NCSC.nl

1. Inledning

Samhället digitaliseras alltmer. Numera involverar nästan alla processer användning av datorer någon gång, från mobiltelefoner till specialiserad programvara. Även om den här utvecklingen skapar många nya möjligheter kan sårbarheter i it-system få stora konsekvenser. Därför bör kunskap om dessa sårbarheter hanteras effektivt.

I början av 2013 började ett antal organisationer publicera policyer för hur sårbarheter ska rapporteras. Efter samråd med dessa parter sammanfattade Nationella cybersäkerhetscentret (National Cyber Security Centre, NCSC) utvecklingen i form av ‘Riktlinjer för att uppnå en praxis för ansvarsfullt röjande’ (på nederländska: ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘riktlinjerna’). Företag visar genom en sådan policy att de är öppna för att ta emot externa sårbarhetsrapporter, beskriver sina förutsättningar och lämnar löften. Processen skapade klarhet och en någorlunda trygg miljö för rapporterande parter att undersöka och rapportera sårbarheter utan att direkt begå ett brott. Vid EU:s högnivåmöte om cybersäkerhet 2016 bekräftade 29 organisationer återigen vikten av en policy för hantering av sårbarheter genom att underteckna manifestet för samordnat röjande av sårbarheter (Coordinated Vulnerability Disclosure Manifesto)1, som initierades av CIO Platform Nederländerna och Rabobank i samarbete med NCSC.

Samordnat röjande av sårbarheter (CVD) har visat sig vara av stor betydelse för offentliga och privata aktörer. De är starkt beroende av att informationssystem fungerar ostört i den dagliga verksamheten. Rapporter om sårbarheter i deras system har under de senaste åren bidragit till att förbättra systemens säkerhet och kontinuitet, dels genom att sårbarheter har åtgärdats, dels genom att bidra till nederländska företags allmänna medvetenhet om it-säkerhet.

Under de senaste åren har det blivit tydligt att rapporterande parter är beredda att arbeta inom de villkor i CVD-policyn som organisationerna har upprättat. Rapporter görs direkt eller indirekt till organisationer av rapporterande parter. Praxis för ansvarsfullt röjande har visat att välmenande rapporterande parter och sårbara organisationer har lyckats samarbeta och därmed ta nästa steg i att öka säkerheten i nätverks- och informationssystem.

Inför den här revideringen har vi återigen talat med en bred och varierad grupp av rapporterande parter, privata och offentliga aktörer samt åklagarmyndigheten och nationella polisen. Dessa samtal har bekräftat nuvarande praxis och lett till tillägg och förbättringar. Den viktigaste nya uppmärksamhetspunkten är kommunikationen mellan den som rapporterar en sårbarhet och organisationen, liksom med andra parter efter att en sårbarhet har åtgärdats.

I de följande kapitlen behandlas definitionen av CVD, byggstenarna för en CVD-policy och kommunikationsprocessen.

Notera: I de tidigare riktlinjerna användes termen ‘ansvarsfullt röjande’ (responsible disclosure), som då var den vanliga termen för denna praxis. Det har sedan dess blivit tydligt att termen lägger för stor tonvikt vid den rapporterande partens ansvar, medan grundprincipen är att den rapporterande parten och den potentiellt sårbara organisationen ska vara jämbördiga parter i dialogen. Denna inställning fångas bättre av den nu vanligen använda termen ‘samordnat röjande av sårbarheter’ (Coordinated Vulnerability Disclosure, CVD), som också är det namn som används i standarderna ISO 29147 och 30111 om denna process.

2. Samordnade sårbarheter

Olika metoder har använts under de senaste 30 åren för att öka medvetenheten om sårbarheter i it-system. Exempel är:

‘Fullt röjande’ (Full Disclosure), att göra en sårbarhet helt offentlig;
‘Icke-röjande’ (Non-disclosure), att sälja eller själv utnyttja en sårbarhet;
‘Samordnat röjande av sårbarheter’ (CVD), det samordnade röjandet av en sårbarhet.

