulnerability Disclosure" (CVD), care este și denumirea folosită în standardele ISO 29147 și 30111 privind acest proces.

2. Vulnerabilitate coordonată

De-a lungul ultimilor 30 de ani au fost folosite diverse metode pentru a crește conștientizarea vulnerabilităților din sistemele IT. Exemplele includ:

„Full Disclosure", publicarea completă a unei vulnerabilități;
„Non-disclosure", vânzarea sau folosirea unei vulnerabilități de către sine;
„Coordinated Vulnerability Disclosure" (CVD), divulgarea coordonată a unei vulnerabilități.

Ultima practică este preferată în mod expres.

Comunitatea IT a arătat o mare dorință de a împărtăși cunoștințe și experiență. Căutarea cooperării cu această comunitate poate, așadar, ajuta la îmbunătățirea securității generale a sistemelor.

Scopul divulgării coordonate a vulnerabilităților

Scopul CVD este de a contribui la securitatea sistemelor IT prin împărtășirea cunoștințelor despre vulnerabilități. În CVD, cunoștințele sunt împărtășite cu una sau mai multe organizații potențial vulnerabile pentru a ajunge la o soluție comună pentru vulnerabilitatea găsită, în colaborare cu partea care raportează. Este important ca organizațiile afectate să aibă suficient timp pentru a remedia orice vulnerabilități sau pentru a proteja sistemele, pentru a limita sau preveni pierderile sau daunele cât mai mult posibil. Piatra de temelie a procesului este divulgarea cunoștințelor despre vulnerabilități după remediere.

În CVD este esențial ca toate părțile să respecte acordurile privind modul de raportare a unei vulnerabilități și modul de tratare a acesteia. Ajută dacă o organizație publică condițiile prealabile în avans, cum ar fi ce sisteme intră în domeniu și ce fel de cercetare poate fi efectuată. Un principiu important pentru aceste condiții prealabile este că organizația nu va denunța, în principiu, partea care raportează și nu va lua alte măsuri legale dacă investigarea și raportarea se desfășoară în condițiile stabilite. Acest Ghid oferă organizațiilor îndrumare în elaborarea propriei politici pentru a concretiza principiile CVD.

După cum indică numele, este esențial în CVD ca organizația și partea care raportează să se coordoneze între ele. În acest sens, ar trebui să existe cât mai puține verigi între persoana care raportează vulnerabilitatea și persoana din cadrul organizației responsabilă de rezolvarea problemei.

Poate fi important să se informeze mai multe părți în același timp dacă o vulnerabilitate afectează multe sisteme. În acest caz, NCSC sau alte părți din comunitatea de securitate pot sprijini procesul CVD dintr-un rol de coordonare.

3. Domenii de responsabilitate

Scopul urmăririi unei politici CVD este ca părțile care raportează și organizația să lucreze împreună pentru a reduce vulnerabilitățile din sistemele IT. Punerea în aplicare a acestei politici ar trebui privită ca un supliment la măsurile existente privind securitatea informațiilor. Diferiții actori au fiecare propriul rol și propriile responsabilități. Acestea sunt explicate mai detaliat mai jos.

Organizația care deține/gestionează un sistem

Organizația care deține/gestionează sau furnizează un sistem este responsabilă în primul rând pentru securitatea acestui sistem. Cu alte cuvinte, organizația este de asemenea responsabilă pentru urmărirea unui raport de vulnerabilitate.

Organizația poate alege să elaboreze propria politică CVD folosind acest Ghid și să comunice această politică potențialelor părți care raportează. Publicând o politică CVD, organizațiile își arată disponibilitatea de a primi informații despre vulnerabilități.

O parte care stabilește o politică CVD se poate angaja la principiul că nu va depune o plângere la poliție dacă regulile care se aplică politicii sunt respectate.

Odată ce o parte care raportează a raportat o vulnerabilitate, responsabilitatea revine organizației. Este important să se înțeleagă că partea care raportează este adesea cineva din afara organizației. Această parte nu are o vedere directă asupra proceselor interne care pot fi declanșate după raportarea unei vulnerabilități. Drept urmare, părțile care raportează vor aprecia să fie informate despre evoluțiile în rezolvarea vulnerabilității. Această comunicare continuă este importantă și pentru a crea așteptările corecte privind acțiunile ulterioare și promptitudinea soluției.

