NCSC.nl

1. Úvod

Spoločnosť sa čoraz viac digitalizuje. Dnes takmer všetky procesy v určitom bode zahŕňajú používanie počítačov, od mobilných telefónov až po špecializovaný softvér. Hoci tento vývoj vytvára mnoho nových príležitostí, zraniteľnosti v IT systémoch môžu mať veľký dopad. V dôsledku toho by sa so znalosťami o týchto zraniteľnostiach malo nakladať účinne.

Na začiatku roka 2013 začali niektoré organizácie zverejňovať zásady o tom, ako hlásiť zraniteľnosti. Po konzultácii s týmito stranami Národné centrum kybernetickej bezpečnosti (NCSC) zhrnulo vývoj vo forme „Usmernenia na dosiahnutie praxe zodpovedného zverejňovania" („Leidraad om te komen tot een praktijk van Responsible Disclosure"; „Usmernenia"). Firmy prostredníctvom týchto zásad dávajú najavo, že sú otvorené prijímaniu externých hlásení o zraniteľnostiach, opisujú svoje podmienky a dávajú sľuby. Tento proces vytvoril jasnosť a do istej miery bezpečné prostredie pre nahlasujúce strany, aby mohli skúmať a nahlasovať zraniteľnosti bez toho, aby sa priamo dopúšťali trestného činu. Na vysokej úrovni stretnutia EÚ o kybernetickej bezpečnosti v roku 2016 29 organizácií opätovne potvrdilo dôležitosť zásad pre nakladanie so zraniteľnosťami podpísaním Manifestu koordinovaného zverejňovania zraniteľností1, ktorý iniciovala CIO Platform Netherlands a Rabobank v spolupráci s NCSC.

Koordinované zverejňovanie zraniteľností (CVD) sa ukázalo ako veľmi dôležité pre verejné aj súkromné strany. Ich každodenná prax je vysoko závislá od nerušeného fungovania informačných systémov. Hlásenia o zraniteľnostiach v ich systémoch pomohli v posledných rokoch zlepšiť bezpečnosť a kontinuitu systémov, na jednej strane odstraňovaním zraniteľností a na druhej strane prispievaním k všeobecnému povedomiu holandských firiem o IT bezpečnosti.

V posledných rokoch sa ukázalo, že nahlasujúce strany sú ochotné pracovať v rámci podmienok zásad CVD, ktoré vypracovali organizácie. Nahlasujúce strany posielajú hlásenia organizáciám priamo alebo nepriamo. Prax zodpovedného zverejňovania ukázala, že dobre mienené nahlasujúce strany a zraniteľné organizácie dokázali spolupracovať, a tak urobiť ďalší krok k zvýšeniu bezpečnosti sietí a informačných systémov.

Pre túto revíziu sme sa opäť rozprávali so širokou a rozmanitou skupinou nahlasujúcich strán, súkromných a verejných strán, ako aj s prokuratúrou a národnou políciou. Tieto rozhovory potvrdili súčasnú prax a viedli k doplneniam a vylepšeniam. Najdôležitejším novým bodom pozornosti je komunikácia medzi nahlasovateľom zraniteľnosti a organizáciou, ako aj s inými stranami po odstránení zraniteľnosti.

Nasledujúce kapitoly pojednávajú o definícii CVD, stavebných prvkoch zásad CVD a komunikačnom procese.

Poznámka bokom: Predchádzajúce Usmernenia používali pojem „zodpovedné zverejňovanie", ktorý bol v tom čase bežným pojmom pre túto prax. Medzitým sa ukázalo, že tento pojem kladie príliš veľký dôraz na zodpovednosť nahlasujúcej strany, hoci základným princípom je, že nahlasujúca strana a potenciálne zraniteľná organizácia by mali byť v dialógu rovnocennými partnermi. Tento postoj lepšie vystihuje súčasný bežne používaný pojem „koordinované zverejňovanie zraniteľností" (CVD), ktorý je zároveň názvom používaným v normách ISO 29147 a 30111 o tomto procese.

2. Koordinovaná zraniteľnosť

Za posledných 30 rokov sa používali rôzne metódy na zvyšovanie povedomia o zraniteľnostiach v IT systémoch. Príkladmi sú:

„Úplné zverejnenie" (Full Disclosure), úplné sprístupnenie zraniteľnosti verejnosti;
„Nezverejnenie" (Non-disclosure), predaj alebo vlastné využitie zraniteľnosti;
„Koordinované zverejňovanie zraniteľností" (CVD), koordinované zverejnenie zraniteľnosti.

Poslednej z týchto praxí sa výslovne dáva prednosť.

IT komunita preukázala veľkú ochotu zdieľať poznatky a skúsenosti. Hľadanie spolupráce s touto komunitou môže preto pomôcť zlepšiť celkovú bezpečnosť systémov.

Cieľ koordinovaného zverejňovania zraniteľností

Cieľom CVD je prispieť k bezpečnosti IT systémov zdieľaním poznatkov o zraniteľnostiach. V CVD sa poznatky zdieľajú s jednou alebo viacerými potenciálne zraniteľnými organizáciami s cieľom dospieť v spolupráci s nahlasujúcou stranou k spoločnému riešeniu nájdenej zraniteľnosti. Je dôležité, aby mali dotknuté organizácie dostatok času na odstránenie zraniteľností alebo ochranu systémov s cieľom čo najviac obmedziť alebo zabrániť strate či škode. Základným kameňom procesu je zverejnenie poznatkov o zraniteľnostiach po ich odstránení.

