Fox-IT Samordnat röjande av sårbarheter

På Fox-IT anser vi att säkerheten för våra system, vårt nätverk och våra produkter är av yttersta vikt. Trots den stora omsorg vi lägger på säkerhet kan svagheter fortfarande finnas kvar. Om du har hittat en sådan svaghet vill vi gärna höra om den så snart som möjligt så att vi kan vidta lämpliga åtgärder så snabbt som möjligt.

Svagheter kan upptäckas på två sätt: du kan råka stöta på något av en slump vid normal användning av en digital miljö, eller så kan du uttryckligen göra ditt bästa för att hitta dem.

Vår policy för ansvarsfullt röjande är ingen inbjudan att aktivt skanna vårt affärsnätverk för att upptäcka svagheter. Vi övervakar vårt affärsnätverk själva. Det innebär att det är stor risk att en skanning upptäcks och att vårt säkerhetsoperationscenter (SOC) inleder en utredning, vilket kan medföra onödiga kostnader. Du är däremot välkommen att aktivt leta efter sårbarheter i våra produkter i en frånkopplad icke-produktionsmiljö och att rapportera dina fynd till oss. Vårt ansvar gentemot våra kunder innebär att vår avsikt inte är att uppmuntra hackningsförsök mot deras infrastruktur; men vi vill gärna höra av dig så snabbt som möjligt om sårbarheter hittas, så att vi kan åtgärda dem på ett adekvat sätt.

Vi vill gärna arbeta med dig för att bättre kunna skydda våra kunder och våra system.

Vi ber dig att:

• E-posta dina fynd så snabbt som möjligt till security-alert@fox-it.com.

• Inte utnyttja sårbarheten, till exempel genom att ladda ner, redigera eller radera data. Vi tar alltid din rapport på allvar och undersöker alla misstankar om en sårbarhet, även utan bevis.

• Inte dela problemet med andra förrän det har lösts.

• Inte använda angrepp mot fysisk säkerhet, social manipulation eller hackningsverktyg, till exempel sårbarhetsskannrar.

• Lämna tillräcklig information för att problemet ska kunna återskapas så att vi kan lösa det så snabbt som möjligt. Vanligtvis räcker IP-adressen eller URL:en till det berörda systemet och en beskrivning av sårbarheten, även om mer information kan behövas för mer komplexa sårbarheter.

Vad vi lovar:

• Vi svarar på din rapport inom tre arbetsdagar med vår bedömning av rapporten och ett förväntat lösningsdatum.

• Vi hanterar din rapport konfidentiellt och delar inte dina personuppgifter med tredje part utan ditt tillstånd. Undantag är polis och rättsväsende vid lagföring eller om uppgifterna krävs ut.

• Vi håller dig informerad om hur arbetet med att lösa problemet fortskrider.

• I kommunikationen om det rapporterade problemet anger vi ditt namn som den part som upptäckte problemet, om du vill.

• Det är tyvärr inte möjligt att i förväg garantera att inga rättsliga åtgärder vidtas mot dig. Vi hoppas kunna bedöma varje situation individuellt. Vi anser oss moraliskt skyldiga att anmäla dig om vi misstänker att svagheten eller uppgifterna missbrukas, eller att du har delat kunskap om svagheten med andra. Du kan vara trygg med att en oavsiktlig upptäckt i vår onlinemiljö inte leder till åtal.

• Som tack för din hjälp erbjuder vi en belöning för varje rapport om ett säkerhetsproblem som inte är känt för oss. Vi bestämmer belöningens värde utifrån intrångets allvarlighetsgrad och rapportens kvalitet.

Vi strävar efter att lösa alla problem så snabbt som möjligt, att hålla alla inblandade parter informerade och vi vill gärna vara delaktiga i all publicering om problemet när det har lösts.

Exempel: Bits of Freedom

Vårt beroende av digital infrastruktur ökar hela tiden. Det gäller samhället som helhet, men också oss själva. Vi anser därför att regeringar och organisationer (inklusive vår) bör engagera sig starkt för att säkra vår digitala infrastruktur. Vi inser att det, trots våra bästa avsikter och största omsorg, kan finnas sårbarheter i våra system. Om du råkar hitta någon av dessa svagheter vill vi gärna höra av dig så att vi kan lösa problemet.

Vad vi förväntar oss av dig

• När du undersöker ett av våra system, tänk på proportionaliteten i angreppet. Det finns ingen anledning att visa att vår webbplats kan bli onåbar om du utsätter den för den största DDoS-attacken i internets historia. Det vet vi. Vi förstår också att om du kör in en bulldozer på vårt kontor kommer du förmodligen att kunna norpa en av våra bärbara datorer.

• Denna proportionalitetsprincip är också relevant när du demonstrerar själva sårbarheten. Du bör inte granska eller ändra mer data än vad som är absolut nödvändigt för att bekräfta att ditt fynd stämmer. Om du till exempel kan ändra vår startsida, lägg bara till ett enda okontroversiellt ord i stället för att ta över hela sidan. Om du kan få åtkomst till en databas räcker det att visa oss en lista över tabellerna som finns där, eller kanske den första posten i någon av tabellerna.

• En sårbarhet i ett av våra system bör rapporteras så snart som möjligt genom att skicka e-post till security@bof.nl. Helst krypterar du ditt meddelande med OpenPGP. Lämna tillräckligt med information så att vi kan återskapa och undersöka problemet.

• Den offentliga OpenPGP-nyckeln för security@bof.nl

• Du delar inte din kunskap om sårbarheten med andra parter så länge vi inte har åtgärdat problemet och vi fortfarande befinner oss inom en rimlig tidsram sedan du rapporterade problemet.

• Du raderar all konfidentiell information du har fått under din undersökning så snart vi har löst sårbarheten.

Vad du kan förvänta dig av oss

• Vi svarar på din rapport inom tre dagar på ett utförligt sätt. Vi anger en uppskattning av hur lång tid vi behöver för att åtgärda problemet. Naturligtvis håller vi dig regelbundet underrättad om våra framsteg.

• Vi löser sårbarheten så snart som möjligt. Även här är proportionalitet viktigt: den tid som krävs för att åtgärda en sårbarhet beror på flera faktorer, bland annat hur allvarligt och komplext det aktuella problemet är.

• När du följer de riktlinjer som anges här vidtar vi inga rättsliga åtgärder mot dig med anledning av din rapport.

• Det är viktigt för oss att ge dig erkännande för det du gjort - om du vill. Vi nämner ditt namn i en publikation om sårbarheten endast om du går med på det.

• Som ett tack för att du hjälper oss att bättre skydda våra system vill vi belöna varje rapport om en sårbarhet som var okänd för oss vid den tidpunkten. Belöningen beror på sårbarhetens allvarlighetsgrad och rapportens kvalitet.

• Om du hittar en sårbarhet i tredjepartsprogramvara som vi använder och sårbarheten omfattas av ett bug bounty-program kommer vi inte att försöka göra anspråk på den belöningen; det bör du göra.