Partea care raportează o vulnerabilitate

Într-un fel sau altul, partea care raportează a reușit să identifice o vulnerabilitate și dorește să contribuie la securitatea sistemelor IT prin remedierea acestei vulnerabilități și, eventual, făcând-o publică într-o etapă ulterioară. Partea care raportează poate să fi descoperit ceva prin observare pasivă sau prin testarea activă a sistemului IT. Desigur, această parte este responsabilă pentru propriile acțiuni și pentru modul în care a descoperit vulnerabilitatea. Este responsabilitatea proprie a părții care raportează să cunoască condițiile stabilite de o organizație în politica sa CVD. Majoritatea guvernelor și companiilor și-au publicat politicile CVD pe site-urile lor web.

Găsirea vulnerabilităților poate implica totuși încălcarea legii. În contextul CVD, organizația și partea care raportează pot conveni că nu vor depune plângere pentru nicio faptă penală. În acest sens, politica CVD publicată de organizație este principiul călăuzitor. Părțile pot de asemenea conveni că nu vor fi luate măsuri civile.

Dacă există suspiciunea că legea a fost încălcată de partea care raportează, o politică CVD poate, în primul rând, ajuta la prevenirea denunțării persoanei care raportează către autorități. Această procedură depinde în întregime de condițiile prealabile ale politicii pe care o organizație cere unei părți care raportează să o respecte și de dacă această respectare a fost realizată, potențial cu o promisiune corespunzătoare de a nu depune plângere penală atâta timp cât partea operează în condițiile politicii. Dacă se face o sesizare la poliție, existența și respectarea unei politici CVD este o circumstanță relevantă în Țările de Jos, pe care procurorul o va lua în considerare la decizia de a iniția o anchetă penală și/sau de a urmări penal. În principiu, poliția și Parchetul (OM) nu vor iniția o anchetă penală dacă partea care raportează a respectat în mod clar regulile politicii CVD a organizației în cauză. Cu toate acestea, Parchetul și poliția pot investiga cazul în continuare dacă există indicii că partea care raportează a mers, conștient sau inconștient, prea departe în acțiunile sale și/sau nu a respectat politica CVD. Pe baza acestei investigații, Parchetul poate decide dacă să urmărească penal.

Parchetul a publicat o scrisoare de politică în care tratează mai specific aspectele care sunt importante pentru a ajunge la o decizie de a investiga și/sau urmări penal. De exemplu, dacă acțiunile părții care raportează au servit un interes public important, dacă partea a acționat disproporționat și dacă partea ar fi putut poate acționa într-un alt mod, mai puțin drastic. Scrisoarea de politică relevantă detaliază în continuare aceste aspecte.2 Jurisprudența relevantă din 20133 arată că aceste aspecte sunt luate în considerare și în instanță dacă o organizație nu are o politică CVD.

4. Elementele de construcție ale procesului de divulgare coordonată a vulnerabilităților

Mai jos sunt oferite elemente de construcție pentru modelarea procesului CVD pentru organizație, persoana care raportează și NCSC.

Organizația

Promovarea CVD începe cu o organizație care deține sisteme IT sau care furnizează un produs/sistem IT. La urma urmei, această organizație este responsabilă în primul rând pentru securitatea informațiilor acestor sisteme IT. Pentru a lucra eficient cu diverse părți la rezolvarea vulnerabilităților, o organizație poate decide să elaboreze și să publice o politică CVD. Elaborarea propriei politici CVD permite organizației să demonstreze cum tratează rapoartele de vulnerabilități. În acest fel, o organizație poate de asemenea să modeleze modul în care dorește să primească notificările. Un astfel de proces poate fi organizat după cum urmează:

Organizația stabilește și publică o politică CVD.
În această politică, organizația oferă reguli clare pentru cercetarea pe care părțile care raportează o pot efectua, cum ar fi ce tehnici sunt permise și ce sisteme intră sau nu în domeniu.
Organizația face ușor pentru partea care raportează să facă un raport. O opțiune este utilizarea unei metode standardizate de raportare; de exemplu, o adresă de e-mail specifică sau un formular online. În plus, organizația poate decide dacă acceptă rapoarte anonime.
Organizația rezervă capacitate internă și stabilește un proces pentru a răspunde adecvat la rapoarte. Este recomandabil să se stabilească un proces prin care orice vulnerabilități găsite pot fi remediate adecvat. În această privință, originea raportului este irelevantă. Vulnerabilitatea poate fi fost de asemenea identificată de un angajat intern sau în timpul unui test, de exemplu.
Experiența practică arată că va exista un interes mai mare în raportarea vulnerabilităților către organizație după publicarea inițială a unei politici CVD. Organizația ar trebui să țină cont de acest lucru la planificarea capacității (suplimentare).
Când organizația primește raportul de vulnerabilitate, se asigură că raportul ajunge cât mai curând posibil la departamentul cel mai potrivit pentru a-l evalua și a-l trata.
Organizația trimite o confirmare de primire a raportului către partea care raportează, de preferință semnată digital pentru a sublinia prioritatea.
Ulterior, organizația va intra în consultare cu partea care raportează pentru a determina perioada în care va avea loc orice publicare. Această perioadă va depinde în mare măsură de natura vulnerabilității și de tipul de sistem.
Ca îndrumare, o perioadă de aproximativ 60 de zile este adesea folosită pentru vulnerabilitățile software. Remedierea vulnerabilităților în hardware este mai greu de realizat; poate fi folosită o îndrumare de 6 luni.
Poate fi de dorit prelungirea sau scurtarea acestei perioade prin acord reciproc în funcție de câte sau câte puține sisteme IT depind de sistemul pentru care a fost raportată vulnerabilitatea sau dacă vulnerabilitatea este mai ușor sau mai greu de rezolvat.
O vulnerabilitate se poate dovedi dificil sau imposibil de rezolvat sau pot exista costuri mari implicate în rezolvarea ei. În astfel de cazuri, organizația poate conveni să considere vulnerabilitatea un risc acceptat și să nu o remedieze, eventual în consultare cu partea care raportează.
Organizația va ține partea care raportează informată cu privire la evoluția procesului.
În plus, organizația poate oferi ca partea care raportează să fie recunoscută public pentru publicarea vulnerabilității. Este de asemenea posibil să se opteze pentru o divulgare comună către lumea exterioară.
Este de preferat să se recompenseze partea care raportează pentru raportarea vulnerabilităților în sisteme dacă partea a respectat regulile politicii CVD. Valoarea recompensei poate depinde de calitatea raportului. Recompensarea părții care raportează poate crea o relație mai bună între acea parte și organizație, precum și crește disponibilitatea oamenilor de a face noi rapoarte în conformitate cu politica CVD.
În consultare cu partea care raportează, organizația poate conveni să informeze comunitatea IT mai largă despre vulnerabilitate dacă este plauzibil ca vulnerabilitatea să fie prezentă și în alte locuri.
În politica sa CVD, organizația se poate angaja la principiul că nu va depune plângere la poliție dacă partea care raportează a respectat regulile prezentate în politică.

Partea care raportează

Partea care raportează este cheia unui proces CVD de succes. Într-un fel sau altul, această parte a reușit să identifice o vulnerabilitate și dorește să contribuie la securitatea sistemelor IT făcând ca această vulnerabilitate să fie remediată de o organizație și făcută publică. Procedând astfel, părțile care raportează recunosc că pot aduce o contribuție importantă societății dezvăluind vulnerabilitățile în mod coordonat. Pentru a realiza un proces CVD de succes, următoarele elemente de construcție sunt importante pentru partea care raportează:

Partea care raportează este responsabilă pentru propriile acțiuni și trebuie să respecte principiile proporționalității, precum și al subsidiarității la investigarea și raportarea vulnerabilităților. Cu alte cuvinte, partea care raportează nu ar trebui să facă mai mult decât este necesar pentru a demonstra vulnerabilitatea și ar trebui să raporteze întotdeauna mai întâi vulnerabilitatea proprietarului sistemului/informațiilor.
Partea care raportează trebuie să raporteze problema cât mai curând posibil pentru a împiedica părțile rău intenționate să descopere vulnerabilitatea și să profite de ea.
Partea care raportează trebuie să facă raportul către organizație în mod confidențial pentru a împiedica pe alții să obțină acces la aceste informații.
Partea care raportează nu poate condiționa depunerea unui raport sau furnizarea ulterioară de informații de recompensă. Inițiativa de a acorda o recompensă în cazul unui raport aparține organizației primitoare, care poate stabili condiții prealabile în politica sa publicată.
Partea care raportează și organizația stabilesc acorduri clare privind divulgarea vulnerabilității. Dacă este implicată mai mult de o organizație, principiul de bază este că vulnerabilitățile pot fi publicate numai dacă toate organizațiile sunt de acord cu acest lucru. Încheierea acestor acorduri într-o etapă timpurie este recomandabilă.
Partea care raportează și organizația implicată pot încheia acorduri privind informarea comunității IT mai largi. De exemplu, această situație se poate aplica unei vulnerabilități (fie deja cunoscută sau nu) despre care se știe că este prezentă în mai mult de o locație. Centrul Național pentru Securitate Cibernetică (NCSC) poate fi implicat în acest proces pentru a sprijini grupurile țintă ale guvernului central și ale infrastructurii critice sau pentru a informa mai multe părți în cazul unei vulnerabilități care afectează multe sisteme.