V CVD je podstatné, aby všetky strany dodržiavali dohody o tom, ako zraniteľnosť nahlásiť a ako s ňou naložiť. Pomáha, ak organizácia vopred zverejní podmienky, napríklad ktoré systémy patria do rozsahu a aký druh výskumu možno vykonávať. Dôležitým princípom týchto podmienok je, že organizácia v zásade nenahlási nahlasujúcu stranu ani nepodnikne iné právne kroky, ak sa skúmanie a nahlasovanie vykonáva v rámci stanovených podmienok. Tieto Usmernenia poskytujú organizáciám vodítko pri vypracúvaní vlastných zásad, ktoré stelesňujú princípy CVD.

Ako naznačuje názov, pre CVD je ústredné, aby sa organizácia a nahlasujúca strana navzájom koordinovali. V tomto ohľade by malo byť medzi osobou nahlasujúcou zraniteľnosť a osobou v rámci organizácie, ktorá je zodpovedná za riešenie problému, čo najmenej väzieb.

Ak zraniteľnosť postihuje mnoho systémov, môže byť dôležité informovať viaceré strany súčasne. V takom prípade môže NCSC alebo iné strany v rámci bezpečnostnej komunity podporiť proces CVD z koordinačnej úlohy.

3. Oblasti zodpovednosti

Cieľom presadzovania zásad CVD je, aby nahlasujúce strany a organizácia spolupracovali na znižovaní zraniteľností v IT systémoch. Zavedenie týchto zásad by sa malo chápať ako doplnok k existujúcim opatreniam v oblasti informačnej bezpečnosti. Jednotliví aktéri majú každý svoju vlastnú úlohu a zodpovednosti. Tie sú podrobnejšie vysvetlené nižšie.

Organizácia, ktorá systém vlastní/spravuje

Organizácia, ktorá systém vlastní/spravuje alebo dodáva, je v prvom rade zodpovedná za bezpečnosť tohto systému. Inými slovami, organizácia je tiež zodpovedná za následné spracovanie hlásenia o zraniteľnosti.

Organizácia sa môže rozhodnúť vypracovať si vlastné zásady CVD podľa týchto Usmernení a oznámiť tieto zásady potenciálnym nahlasujúcim stranám. Zverejnením zásad CVD organizácie dávajú najavo ochotu prijímať informácie o zraniteľnostiach.

Strana, ktorá zavádza zásady CVD, sa môže zaviazať k princípu, že nepodá trestné oznámenie na políciu, ak sa dodržiavajú pravidlá platné pre tieto zásady.

Keď nahlasujúca strana zraniteľnosť nahlásila, zodpovednosť leží na organizácii. Je dôležité si uvedomiť, že nahlasujúca strana je často niekto mimo organizácie. Táto strana nemá priamy prehľad o vnútorných procesoch, ktoré sa môžu spustiť po nahlásení zraniteľnosti. Preto nahlasujúce strany ocenia, ak sú informované o vývoji pri riešení zraniteľnosti. Táto priebežná komunikácia je dôležitá aj na vytvorenie správnych očakávaní ohľadom nadväzujúcich krokov a včasnosti riešenia.

Strana nahlasujúca zraniteľnosť

Nahlasujúca strana nejakým spôsobom dokázala identifikovať zraniteľnosť a chce prispieť k bezpečnosti IT systémov tým, že sa táto zraniteľnosť odstráni a prípadne neskôr zverejní. Nahlasujúca strana mohla niečo objaviť pasívnym pozorovaním alebo aktívnym testovaním IT systému. Samozrejme, táto strana je zodpovedná za svoje vlastné konanie a spôsob, akým zraniteľnosť objavila. Je to vlastná zodpovednosť nahlasujúcej strany, aby si bola vedomá podmienok, ktoré organizácia stanovila vo svojich zásadách CVD. Väčšina vlád a firiem zverejnila svoje zásady CVD na svojich webových stránkach.

Hľadanie zraniteľností však môže zahŕňať porušenie zákona. V kontexte CVD sa organizácia a nahlasujúca strana môžu dohodnúť, že v prípade akýchkoľvek trestných činov nepodajú trestné oznámenie. V tomto ohľade sú vodiacim princípom zásady CVD zverejnené organizáciou. Strany sa môžu tiež dohodnúť, že sa nepodnikne žiadne občianskoprávne konanie.

Ak existuje podozrenie, že nahlasujúca strana porušila zákon, zásady CVD môžu predovšetkým pomôcť zabrániť tomu, aby bol nahlasovateľ nahlásený úradom. Tento postup závisí výlučne od podmienok zásad, ktoré organizácia od nahlasujúcej strany vyžaduje dodržiavať, a od toho, či sa toto dodržiavanie dosiahlo, prípadne s zodpovedajúcim sľubom, že sa nepodá trestné oznámenie, pokiaľ strana koná v rámci podmienok zásad. Ak sa podá oznámenie na políciu, existencia zásad CVD a ich dodržiavanie je v Holandsku relevantnou okolnosťou, ktorú prokurátor zohľadní pri rozhodovaní, či začať trestné vyšetrovanie a/alebo trestne stíhať. V zásade polícia a prokuratúra (OM) nezačnú trestné vyšetrovanie, ak nahlasujúca strana jasne dodržala pravidlá zásad CVD dotknutej organizácie. Prokuratúra a polícia však môžu prípad ďalej vyšetrovať, ak existujú náznaky, že nahlasujúca strana pri svojom konaní vedome alebo nevedome zašla príliš ďaleko a/alebo nedodržala zásady CVD. Na základe tohto vyšetrovania môže prokuratúra rozhodnúť, či bude trestne stíhať.