Den sistnämnda praxisen föredras uttryckligen.

It-gemenskapen har visat stor vilja att dela kunskap och erfarenhet. Att söka samarbete med denna gemenskap kan därför bidra till att förbättra systemens totala säkerhet.

Syftet med samordnat röjande av sårbarheter

Syftet med CVD är att bidra till säkerheten i it-system genom att dela kunskap om sårbarheter. Inom CVD delas kunskap med en eller flera potentiellt sårbara organisationer för att, i samarbete med den rapporterande parten, komma fram till en gemensam lösning på den sårbarhet som hittats. Det är viktigt att de berörda organisationerna har tillräckligt med tid att åtgärda eventuella sårbarheter eller skydda system för att begränsa eller förhindra förlust eller skada så långt som möjligt. Hörnstenen i processen är röjandet av kunskap om sårbarheterna efter att de har åtgärdats.

Det är avgörande inom CVD att alla parter följer överenskommelser om hur en sårbarhet ska rapporteras och hanteras. Det hjälper om en organisation i förväg publicerar förutsättningar, till exempel vilka system som omfattas och vilken typ av undersökning som får göras. En viktig princip för dessa förutsättningar är att organisationen i princip inte anmäler den rapporterande parten eller vidtar andra rättsliga åtgärder om undersökningen och rapporteringen sker inom de fastställda villkoren. Dessa riktlinjer ger organisationer vägledning när de upprättar en egen policy för att förverkliga principerna för CVD.

Som namnet antyder är det centralt för CVD att organisationen och den rapporterande parten samordnar sig med varandra. I detta avseende bör det finnas så få länkar som möjligt mellan den som rapporterar sårbarheten och den person inom organisationen som ansvarar för att lösa problemet.

Det kan vara viktigt att informera flera parter samtidigt om en sårbarhet påverkar många system. I så fall kan NCSC eller andra parter inom säkerhetsgemenskapen stödja CVD-processen i en samordnande roll.

3. Ansvarsområden

Syftet med att driva en CVD-policy är att de rapporterande parterna och organisationen ska samarbeta för att minska sårbarheterna i it-system. Genomförandet av denna policy bör ses som ett komplement till befintliga åtgärder för informationssäkerhet. De olika aktörerna har var och en sin egen roll och sitt eget ansvar. Dessa förklaras närmare nedan.

Organisationen som äger/förvaltar ett system

Organisationen som äger/förvaltar eller levererar ett system har det primära ansvaret för säkerheten i detta system. Med andra ord ansvarar organisationen också för att följa upp en sårbarhetsrapport.

Organisationen kan välja att upprätta en egen CVD-policy med hjälp av dessa riktlinjer och att kommunicera denna policy till potentiella rapporterande parter. Genom att publicera en CVD-policy visar organisationer att de är villiga att ta emot information om sårbarheter.

En part som upprättar en CVD-policy kan förbinda sig till principen att inte göra en polisanmälan om de regler som gäller för policyn följs.

När en rapporterande part har rapporterat en sårbarhet ligger ansvaret hos organisationen. Det är viktigt att inse att den rapporterande parten ofta är någon utanför organisationen. Denna part har ingen direkt insyn i de interna processer som kan utlösas efter att en sårbarhet har rapporterats. Därför uppskattar rapporterande parter att bli informerade om utvecklingen i åtgärdandet av sårbarheten. Denna löpande kommunikation är också viktig för att skapa rätt förväntningar på uppföljningen och på hur snabbt lösningen kommer.

Parten som rapporterar en sårbarhet

På ett eller annat sätt har den rapporterande parten kunnat identifiera en sårbarhet och vill bidra till säkerheten i it-system genom att få sårbarheten åtgärdad och eventuellt offentliggjord i ett senare skede. Den rapporterande parten kan ha upptäckt något genom passiv observation eller genom att aktivt testa it-systemet. Naturligtvis är denna part ansvarig för sina egna handlingar och för det sätt på vilket den upptäckte sårbarheten. Det är den rapporterande partens eget ansvar att känna till de villkor som en organisation har fastställt i sin CVD-policy. De flesta myndigheter och företag har publicerat sina CVD-policyer på sina webbplatser.