NCSC

Procesul CVD este în primul rând o chestiune pentru organizații și părțile care raportează. Cu toate acestea, NCSC va încuraja utilizarea unui proces CVD. În consultare cu partea care raportează și organizația, NCSC poate fi de asemenea implicat în împărtășirea informațiilor despre vulnerabilitate cu circumscripția sa pentru a limita alte riscuri de securitate care decurg din vulnerabilitate.

Dacă raportarea vulnerabilității nu decurge așa cum se așteaptă partea care raportează sau dacă preferă să nu raporteze vulnerabilitatea direct către organizație, poate contacta NCSC.4 În acest caz, NCSC poate acționa ca intermediar acolo unde este necesar.

Proprietarul sistemului IT este în orice moment responsabil pentru securitatea sistemului. NCSC nu poate obliga proprietarul sistemului să remedieze o vulnerabilitate și nici nu poate garanta că proprietarul nu va lua măsuri legale împotriva părții care raportează. Drept urmare, partea care raportează trebuie să țină cont de elementele de construcție menționate mai sus pentru organizații și părțile care raportează atunci când caută și raportează o vulnerabilitate. O parte care raportează poate aștepta ca NCSC să facă tot posibilul pentru ca vulnerabilitatea să fie remediată și să trateze raportul confidențial. NCSC nu împărtășește date personale decât dacă este obligat legal să o facă.

Dacă este posibil, NCSC va folosi informațiile obținute despre vulnerabilități în consultare cu organizațiile și părțile care raportează pentru a împărtăși mai departe cunoștințele cu comunitatea IT. De exemplu, poate face acest lucru publicând o parte din informații, scriind sau actualizând o fișă informativă (fact sheet) ori o carte albă (white paper) sau informând organizații specifice.

În funcție de organizația în cauză și de natura vulnerabilității stabilite, NCSC se va strădui să aducă vulnerabilitatea în atenția organizației în cauză. Cu toate acestea, proprietarul sistemului IT în cauză rămâne responsabil pentru sistem.
Acolo unde este posibil și necesar, NCSC va oferi organizației în cauză sfaturi cu privire la modul de remediere a vulnerabilității.
NCSC va trata rapoartele confidențial și nu va împărtăși datele personale ale părților care raportează sau ale organizației primitoare fără consimțământ, cu excepția cazului în care rezultă dintr-o obligație legală.
Acolo unde este posibil, NCSC va ține partea care raportează informată cu privire la evoluțiile contactului cu organizația și ale remedierii vulnerabilității.
În cazurile în care se face un raport către NCSC, NCSC va încerca să pună în contact partea care raportează sau potențiala parte care raportează și organizația una cu cealaltă.

Dacă o parte care raportează a găsit o vulnerabilitate într-un produs software sau o vulnerabilitate care afectează multe sisteme diferite, de exemplu, partea care raportează poate cere NCSC să coordoneze remedierea și divulgarea vulnerabilității.

Împreună cu partea care raportează, partenerii, dezvoltatorii și/sau dezvoltatorii de software și alte echipe de securitate, NCSC va ajuta la analizarea, remedierea sau determinarea remedierii, coordonarea și divulgarea vulnerabilității într-un mod controlat. Tot acest proces are loc în consultare strânsă cu partea care raportează care a găsit vulnerabilitatea.

O politică CVD încearcă să găsească un echilibru între importanța divulgării vulnerabilităților cât mai repede posibil, astfel încât să se poată lua măsuri, și importanța ca dezvoltatorii, precum și furnizorii, să aibă suficient timp pentru a remedia vulnerabilitatea. Pentru acest proces, NCSC folosește un termen standard de 60 de zile între raport și divulgarea publică. Cu toate acestea, pot exista circumstanțe în care se poate decide prelungirea sau scurtarea acestei perioade.

NCSC va împărtăși informații despre vulnerabilitate cu terți numai după consultarea cu partea care raportează. Este esențial în acest context ca NCSC să coopereze și, prin urmare, să împărtășească informații despre vulnerabilitate cu părțile interesate pentru a divulga o vulnerabilitate în mod coordonat. NCSC va asigura în acest fel că părțile potrivite pot lucra la remedierea vulnerabilității, va ajuta la limitarea oricăror pierderi sau daune și va ajuta la atragerea atenției asupra vulnerabilității găsite.