Prokuratúra zverejnila usmerňujúci list, v ktorom sa konkrétnejšie zaoberá aspektmi, ktoré sú dôležité pri rozhodovaní o vyšetrovaní a/alebo trestnom stíhaní. Napríklad, či konanie nahlasujúcej strany slúžilo dôležitému verejnému záujmu, či strana konala neprimerane a či strana mohla možno konať iným, menej drastickým spôsobom. Príslušný usmerňujúci list tieto aspekty ďalej rozpracúva.2 Relevantná judikatúra od roku 20133 ukazuje, že tieto aspekty sa zohľadňujú aj na súde, ak organizácia nemá zásady CVD.

4. Stavebné prvky procesu koordinovaného zverejňovania zraniteľností

Nižšie sú uvedené stavebné prvky pri formovaní procesu CVD pre organizáciu, nahlasovateľa a NCSC.

Organizácia

Presadzovanie CVD sa začína pri organizácii, ktorá vlastní IT systémy alebo ktorá dodáva IT produkt/systém. Táto organizácia je totiž v prvom rade zodpovedná za informačnú bezpečnosť týchto IT systémov. Aby mohla účinne spolupracovať s rôznymi stranami na riešení zraniteľností, organizácia sa môže rozhodnúť vypracovať a zverejniť zásady CVD. Vypracovaním vlastných zásad CVD môže organizácia preukázať, ako nakladá s hláseniami o zraniteľnostiach. Organizácia tak môže tiež formovať spôsob, akým si praje prijímať oznámenia. Takýto proces možno zorganizovať nasledovne:

Organizácia stanoví a zverejní zásady CVD.
V týchto zásadách organizácia poskytuje jasné pravidlá pre výskum, ktorý nahlasujúce strany môžu vykonávať, napríklad ktoré techniky sú povolené a ktoré systémy sú v rozsahu alebo mimo rozsahu.
Organizácia nahlasujúcej strane uľahčuje podanie hlásenia. Jednou z možností je použitie štandardizovaného spôsobu nahlasovania; napríklad konkrétna e-mailová adresa alebo online formulár. Organizácia sa navyše môže rozhodnúť, či bude prijímať anonymné hlásenia.
Organizácia vyčlení vnútornú kapacitu a zavedie proces, aby na hlásenia adekvátne reagovala. Je vhodné zaviesť proces, pomocou ktorého možno nájdené zraniteľnosti adekvátne odstrániť. V tomto ohľade pôvod hlásenia nie je dôležitý. Zraniteľnosť mohol identifikovať napríklad aj interný zamestnanec alebo mohla byť identifikovaná pri teste.
Praktické skúsenosti ukazujú, že po prvom zverejnení zásad CVD bude väčší záujem o nahlasovanie zraniteľností organizácii. Organizácia by to mala zohľadniť pri plánovaní (dodatočnej) kapacity.
Keď organizácia prijme hlásenie o zraniteľnosti, zabezpečí, aby hlásenie čo najskôr dorazilo na oddelenie, ktoré je najlepšie spôsobilé hlásenie posúdiť a vybaviť.
Organizácia nahlasujúcej strane pošle potvrdenie o prijatí hlásenia, najlepšie digitálne podpísané, aby sa zdôraznila priorita.
Následne organizácia vstúpi do konzultácie s nahlasujúcou stranou, aby určili lehotu, v ktorej sa uskutoční prípadné zverejnenie. Táto lehota bude výrazne závisieť od povahy zraniteľnosti a typu systému.
Ako vodítko sa pri softvérových zraniteľnostiach často používa lehota približne 60 dní. Odstraňovanie zraniteľností v hardvéri je ťažšie dosiahnuť; možno použiť vodítko 6 mesiacov.
Môže byť žiaduce túto lehotu po vzájomnej dohode predĺžiť alebo skrátiť v závislosti od toho, koľko alebo koľko málo IT systémov závisí od systému, pre ktorý bola zraniteľnosť nahlásená, alebo od toho, či je zraniteľnosť jednoduchšie alebo ťažšie vyriešiť.
Zraniteľnosť sa môže ukázať ako ťažko alebo nemožno riešiteľná, alebo s jej riešením môžu byť spojené vysoké náklady. V takých prípadoch môže organizácia súhlasiť s tým, že zraniteľnosť bude považovať za akceptované riziko a neodstráni ju, prípadne po konzultácii s nahlasujúcou stranou.
Organizácia bude nahlasujúcu stranu informovať o vývoji procesu.
Organizácia navyše môže ponúknuť, že nahlasujúca strana bude verejne uznaná za zverejnenie zraniteľnosti. Možno sa tiež rozhodnúť pre spoločné zverejnenie navonok.
Je vhodné odmeniť nahlasujúcu stranu za nahlásenie zraniteľností v systémoch, ak strana dodržala pravidlá zásad CVD. Výška odmeny môže závisieť od kvality hlásenia. Odmeňovanie nahlasujúcej strany môže vytvoriť lepší vzťah medzi touto stranou a organizáciou, ako aj zvýšiť ochotu ľudí podávať nové hlásenia v súlade so zásadami CVD.
Po konzultácii s nahlasujúcou stranou sa organizácia môže dohodnúť na informovaní širšej IT komunity o zraniteľnosti, ak je pravdepodobné, že zraniteľnosť je prítomná aj na iných miestach.
Vo svojich zásadách CVD sa organizácia môže zaviazať k princípu, že nepodá trestné oznámenie na políciu, ak nahlasujúca strana dodržala pravidlá uvedené v zásadách.