Att hitta sårbarheter kan ändå innebära att man bryter mot lagen. I CVD-sammanhang kan organisationen och den rapporterande parten komma överens om att ingen anmälan görs för några brottsliga handlingar. I detta avseende är den CVD-policy som organisationen har publicerat den vägledande principen. Parterna kan också komma överens om att inga civilrättsliga åtgärder vidtas.

Om det finns misstanke om att den rapporterande parten har brutit mot lagen kan en CVD-policy först och främst bidra till att förhindra att rapportören anmäls till myndigheterna. Detta förfarande beror helt på de förutsättningar i policyn som en organisation kräver att en rapporterande part ska följa och på om detta har uppnåtts, eventuellt med ett motsvarande löfte om att inte göra någon brottsanmälan så länge parten håller sig inom policyns villkor. Om en polisanmälan görs är förekomsten av och efterlevnaden av en CVD-policy en relevant omständighet i Nederländerna, som åklagaren beaktar när hen avgör om en brottsutredning ska inledas och/eller åtal väckas. I princip inleder polisen och åklagarmyndigheten (OM) ingen brottsutredning om den rapporterande parten tydligt har följt reglerna i den aktuella organisationens CVD-policy. Åklagarmyndigheten och polisen kan dock undersöka ärendet vidare om det finns indikationer på att den rapporterande parten, medvetet eller omedvetet, har gått för långt i sina handlingar och/eller inte har följt CVD-policyn. På grundval av denna undersökning kan åklagarmyndigheten besluta om åtal ska väckas.

Åklagarmyndigheten har publicerat ett policybrev där den mer specifikt behandlar aspekter som är viktiga för att fatta beslut om att utreda och/eller åtala. Det gäller till exempel om den rapporterande partens handlingar tjänade ett viktigt allmänintresse, om parten agerade oproportionerligt och om parten kanske hade kunnat agera på något annat, mindre ingripande sätt. Det aktuella policybrevet utvecklar dessa aspekter ytterligare.2 Relevant rättspraxis sedan 20133 visar att dessa aspekter också beaktas i domstol om en organisation inte har någon CVD-policy.

4. Byggstenar i processen för samordnat röjande av sårbarheter

Byggstenar för utformningen av CVD-processen för organisationen, rapportören och NCSC redovisas nedan.

Organisationen

Främjandet av CVD börjar hos en organisation som äger it-system eller som levererar en it-produkt/ett it-system. Det är trots allt denna organisation som har det primära ansvaret för informationssäkerheten i dessa it-system. För att effektivt kunna samarbeta med olika parter för att lösa sårbarheter kan en organisation besluta att upprätta och publicera en CVD-policy. Genom att upprätta en egen CVD-policy kan organisationen visa hur den hanterar rapporter om sårbarheter. På så sätt kan en organisation också utforma hur den vill ta emot anmälningar. En sådan process kan organiseras enligt följande:

Organisationen upprättar och publicerar en CVD-policy.
I denna policy ger organisationen tydliga regler för den undersökning som rapporterande parter kan genomföra, till exempel vilka tekniker som är tillåtna och vilka system som omfattas eller inte omfattas.
Organisationen gör det enkelt för en rapporterande part att göra en rapport. Ett alternativ är att använda en standardiserad rapporteringsmetod, till exempel en särskild e-postadress eller ett onlineformulär. Dessutom kan organisationen avgöra om anonyma rapporter ska accepteras.
Organisationen avsätter intern kapacitet och inrättar en process för att svara på rapporter på ett adekvat sätt. Det är lämpligt att inrätta en process med vilken eventuella sårbarheter som hittas kan åtgärdas på ett adekvat sätt. I detta avseende är rapportens ursprung oväsentligt. Sårbarheten kan också ha identifierats av en intern medarbetare eller under ett test, till exempel.
Praktisk erfarenhet visar att intresset för att rapportera sårbarheter till organisationen blir större efter den första publiceringen av en CVD-policy. Organisationen bör beakta detta vid planeringen av (extra) kapacitet.
När organisationen tar emot sårbarhetsrapporten ser den till att rapporten så snabbt som möjligt når den avdelning som är bäst lämpad att bedöma och hantera den.
Organisationen skickar en bekräftelse på mottagandet till den rapporterande parten, helst digitalt signerad för att betona prioriteten.
Därefter går organisationen i samråd med den rapporterande parten för att fastställa den period inom vilken eventuell publicering ska ske. Denna period beror i hög grad på sårbarhetens art och typen av system.
Som riktmärke används ofta en period på cirka 60 dagar för sårbarheter i programvara. Att åtgärda sårbarheter i hårdvara är svårare att åstadkomma; ett riktmärke på 6 månader kan användas.
Det kan vara önskvärt att förlänga eller förkorta denna period i ömsesidig överenskommelse beroende på hur många eller få it-system som är beroende av det system för vilket sårbarheten rapporterades, eller om sårbarheten är lättare eller svårare att lösa.
En sårbarhet kan visa sig vara svår eller omöjlig att lösa, eller så kan det vara höga kostnader förknippade med att lösa den. I sådana fall kan organisationen komma överens om att betrakta sårbarheten som en accepterad risk och inte åtgärda den, eventuellt i samråd med den rapporterande parten.
Organisationen håller den rapporterande parten informerad om hur processen utvecklas.
Dessutom kan organisationen erbjuda att den rapporterande parten får offentligt erkännande för att ha offentliggjort sårbarheten. Det är också möjligt att välja ett gemensamt röjande utåt.
Det är att föredra att belöna den rapporterande parten för att ha rapporterat sårbarheter i system om parten har följt reglerna i CVD-policyn. Belöningens storlek kan bero på rapportens kvalitet. Att belöna den rapporterande parten kan skapa en bättre relation mellan parten och organisationen samt öka människors vilja att göra nya rapporter i enlighet med CVD-policyn.
I samråd med den rapporterande parten kan organisationen komma överens om att informera den bredare it-gemenskapen om sårbarheten om det är troligt att sårbarheten även finns på andra ställen.
I sin CVD-policy kan organisationen förbinda sig till principen att inte göra en polisanmälan om den rapporterande parten har följt reglerna i policyn.

Den rapporterande parten

Den rapporterande parten är nyckeln till en lyckad CVD-process. På ett eller annat sätt har denna part kunnat identifiera en sårbarhet och vill bidra till säkerheten i it-system genom att få sårbarheten åtgärdad av en organisation och offentliggjord. Genom att göra detta erkänner rapporterande parter att de kan göra ett viktigt bidrag till samhället genom att avslöja sårbarheter på ett samordnat sätt. För att uppnå en lyckad CVD-process är följande byggstenar viktiga för den rapporterande parten:

Den rapporterande parten ansvarar för sina egna handlingar och måste iaktta såväl proportionalitetsprincipen som subsidiaritetsprincipen när den undersöker och rapporterar sårbarheter. Med andra ord bör den rapporterande parten inte göra mer än vad som är nödvändigt för att visa sårbarheten och bör alltid rapportera sårbarheten till system-/informationsägaren först.
Den rapporterande parten måste rapportera problemet så snart som möjligt för att förhindra att illasinnade parter upptäcker sårbarheten och utnyttjar den.
Den rapporterande parten måste göra rapporten till organisationen på ett konfidentiellt sätt för att förhindra att andra får tillgång till denna information.
Den rapporterande parten får inte göra inlämnandet av en rapport eller den fortsatta lämnandet av information beroende av belöningen. Initiativet till att ge en belöning vid en rapport ligger hos den mottagande organisationen, som kan ange förutsättningar i sin publicerade policy.
Den rapporterande parten och organisationen gör tydliga överenskommelser om röjandet av sårbarheten. Om fler än en organisation är inblandad är grundprincipen att sårbarheterna endast får publiceras om alla organisationer går med på det. Det är lämpligt att göra dessa överenskommelser i ett tidigt skede.
Den rapporterande parten och den berörda organisationen kan göra överenskommelser om att informera den bredare it-gemenskapen. Till exempel kan detta gälla en sårbarhet (oavsett om den redan är känd eller inte) som är känd för att finnas på mer än ett ställe. Nationella cybersäkerhetscentret (NCSC) kan involveras i denna process för att stödja målgrupperna centralförvaltning och kritisk infrastruktur eller för att informera flera parter vid en sårbarhet som påverkar många system.