5. Comunicarea și procesul de divulgare

Cinci ani de practică au arătat că o comunicare clară este piatra de temelie a unui proces CVD de succes. Există puncte de atenție înainte, în timpul și după procesul CVD.

Comunicarea despre procesul de divulgare

Publicarea unei politici CVD este un prim pas în comunicarea despre proces. Prin publicarea unei politici în mod public, părțile care raportează sunt invitate să notifice organizația despre orice vulnerabilități găsite.

Pe de o parte, organizația poate stabili condiții pentru cercetarea efectuată pentru a descoperi vulnerabilități și modul în care se caută contactul. Pe de altă parte, organizația se poate angaja la principiul că nu va depune plângere la poliție dacă regulile politicii sunt respectate. Această abordare protejează poziția părții care raportează.

O politică CVD poate fi modificată sau actualizată la o dată ulterioară. Este important să se fie clar cu privire la modificări în această privință. Părțile care raportează au interes să știe ce s-a schimbat și când. De exemplu, modificările pot fi clarificate prin includerea unei date a publicării la începutul politicii CVD, prin descrierea unui rezumat al modificărilor sub politica CVD sau prin păstrarea unei arhive cu versiunile vechi ale politicii CVD.

Politica CVD poate oferi îndrumări despre modul de comunicare în timpul procesului, cum ar fi indicarea actualizărilor regulate prin e-mail sau un portal web. În plus, politica CVD poate descrie cum poate fi recunoscută persoana care raportează prin menționarea ei într-o actualizare, admiterea într-un hall of fame sau orice altă formă de recompensă.

Comunicarea în timpul procesului de divulgare

O parte care raportează inițiază un proces CVD trimițând un mesaj către organizație. În acest mesaj, partea care raportează oferă o descriere clară a vulnerabilității descoperite. Elementele importante sunt adresa IP sau URL-ul sistemului afectat și pașii necesari pentru reproducerea vulnerabilității.

Este important ca organizația să comunice clar cu partea care raportează astfel încât așteptările privind procesul să fie clare.

Poate face acest lucru deja trimițând o confirmare de primire (automată sau altfel) care conține o indicație a termenului în care va fi trimis un prim sau un răspuns substanțial ulterior.

Este de asemenea posibil să se lase această perioadă deschisă și să se dea o primă indicație a termenului după evaluarea conținutului raportului. Este recomandabil să se fie clar cât mai curând posibil cu privire la perioada în care se poate ajunge la o soluție. În acest fel, persoana care raportează știe când se poate aștepta la un rezultat.

În unele cazuri este posibil ca o dată a publicării să fie deja clară pentru partea care raportează; de exemplu, din cauza unei prezentări la o conferință sau pentru că partea care raportează și-a fixat propriul termen. În acest caz, este totuși important ca partea care raportează să comunice clar acest calendar, să îl precizeze cât mai devreme posibil și să fie clară cu privire la posibilitatea/imposibilitatea amânării acestei date.

O parte care raportează este adesea cineva din afara organizației, care nu are nicio perspectivă asupra proceselor interne care pot fi declanșate de un raport. Organizațiile pot ține partea care raportează informată despre evoluțiile procesului prin actualizări regulate. Această abordare face clar pentru o parte care raportează că se lucrează la o soluție. Acolo unde este necesar, o organizație poate solicita clarificări sau testarea unei soluții în timpul procesului.

Dacă o organizație nu poate respecta termenul inițial de rezolvare, se poate discuta cu persoana care raportează amânarea acestuia. Comunicarea regulată poate clarifica această situație pentru persoana care raportează într-o etapă mai timpurie.

Intenția principală a CVD este de a atenua vulnerabilitatea, dar „full disclosure" a vulnerabilității este întotdeauna o opțiune pentru o parte care raportează dacă consideră că procesul va dura prea mult. Această măsură este proverbialul „big stick" (băț mare) aflat la dispoziția părții care raportează. În mod natural, această situație trebuie prevenită cât mai mult posibil.

Comunicarea după procesul de divulgare

Există multe motive posibile pentru care o parte care raportează ar putea căuta vulnerabilități și apoi le-ar raporta organizațiilor prin procesul CVD. Pentru un număr mare de părți care raportează, un stimulent important este recunoașterea (publică).