Nahlasujúca strana

Nahlasujúca strana je kľúčom k úspešnému procesu CVD. Táto strana nejakým spôsobom dokázala identifikovať zraniteľnosť a chce prispieť k bezpečnosti IT systémov tým, že organizácia zraniteľnosť odstráni a zverejní ju. Nahlasujúce strany tým uznávajú, že koordinovaným odhaľovaním zraniteľností môžu významne prispieť spoločnosti. Na dosiahnutie úspešného procesu CVD sú pre nahlasujúcu stranu dôležité tieto stavebné prvky:

Nahlasujúca strana je zodpovedná za svoje vlastné konanie a pri skúmaní a nahlasovaní zraniteľností musí dodržiavať zásady primeranosti, ako aj subsidiarity. Inými slovami, nahlasujúca strana by nemala robiť viac, než je potrebné na preukázanie zraniteľnosti, a zraniteľnosť by mala vždy najprv nahlásiť vlastníkovi systému/informácií.
Nahlasujúca strana musí problém nahlásiť čo najskôr, aby zabránila zlomyseľným stranám objaviť zraniteľnosť a zneužiť ju.
Nahlasujúca strana musí hlásenie organizácii podať dôverným spôsobom, aby zabránila ostatným získať prístup k týmto informáciám.
Nahlasujúca strana nesmie podanie hlásenia ani ďalšie poskytovanie informácií podmieňovať odmenou. Iniciatíva na udelenie odmeny za hlásenie patrí prijímajúcej organizácii, ktorá môže stanoviť podmienky vo svojich zverejnených zásadách.
Nahlasujúca strana a organizácia uzatvoria jasné dohody o zverejnení zraniteľnosti. Ak je zapojená viac než jedna organizácia, základným princípom je, že zraniteľnosti možno zverejniť iba vtedy, ak s tým všetky organizácie súhlasia. Uzatvoriť tieto dohody v skorom štádiu je vhodné.
Nahlasujúca strana a dotknutá organizácia sa môžu dohodnúť na informovaní širšej IT komunity. Táto situácia môže nastať napríklad pri zraniteľnosti (už známej alebo nie), o ktorej je známe, že sa nachádza na viac ako jednom mieste. Národné centrum kybernetickej bezpečnosti (NCSC) sa môže do tohto procesu zapojiť, aby podporilo cieľové skupiny ústrednej vlády a kritickej infraštruktúry alebo aby informovalo viaceré strany v prípade zraniteľnosti, ktorá postihuje mnoho systémov.

NCSC

Proces CVD je v prvom rade vecou organizácií a nahlasujúcich strán. NCSC však bude používanie procesu CVD podporovať. Po konzultácii s nahlasujúcou stranou a organizáciou sa NCSC môže zapojiť aj do zdieľania informácií o zraniteľnosti so svojou cieľovou skupinou s cieľom obmedziť ďalšie bezpečnostné riziká vyplývajúce zo zraniteľnosti.

Ak nahlásenie zraniteľnosti neprebehne tak, ako nahlasujúca strana očakáva, alebo ak by zraniteľnosť nechcela nahlásiť priamo organizácii, môže sa obrátiť na NCSC.4 V tomto prípade môže NCSC v prípade potreby pôsobiť ako sprostredkovateľ.

Vlastník IT systému je vždy zodpovedný za bezpečnosť systému. NCSC nemôže vlastníka systému prinútiť, aby zraniteľnosť odstránil, ani nemôže zaručiť, že vlastník nepodnikne právne kroky voči nahlasujúcej strane. Preto musí nahlasujúca strana pri hľadaní a nahlasovaní zraniteľnosti zohľadniť vyššie uvedené stavebné prvky pre organizácie a nahlasujúce strany. Nahlasujúca strana môže od NCSC očakávať, že vynaloží maximálne úsilie, aby sa zraniteľnosť odstránila, a že s hlásením naloží dôverne. NCSC nezdieľa žiadne osobné údaje, pokiaľ mu to nenariaďuje zákon.

Ak je to možné, NCSC použije získané informácie o zraniteľnostiach v konzultácii s organizáciami a nahlasujúcimi stranami na ďalšie zdieľanie poznatkov s IT komunitou. Môže tak urobiť napríklad zverejnením časti informácií, napísaním alebo aktualizáciou informačného listu alebo odbornej štúdie (white paper), alebo informovaním konkrétnych organizácií.