NCSC

CVD-processen är i första hand en fråga för organisationer och rapporterande parter. Ändå kommer NCSC att uppmuntra användningen av en CVD-process. I samråd med den rapporterande parten och organisationen kan NCSC också involveras i att dela information om sårbarheten med sin målgrupp (constituency) för att begränsa ytterligare säkerhetsrisker som följer av sårbarheten.

Om rapporteringen av sårbarheten inte går som den rapporterande parten förväntar sig, eller om den helst inte vill rapportera sårbarheten direkt till organisationen, kan den kontakta NCSC.4 I detta fall kan NCSC vid behov agera som mellanhand.

Ägaren till it-systemet är alltid ansvarig för systemets säkerhet. NCSC kan varken tvinga systemets ägare att åtgärda en sårbarhet eller garantera att ägaren inte vidtar rättsliga åtgärder mot den rapporterande parten. Följaktligen måste den rapporterande parten ta hänsyn till de ovannämnda byggstenarna för organisationer och rapporterande parter när den söker efter och rapporterar en sårbarhet. En rapporterande part kan förvänta sig att NCSC gör sitt yttersta för att få sårbarheten åtgärdad och att behandla rapporten konfidentiellt. NCSC delar inga personuppgifter om det inte är lagligen skyldigt att göra det.

Om möjligt kommer NCSC, i samråd med organisationer och rapporterande parter, att använda den information som erhållits om sårbarheter för att vidare dela kunskapen med it-gemenskapen. Det kan till exempel göra det genom att publicera en del av informationen, skriva eller uppdatera ett faktablad eller en white paper, eller genom att informera specifika organisationer.

Beroende på den berörda organisationen och sårbarhetens art kommer NCSC att göra sitt bästa för att uppmärksamma den berörda organisationen på sårbarheten. Ägaren till det aktuella it-systemet förblir dock ansvarig för systemet.
Där det är möjligt och nödvändigt kommer NCSC att ge den berörda organisationen råd om hur sårbarheten kan åtgärdas.
NCSC kommer att behandla rapporter konfidentiellt och kommer inte att dela personuppgifter om de rapporterande parterna eller den mottagande organisationen utan samtycke, om det inte följer av en lagstadgad skyldighet.
Där det är möjligt kommer NCSC att hålla den rapporterande parten informerad om utvecklingen i kontakten med organisationen och åtgärdandet av sårbarheten.
I fall där en rapport görs till NCSC kommer NCSC att försöka få den rapporterande parten eller den potentiella rapporterande parten och organisationen i kontakt med varandra.

Om en rapporterande part till exempel har hittat en sårbarhet i en programvaruprodukt eller en sårbarhet som påverkar många olika system kan den rapporterande parten be NCSC att samordna åtgärdandet och röjandet av sårbarheten.

Tillsammans med den rapporterande parten, partner, utvecklare och/eller programvaruutvecklare och andra säkerhetsteam kommer NCSC att hjälpa till att analysera, åtgärda eller låta åtgärda, samordna och röja sårbarheten på ett kontrollerat sätt. Hela denna process sker i nära samråd med den rapporterande parten som hittade sårbarheten.