Părțile care raportează primesc recunoaștere publică printr-o mulțumire într-o actualizare sau intrarea într-un hall of fame. Cu toate acestea, nevoia de recunoaștere publică nu se aplică tuturor părților care raportează; unele nu doresc de fapt să fie cunoscute publicului. În cazul comunicării de către organizație, este deci recomandabil să se obțină consimțământul părții care raportează pentru a o numi.

În plus, părțile care raportează pot de asemenea decide să comunice despre un raport după finalizarea procesului CVD. De exemplu, partea care raportează poate descrie procesul de descoperire sau poate avertiza pe alții despre vulnerabilitate. O persoană care raportează poate decide să prezinte publicația unei organizații în scop informativ. Deoarece procesul CVD este în principiu finalizat după eliminarea vulnerabilității, partea care raportează este ulterior liberă să comunice despre aceasta, cu excepția cazului în care se încheie acorduri suplimentare în politică sau în timpul procesului.

Listă

Comunicarea despre procesul de divulgare

Publicarea politicii CVD pe site-ul web
Claritate cu privire la restricții (vezi capitolul 6 pentru diferite abordări)
Restricții ale metodelor de investigare
Îndrumări privind comunicarea
Îndrumări privind posibilele recompense: Hall of fame, recompensă financiară, tricou etc.
Claritate cu privire la orice actualizări ale politicii CVD, inclusiv data modificărilor

Comunicarea în timpul procesului de divulgare

Persoana care raportează contactează organizația cu privire la o vulnerabilitate descoperită.
Organizația gestionează așteptările, cum ar fi timpul de răspuns pentru un prim răspuns tehnic
Organizația și persoana care raportează își oferă reciproc claritate cu privire la perioada estimată de rezolvare
Organizația oferă frecvent o actualizare (de proces)
Acolo unde este necesar, persoana care raportează și organizația discută contactarea altor organizații relevante

Comunicarea după procesul de divulgare

Discutarea recunoașterii (publice) și recompensării persoanei care raportează
Stabilirea modului în care vor fi publicate informațiile despre vulnerabilitate, cum ar fi faza de cercetare sau informarea altor organizații

6. Exemple de politică de divulgare coordonată a vulnerabilităților

Există multe forme diferite de texte de politică privind divulgarea coordonată a vulnerabilităților. Deoarece politica CVD publicată acționează ca un indicator pentru potențialele părți care raportează, asigurați-vă că forma acestei politici este în linie cu politica și strategia organizației.

Următoarele elemente sunt importante într-o politică CVD:

metoda de contact pentru comunicare sigură;
condiții prealabile pentru părțile care raportează;
așteptări clare privind tratarea unui raport;
metoda de recompensare a unui raport;
numărul versiunii și data ultimei revizuiri.

Mai jos sunt trei exemple: multe organizații din Țările de Jos s-au inspirat din exemplul de bază al ResponsibleDisclosure.nl. Alte organizații includ condiții prealabile suplimentare, vezi politica Fox IT. Alte organizații încă aplică un format mai liber pentru a se alinia publicului lor țintă, vezi politica Bits of Freedom.

Exemplu: ResponsibleDisclosure.nl

Acest text este scris de Floor Terra și este publicat sub licența Creative Commons Attribution 3.0 Unported.

La Acme Corporation, considerăm securitatea sistemelor noastre o prioritate maximă. Dar indiferent cât de mult efort depunem pentru securitatea sistemelor, pot exista totuși vulnerabilități.

Dacă descoperiți o vulnerabilitate, am dori să știm despre ea pentru a putea lua măsuri de remediere cât mai repede posibil.

Am dori să vă cerem să ne ajutați să ne protejăm mai bine clienții și sistemele.

Vă rugăm să faceți următoarele:

Trimiteți constatările dumneavoastră prin e-mail la cert@example.com. Criptați constatările folosind cheia noastră PGP pentru a preveni ca aceste informații critice să cadă în mâinile greșite,
Nu profitați de vulnerabilitatea sau problema pe care ați descoperit-o, de exemplu descărcând mai multe date decât este necesar pentru a demonstra vulnerabilitatea sau ștergând ori modificând datele altor persoane,
Nu dezvăluiți problema altora până când nu a fost rezolvată,
Nu folosiți atacuri asupra securității fizice, inginerie socială, refuz distribuit al serviciului, spam sau aplicații ale unor terți, și
Furnizați informații suficiente pentru a reproduce problema, astfel încât să o putem rezolva cât mai repede posibil. De obicei, adresa IP sau URL-ul sistemului afectat și o descriere a vulnerabilității vor fi suficiente, dar vulnerabilitățile complexe pot necesita explicații suplimentare.