V závislosti od dotknutej organizácie a povahy zistenej zraniteľnosti sa NCSC bude snažiť upozorniť dotknutú organizáciu na zraniteľnosť. Vlastník dotknutého IT systému však zostáva za systém zodpovedný.
Kde je to možné a potrebné, NCSC poskytne dotknutej organizácii poradenstvo, ako zraniteľnosť odstrániť.
NCSC bude s hláseniami zaobchádzať dôverne a nebude zdieľať osobné údaje nahlasujúcich strán ani prijímajúcej organizácie bez súhlasu, pokiaľ to nevyplýva zo zákonnej povinnosti.
Kdekoľvek je to možné, NCSC bude nahlasujúcu stranu informovať o vývoji v kontakte s organizáciou a o odstraňovaní zraniteľnosti.
V prípadoch, keď sa hlásenie podá NCSC, sa NCSC pokúsi nahlasujúcu alebo potenciálne nahlasujúcu stranu a organizáciu dať do vzájomného kontaktu.

Ak nahlasujúca strana našla napríklad zraniteľnosť v softvérovom produkte alebo zraniteľnosť, ktorá postihuje mnoho rôznych systémov, môže nahlasujúca strana požiadať NCSC o koordináciu odstránenia a zverejnenia zraniteľnosti.

Spolu s nahlasujúcou stranou, partnermi, vývojármi a/alebo softvérovými vývojármi a ďalšími bezpečnostnými tímami NCSC pomôže zraniteľnosť analyzovať, odstrániť alebo dať odstrániť, koordinovať a kontrolovaným spôsobom zverejniť. Celý tento proces prebieha v úzkej konzultácii s nahlasujúcou stranou, ktorá zraniteľnosť našla.

Zásady CVD sa snažia nájsť rovnováhu medzi dôležitosťou zverejnenia zraniteľností čo najrýchlejšie, aby sa mohli prijať opatrenia, a dôležitosťou toho, aby vývojári aj dodávatelia mali dostatok času na odstránenie zraniteľnosti. Pre tento proces NCSC používa štandardnú lehotu 60 dní medzi nahlásením a verejným zverejnením. Môžu však nastať okolnosti, za ktorých sa možno rozhodnúť túto lehotu predĺžiť alebo skrátiť.

NCSC bude informácie o zraniteľnosti zdieľať s tretími stranami vždy len po konzultácii s nahlasujúcou stranou. V tejto súvislosti je podstatné, že NCSC spolupracuje a teda zdieľa informácie o zraniteľnosti so zainteresovanými stranami, aby zraniteľnosť zverejnilo koordinovaným spôsobom. NCSC pritom zabezpečí, že správne strany môžu pracovať na odstránení zraniteľnosti, pomôže obmedziť akúkoľvek stratu alebo škodu a pomôže upozorniť na nájdenú zraniteľnosť.

5. Komunikácia a proces zverejňovania

Päťročná prax ukázala, že jasná komunikácia je základným kameňom úspešného procesu CVD. Existujú body pozornosti pred procesom CVD, počas neho a po ňom.

Komunikácia o procese zverejňovania

Zverejnenie zásad CVD je prvým krokom v komunikácii o procese. Verejným zverejnením zásad sú nahlasujúce strany vyzvané, aby organizáciu upozornili na všetky nájdené zraniteľnosti.

Na jednej strane môže organizácia stanoviť podmienky pre výskum, ktorý sa vykonáva na objavenie zraniteľností, a spôsob, akým sa nadväzuje kontakt. Na druhej strane sa môže organizácia zaviazať k princípu, že nepodá trestné oznámenie na políciu, ak sa pravidlá zásad dodržiavajú. Tento prístup chráni postavenie nahlasujúcej strany.

Zásady CVD sa môžu neskôr zmeniť alebo aktualizovať. Je dôležité byť v tomto ohľade jasný pri zmenách. Nahlasujúce strany majú záujem vedieť, čo sa zmenilo a kedy. Zmeny možno objasniť napríklad uvedením dátumu zverejnenia na začiatku zásad CVD, opisom súhrnu zmien pod zásadami CVD alebo vedením archívu starých verzií zásad CVD.

Zásady CVD môžu poskytnúť usmernenia, ako komunikovať počas procesu, napríklad uvedením pravidelných aktualizácií cez e-mail alebo webový portál. Zásady CVD môžu navyše opísať, ako možno nahlasovateľa uznať jeho spomenutím pri aktualizácii, zaradením do siene slávy alebo akoukoľvek inou formou odmeny.

Komunikácia počas procesu zverejňovania

Nahlasujúca strana zahajuje proces CVD odoslaním správy organizácii. V tejto správe nahlasujúca strana jasne opíše objavenú zraniteľnosť. Dôležitými prvkami sú IP adresa alebo URL postihnutého systému a kroky potrebné na reprodukciu zraniteľnosti.

Pre organizáciu je dôležité komunikovať s nahlasujúcou stranou jasne, aby boli očakávania o procese zrejmé.

Môže tak urobiť už odoslaním potvrdenia o prijatí (automatizovaného alebo iného), ktoré obsahuje údaj o lehote, v ktorej sa pošle prvá alebo následná vecná odpoveď.

Je tiež možné túto lehotu nechať otvorenú a prvý údaj o lehote uviesť až po posúdení obsahu hlásenia. Je vhodné byť čo najskôr jasný ohľadom lehoty, v ktorej sa dá dosiahnuť riešenie. Takto nahlasovateľ vie, kedy môže očakávať výsledok.

V niektorých prípadoch sa môže stať, že dátum zverejnenia je nahlasujúcej strane už jasný; napríklad kvôli prezentácii na konferencii alebo preto, že si nahlasujúca strana stanovila vlastnú lehotu. V takom prípade je stále dôležité, aby nahlasujúca strana túto časovú os jasne oznámila, uviedla ju čo najskôr a bola jasná v otázke možnosti/nemožnosti odloženia tohto dátumu.

Nahlasujúca strana je často niekto mimo organizácie, kto nemá žiadny prehľad o vnútorných procesoch, ktoré môže hlásenie spustiť. Organizácie môžu nahlasujúcu stranu informovať o vývoji procesu pravidelnými aktualizáciami. Tento prístup dáva nahlasujúcej strane jasne najavo, že na riešení sa pracuje. V prípade potreby môže organizácia počas procesu požiadať o objasnenie alebo o otestovanie riešenia.

Ak organizácia nedokáže dodržať pôvodnú lehotu na vyriešenie, môže sa s nahlasovateľom dohodnúť na jej odložení. Pravidelná komunikácia môže túto situáciu nahlasovateľovi objasniť v skoršom štádiu.

Hlavným zámerom CVD je zraniteľnosť zmierniť, ale „úplné zverejnenie" zraniteľnosti je pre nahlasujúcu stranu vždy možnosťou, ak má pocit, že proces potrvá príliš dlho. Toto opatrenie je pomyselnou „veľkou palicou", ktorú má nahlasujúca strana k dispozícii. Prirodzene, tejto situácii je potrebné v maximálnej miere predchádzať.

Komunikácia po procese zverejňovania

Existuje mnoho možných dôvodov, prečo môže nahlasujúca strana hľadať zraniteľnosti a potom ich nahlasovať organizáciám prostredníctvom procesu CVD. Pre veľké množstvo nahlasujúcich strán je dôležitým podnetom (verejné) uznanie.

Nahlasujúce strany získavajú verejné uznanie poďakovaním v aktualizácii alebo zápisom do siene slávy. Potreba verejného uznania sa však netýka všetkých nahlasujúcich strán; niektoré v skutočnosti nechcú byť verejnosti známe. V prípade komunikácie zo strany organizácie je preto vhodné získať súhlas nahlasujúcej strany s jej uvedením.

Nahlasujúce strany sa navyše môžu rozhodnúť komunikovať o hlásení aj po dokončení procesu CVD. Nahlasujúca strana môže napríklad opísať proces objavenia alebo varovať ostatných pred zraniteľnosťou. Nahlasovateľ sa môže rozhodnúť predložiť publikáciu organizácii na informačné účely. Keďže proces CVD je v zásade dokončený po odstránení zraniteľnosti, nahlasujúca strana môže následne slobodne komunikovať o veci, pokiaľ sa v zásadách alebo počas procesu neuzavreli dodatočné dohody.

Zoznam

Komunikácia o procese zverejňovania

Zverejnenie zásad CVD na webovej stránke
Byť jasný ohľadom obmedzení (rôzne prístupy pozri v kapitole 6)
Obmedzenia vo vyšetrovacích metódach
Usmernenia o komunikácii
Usmernenia o možných odmenách: sieň slávy, finančná odmena, tričko atď.
Byť jasný ohľadom akýchkoľvek aktualizácií zásad CVD vrátane dátumu zmien

Komunikácia počas procesu zverejňovania

Nahlasovateľ kontaktuje organizáciu ohľadom objavenej zraniteľnosti.
Organizácia riadi očakávania, napríklad čas odpovede na prvú technickú reakciu
Organizácia a nahlasovateľ si navzájom objasnia očakávanú lehotu na vyriešenie
Organizácia často poskytuje (procesovú) aktualizáciu
Kde je to potrebné, nahlasovateľ a organizácia prediskutujú kontaktovanie ďalších relevantných organizácií

Komunikácia po procese zverejňovania

Prediskutovať (verejné) uznanie a odmenu nahlasovateľa
Dohodnúť, ako sa informácie o zraniteľnosti zverejnia, napríklad fáza výskumu alebo informovanie ďalších organizácií

6. Príklady zásad koordinovaného zverejňovania zraniteľností

Existuje mnoho rôznych foriem textov zásad koordinovaného zverejňovania zraniteľností. Keďže zverejnené zásady CVD slúžia ako ukazovateľ pre potenciálne nahlasujúce strany, uistite sa, že forma týchto zásad je v súlade s politikou a stratégiou organizácie.

V zásadách CVD sú dôležité tieto prvky:

kontaktný spôsob pre zabezpečenú komunikáciu;
podmienky pre nahlasujúce strany;
jasné očakávania ohľadom spracovania hlásenia;
spôsob odmeňovania hlásenia;
číslo verzie a dátum poslednej revízie.

Nižšie sú uvedené tri príklady: Mnoho organizácií v Holandsku vychádzalo zo základného príkladu ResponsibleDisclosure.nl. Iné organizácie zahŕňajú ďalšie podmienky, pozri zásady Fox IT. Ďalšie organizácie uplatňujú voľnejší formát, aby zodpovedal ich cieľovej skupine, pozri zásady Bits of Freedom.