Ce promitem:

Vom răspunde raportului dumneavoastră în 3 zile lucrătoare cu evaluarea noastră a raportului și o dată estimată de rezolvare,
Dacă ați urmat instrucțiunile de mai sus, nu vom lua nicio măsură legală împotriva dumneavoastră cu privire la raport,
Vă vom trata raportul cu strictă confidențialitate și nu vom transmite detaliile dumneavoastră personale către terți fără permisiunea dumneavoastră,
Vă vom ține la curent cu progresul către rezolvarea problemei,
În informațiile publice privind problema raportată, vă vom da numele ca descoperitor al problemei (cu excepția cazului în care doriți altfel), și
Ca semn al recunoștinței noastre pentru ajutorul dumneavoastră, oferim o recompensă pentru fiecare raport al unei probleme de securitate care nu ne era încă cunoscută. Valoarea recompensei va fi determinată în funcție de gravitatea scurgerii și calitatea raportului. Recompensa minimă va fi un card cadou de 50 €.

Ne străduim să rezolvăm toate problemele cât mai repede posibil și am dori să jucăm un rol activ în publicarea finală despre problemă după ce aceasta este rezolvată.

Exemplu: Fox-IT

La Fox-IT considerăm securitatea sistemelor, a rețelei și a produselor noastre de cea mai mare importanță. În ciuda marii griji pe care o acordăm securității, pot rămâne totuși puncte slabe. Dacă ați găsit o astfel de slăbiciune, am dori să aflăm cât mai curând posibil pentru a putea lua măsurile adecvate cât mai repede.

Punctele slabe pot fi descoperite în două moduri: puteți da din întâmplare peste ceva în timpul utilizării normale a unui mediu digital sau puteți încerca în mod explicit să le găsiți.

Politica noastră de divulgare responsabilă nu este o invitație de a scana activ rețeaua noastră de afaceri pentru a descoperi puncte slabe. Ne monitorizăm rețeaua de afaceri singuri. Aceasta înseamnă că există o probabilitate mare ca o scanare să fie detectată și ca o investigație să fie efectuată de Centrul nostru de Operațiuni de Securitate (Security Operation Center, SOC), ceea ce ar putea duce la costuri inutile. Sunteți însă invitat să căutați activ vulnerabilități în produsele noastre într-un mediu offline, de non-producție, și să ne raportați constatările. Responsabilitatea noastră față de clienți înseamnă că intenția noastră nu este să încurajăm încercările de hacking asupra infrastructurii lor; cu toate acestea, am dori să auzim de la dumneavoastră cât mai repede posibil dacă sunt găsite vulnerabilități, astfel încât să le putem rezolva în mod adecvat.

Am dori să lucrăm cu dumneavoastră pentru a putea proteja mai bine clienții și sistemele noastre.

Vă rugăm să:

Trimiteți constatările dumneavoastră prin e-mail cât mai repede posibil la security-alert@fox-it.com.
Nu abuzați de vulnerabilitate; de exemplu, prin descărcarea, editarea sau ștergerea datelor. Vom lua întotdeauna raportul dumneavoastră în serios și vom investiga orice suspiciune de vulnerabilitate, chiar și fără dovezi.
Nu împărtășiți problema altora până când nu a fost rezolvată.
Nu folosiți atacuri asupra securității fizice, inginerie socială sau instrumente de hacking, cum ar fi scanerele de vulnerabilități.
Furnizați informații adecvate pentru a putea reproduce problema, astfel încât să o putem rezolva cât mai repede posibil. De obicei, adresa IP sau URL-ul sistemului afectat și o descriere a vulnerabilității sunt suficiente, deși pot fi necesare mai multe informații pentru vulnerabilitățile mai complexe.

Ce promitem:

Vom răspunde raportului dumneavoastră în termen de trei zile lucrătoare, cu evaluarea noastră a raportului și o dată estimată de rezolvare.
Vă vom trata raportul confidențial și nu vom împărtăși informațiile dumneavoastră personale cu terți fără permisiunea dumneavoastră. O excepție de la aceasta o reprezintă poliția și sistemul judiciar în caz de urmărire penală sau dacă informațiile sunt solicitate.
Vă vom ține la curent cu progresul soluționării problemei.
În comunicarea despre problema raportată, vom indica numele dumneavoastră ca parte care a descoperit problema, dacă doriți.
Din păcate, nu este posibil să garantăm în prealabil că nu vor fi luate măsuri legale împotriva dumneavoastră. Sperăm să putem analiza fiecare situație individual. Ne considerăm obligați moral să vă raportăm dacă bănuim că slăbiciunea sau datele sunt folosite abuziv ori că ați împărtășit cunoștințele despre slăbiciune cu alții. Puteți fi sigur că o descoperire accidentală în mediul nostru online nu va duce la urmărire penală.
Ca mulțumire pentru ajutorul dumneavoastră, oferim o recompensă pentru fiecare raport al unei probleme de securitate care nu ne este cunoscută. Stabilim valoarea recompensei pe baza gravității încălcării și a calității raportului.