Príklad: ResponsibleDisclosure.nl

Tento text napísala Floor Terra a je zverejnený pod licenciou Creative Commons Attribution 3.0 Unported.

V spoločnosti Acme Corporation považujeme bezpečnosť našich systémov za najvyššiu prioritu. Nech však vynaložíme akékoľvek úsilie na bezpečnosť systémov, zraniteľnosti môžu stále existovať.

Ak objavíte zraniteľnosť, radi by sme o nej vedeli, aby sme mohli podniknúť kroky na jej čo najrýchlejšie vyriešenie.

Chceme vás požiadať, aby ste nám pomohli lepšie chrániť našich klientov a naše systémy.

Prosíme, urobte nasledovné:

Pošlite svoje zistenia e-mailom na cert@example.com. Zašifrujte svoje zistenia pomocou nášho kľúča PGP, aby sa tieto kritické informácie nedostali do nesprávnych rúk,
Nezneužívajte zraniteľnosť ani problém, ktorý ste objavili, napríklad sťahovaním väčšieho množstva údajov, než je nevyhnutné na preukázanie zraniteľnosti, alebo vymazávaním či úpravou údajov iných ľudí,
Nezverejňujte problém iným, kým nie je vyriešený,
Nepoužívajte útoky na fyzickú bezpečnosť, sociálne inžinierstvo, distribuované odmietnutie služby, spam ani aplikácie tretích strán, a
Poskytnite dostatok informácií na reprodukciu problému, aby sme ho mohli vyriešiť čo najrýchlejšie. Zvyčajne postačuje IP adresa alebo URL postihnutého systému a opis zraniteľnosti, no zložité zraniteľnosti si môžu vyžadovať ďalšie vysvetlenie.

Čo sľubujeme:

Na vaše hlásenie odpovieme do 3 pracovných dní s naším vyhodnotením hlásenia a očakávaným dátumom vyriešenia,
Ak ste dodržali vyššie uvedené pokyny, nepodnikneme voči vám v súvislosti s hlásením žiadne právne kroky,
S vaším hlásením naložíme prísne dôverne a vaše osobné údaje neposkytneme tretím stranám bez vášho súhlasu,
Budeme vás informovať o pokroku pri riešení problému,
Vo verejných informáciách o nahlásenom probléme uvedieme vaše meno ako objaviteľa problému (pokiaľ si neželáte inak), a
Ako prejav vďaky za vašu pomoc ponúkame odmenu za každé hlásenie bezpečnostného problému, ktorý nám ešte nebol známy. Výška odmeny sa určí podľa závažnosti úniku a kvality hlásenia. Minimálnou odmenou bude darčeková poukážka v hodnote 50 €.

Snažíme sa vyriešiť všetky problémy čo najrýchlejšie a radi by sme sa aktívne podieľali na konečnom zverejnení informácií o probléme po jeho vyriešení.

Príklad: Fox-IT

V spoločnosti Fox-IT považujeme bezpečnosť našich systémov, našej siete a našich produktov za mimoriadne dôležitú. Napriek veľkej starostlivosti, ktorú bezpečnosti venujeme, môžu stále zostať slabé miesta. Ak ste takú slabinu našli, radi by sme sa o nej dozvedeli čo najskôr, aby sme mohli čo najrýchlejšie prijať vhodné opatrenia.

Slabé miesta možno objaviť dvoma spôsobmi: môžete na niečo náhodne natrafiť pri bežnom používaní digitálneho prostredia, alebo sa ich môžete výslovne snažiť nájsť.

Naše zásady zodpovedného zverejňovania nie sú pozvánkou na aktívne skenovanie našej podnikovej siete s cieľom odhaliť slabé miesta. Našu podnikovú sieť monitorujeme sami. To znamená, že existuje vysoká pravdepodobnosť, že sa sken zistí a že náš Security Operation Center (SOC) vykoná vyšetrovanie, čo by mohlo viesť k zbytočným nákladom. Pozývame vás však, aby ste aktívne hľadali zraniteľnosti v našich produktoch v offline neprodukčnom prostredí a svoje zistenia nám nahlásili. Naša zodpovednosť voči našim zákazníkom znamená, že naším úmyslom nie je podporovať pokusy o hackovanie ich infraštruktúry; chceli by sme však od vás čo najskôr počuť, ak sa zraniteľnosti nájdu, aby sme ich mohli adekvátne vyriešiť.

Radi by sme s vami spolupracovali, aby sme mohli lepšie chrániť našich zákazníkov a naše systémy.

Žiadame vás, aby ste:

Svoje zistenia čo najskôr poslali e-mailom na security-alert@fox-it.com.
Zraniteľnosť nezneužívali; napríklad sťahovaním, úpravou alebo mazaním údajov. Vaše hlásenie vždy vezmeme vážne a preveríme akékoľvek podozrenie na zraniteľnosť, aj bez dôkazu.
Problém nezdieľali s ostatnými, kým nebude vyriešený.
Nepoužívali útoky na fyzickú bezpečnosť, sociálne inžinierstvo ani hackerské nástroje, ako sú skenery zraniteľností.
Poskytli dostatok informácií na reprodukciu problému, aby sme ho mohli vyriešiť čo najrýchlejšie. Zvyčajne postačuje IP adresa alebo URL postihnutého systému a opis zraniteľnosti, hoci pri zložitejších zraniteľnostiach môžu byť potrebné ďalšie informácie.