Ne străduim să rezolvăm toate problemele cât mai repede posibil, să ținem la curent toate părțile implicate și am dori să fim implicați în orice publicație despre problemă după ce aceasta este rezolvată.

Exemplu: Bits of Freedom

Dependența noastră de infrastructura digitală este în continuă creștere. Acest lucru se aplică societății în ansamblu, dar și nouă înșine. Prin urmare, este opinia noastră că guvernele și organizațiile (inclusiv a noastră) ar trebui să se angajeze ferm în securizarea infrastructurii noastre digitale. Ne dăm seama că, în ciuda celor mai bune intenții și a celei mai mari griji, pot exista vulnerabilități în sistemele noastre. Dacă dați peste una dintre aceste slăbiciuni, ne-ar plăcea să auzim de la dumneavoastră pentru a putea rezolva problema.

Ce așteptăm de la dumneavoastră

Când investigați unul dintre sistemele noastre, țineți cont de proporționalitatea atacului. Nu este nevoie să demonstrați că dacă supuneți site-ul nostru celui mai mare atac DDoS din istoria internetului, site-ul poate deveni inaccesibil. Știm asta. Înțelegem, de asemenea, că dacă conduceți un buldozer în biroul nostru, probabil veți putea să luați unul dintre laptopurile noastre.
Acest principiu al proporționalității este relevant și atunci când se demonstrează vulnerabilitatea în sine. Nu ar trebui să inspectați sau să modificați mai multe date decât este strict necesar pentru a confirma validitatea constatării dumneavoastră. De exemplu, dacă puteți modifica pagina noastră de pornire, adăugați doar un singur cuvânt necontroversat în loc să preluați întreaga pagină. Dacă puteți obține acces la o bază de date, este suficient să ne arătați o listă a tabelelor care se află în ea sau poate prima înregistrare dintr-unul dintre aceste tabele.
O vulnerabilitate în unul dintre sistemele noastre ar trebui raportată cât mai curând posibil trimițând un e-mail la security@bof.nl. De preferință ați cripta mesajul folosind OpenPGP. Vă rugăm să furnizați suficiente informații pentru a putea reproduce și investiga problema.
Cheia publică OpenPGP pentru security@bof.nl
Nu veți împărtăși cunoștințele dumneavoastră despre vulnerabilitate cu alte părți cât timp nu am abordat problema și suntem încă într-un interval de timp rezonabil de când ați raportat problema.
Veți șterge toate informațiile confidențiale pe care le-ați obținut în timpul investigației dumneavoastră de îndată ce am rezolvat vulnerabilitatea.

Ce puteți aștepta de la noi

Vă vom răspunde raportului în termen de trei zile, într-un mod detaliat. Vom include o estimare a timpului de care vom avea nevoie pentru a aborda problema. Desigur, vă vom ține la curent în mod regulat cu progresul nostru.
Vom rezolva vulnerabilitatea cât mai curând posibil. Și aici proporționalitatea este importantă: timpul necesar pentru remedierea unei vulnerabilități depinde de mai mulți factori, printre care gravitatea și complexitatea problemei în cauză.
Când urmați îndrumările prezentate aici, nu vom lua măsuri legale împotriva dumneavoastră cu privire la raportul dumneavoastră.
Este important pentru noi să vă recunoaștem meritul pentru ceea ce ați făcut - dacă doriți. Vă vom menționa numele într-o publicație despre vulnerabilitate doar dacă sunteți de acord.
Ca mulțumire pentru ajutorul dat în protejarea mai bună a sistemelor noastre, am dori să recompensăm fiecare raport al unei vulnerabilități care ne era necunoscută la acel moment. Recompensa va depinde de gravitatea vulnerabilității și de calitatea raportului.

Dacă găsiți o vulnerabilitate în software-ul unui terț pe care îl folosim și acea vulnerabilitate este acoperită de un program bug bounty, nu vom încerca să revendicăm această recompensă; ar trebui să o faceți dumneavoastră.