Čo sľubujeme:

Na vaše hlásenie odpovieme do troch pracovných dní s naším vyhodnotením hlásenia a očakávaným dátumom vyriešenia.
S vaším hlásením naložíme dôverne a vaše osobné údaje nebudeme zdieľať s tretími stranami bez vášho súhlasu. Výnimkou je polícia a súdnictvo v prípade trestného stíhania alebo ak sa informácie vyžiadajú.
Budeme vás informovať o pokroku pri riešení problému.
V komunikácii o nahlásenom probléme uvedieme vaše meno ako stranu, ktorá problém objavila, ak si to želáte.
Žiaľ, nie je možné vopred zaručiť, že voči vám nebudú podniknuté právne kroky. Dúfame, že budeme môcť posúdiť každú situáciu samostatne. Považujeme sa za morálne povinných vás nahlásiť, ak máme podozrenie, že sa slabina alebo údaje zneužívajú, alebo že ste zdieľali poznatky o slabine s ostatnými. Môžete si byť istí, že náhodné objavenie v našom online prostredí nepovedie k trestnému stíhaniu.
Ako poďakovanie za vašu pomoc ponúkame odmenu za každé hlásenie bezpečnostného problému, ktorý nám nie je známy. Hodnotu odmeny určujeme na základe závažnosti porušenia a kvality hlásenia.

Snažíme sa vyriešiť všetky problémy čo najrýchlejšie, informovať všetky zúčastnené strany a radi by sme sa podieľali na akomkoľvek zverejnení o probléme po jeho vyriešení.

Príklad: Bits of Freedom

Naša závislosť od digitálnej infraštruktúry stále rastie. Platí to pre spoločnosť ako celok, ale aj pre nás samých. Preto sme toho názoru, že vlády a organizácie (vrátane tej našej) by sa mali pevne zaviazať k zabezpečeniu našej digitálnej infraštruktúry. Uvedomujeme si, že napriek našim najlepším úmyslom a najväčšej starostlivosti môžu v našich systémoch existovať zraniteľnosti. Ak náhodou nájdete niektorú z týchto slabín, radi by sme sa o nej dozvedeli, aby sme mohli problém vyriešiť.

Čo od vás očakávame

Keď skúmate niektorý z našich systémov, majte na pamäti primeranosť útoku. Nie je potrebné dokazovať, že ak náš web vystavíte najväčšiemu DDoS útoku v histórii internetu, stránka sa môže stať nedostupnou. Vieme to. Chápeme aj to, že ak vojdete do našej kancelárie buldozérom, pravdepodobne sa vám podarí schmatnúť jeden z našich notebookov.
Táto zásada primeranosti je dôležitá aj pri predvedení samotnej zraniteľnosti. Nemali by ste si prezerať ani upravovať viac údajov, než je striktne nevyhnutné na potvrdenie platnosti vášho zistenia. Napríklad, ak dokážete upraviť našu domovskú stránku, pridajte na ňu iba jedno nekontroverzné slovo namiesto prevzatia celej stránky. Ak získate prístup k databáze, stačí nám ukázať zoznam tabuliek, ktoré sa v nej nachádzajú, alebo možno prvý záznam v jednej z týchto tabuliek.
Zraniteľnosť v niektorom z našich systémov by ste mali nahlásiť čo najskôr zaslaním e-mailu na security@bof.nl. Najlepšie je, ak správu zašifrujete pomocou OpenPGP. Poskytnite dostatok informácií, aby sme mohli problém reprodukovať a preskúmať.
Verejný kľúč OpenPGP pre security@bof.nl
Nebudete zdieľať svoje poznatky o zraniteľnosti s inými stranami, kým sme problém neriešili a kým sme stále v primeranej lehote od nahlásenia problému.
Vymažete všetky dôverné informácie, ktoré ste získali počas vyšetrovania, hneď ako zraniteľnosť odstránime.

Čo môžete očakávať od nás

Na vaše hlásenie odpovieme do troch dní podrobne. Zahrnieme odhad času, ktorý budeme potrebovať na vyriešenie problému. Samozrejme, budeme vás pravidelne informovať o našom pokroku.
Zraniteľnosť odstránime čo najskôr. Aj tu je dôležitá primeranosť: čas potrebný na opravu zraniteľnosti závisí od viacerých faktorov, medzi ktoré patrí závažnosť a zložitosť daného problému.
Ak dodržíte tu stanovené zásady, nepodnikneme voči vám v súvislosti s vaším hlásením žiadne právne kroky.
Je pre nás dôležité uznať vašu zásluhu – ak si to želáte. Vaše meno uvedieme v publikácii o zraniteľnosti iba vtedy, ak s tým budete súhlasiť.
Ako poďakovanie za pomoc pri lepšej ochrane našich systémov by sme radi odmenili každé hlásenie o zraniteľnosti, ktorá nám v tom čase nebola známa. Odmena bude závisieť od závažnosti zraniteľnosti a kvality hlásenia.

Ak nájdete zraniteľnosť v softvéri tretej strany, ktorý používame, a táto zraniteľnosť je pokrytá programom odmien za chyby (bug bounty), nebudeme sa pokúšať si túto odmenu nárokovať; mali by ste to urobiť vy.