En CVD-policy försöker hitta en balans mellan vikten av att röja sårbarheter så snabbt som möjligt, så att åtgärder kan vidtas, och vikten av att utvecklare och leverantörer har tillräckligt med tid för att åtgärda sårbarheten. För denna process använder NCSC en standardperiod på 60 dagar mellan rapporten och det offentliga röjandet. Det kan dock finnas omständigheter där man kan besluta att förlänga eller förkorta denna period.

NCSC delar endast information om sårbarheten med tredje part efter samråd med den rapporterande parten. Det är i detta sammanhang avgörande att NCSC samarbetar och därför delar information om sårbarheten med intressenter för att kunna röja en sårbarhet på ett samordnat sätt. NCSC ser därvid till att rätt parter kan arbeta med att åtgärda sårbarheten, bidrar till att begränsa eventuell förlust eller skada och bidrar till att uppmärksamma den sårbarhet som har hittats.

5. Kommunikation och röjandeprocessen

Fem års praktik har visat att tydlig kommunikation är hörnstenen i en lyckad CVD-process. Det finns uppmärksamhetspunkter före, under och efter CVD-processen.

Kommunikation om röjandeprocessen

Att publicera en CVD-policy är ett första steg i kommunikationen om processen. Genom att offentligt publicera en policy bjuds rapporterande parter in att meddela organisationen om eventuella sårbarheter de hittat.

Å ena sidan kan organisationen upprätta villkor för den undersökning som görs för att upptäcka sårbarheter och för hur kontakt tas. Å andra sidan kan organisationen förbinda sig till principen att inte göra en polisanmälan om policyns regler följs. Detta tillvägagångssätt skyddar den rapporterande partens ställning.

En CVD-policy kan ändras eller uppdateras vid ett senare tillfälle. Det är viktigt att vara tydlig med ändringarna. Rapporterande parter har ett intresse av att veta vad som har ändrats och när. Ändringar kan till exempel förtydligas genom att ange ett publiceringsdatum i början av CVD-policyn, genom att beskriva en sammanfattning av ändringar under CVD-policyn eller genom att föra ett arkiv med gamla versioner av CVD-policyn.

CVD-policyn kan ge riktlinjer för hur man kommunicerar under processen, till exempel genom att ange regelbundna uppdateringar via e-post eller en webbportal. Dessutom kan CVD-policyn beskriva hur en rapportör kan erkännas genom att nämnas vid en uppdatering, genom upptagande i en hall of fame eller genom någon annan form av belöning.

Kommunikation under röjandeprocessen

En rapporterande part inleder en CVD-process genom att skicka ett meddelande till organisationen. I meddelandet ger den rapporterande parten en tydlig beskrivning av den upptäckta sårbarheten. Viktiga delar är IP-adressen eller URL:en till det berörda systemet och de steg som krävs för att återskapa sårbarheten.

Det är viktigt att organisationen kommunicerar tydligt med den rapporterande parten så att förväntningarna på processen är klara.

Det kan den redan göra genom att skicka en bekräftelse på mottagandet (automatiserad eller på annat sätt) som innehåller en indikation på den tid inom vilken ett första eller efterföljande sakligt svar skickas.

Det är också möjligt att lämna denna period öppen och ge en första indikation på tidsramen efter att ha bedömt rapportens innehåll. Det är lämpligt att så snart som möjligt vara tydlig med inom vilken period en lösning kan nås. På så sätt vet rapportören när ett resultat kan förväntas.

I vissa fall kan det hända att ett publiceringsdatum redan är klart för den rapporterande parten, till exempel på grund av en presentation på en konferens eller för att den rapporterande parten har fastställt en egen tidsfrist. I detta fall är det ändå viktigt att den rapporterande parten kommunicerar denna tidslinje tydligt, anger den så tidigt som möjligt och är tydlig med möjligheten/omöjligheten att skjuta upp detta datum.

En rapporterande part är ofta någon utanför organisationen, som inte har någon insyn i de interna processer som kan utlösas av en rapport. Organisationer kan hålla den rapporterande parten informerad om utvecklingen i processen genom regelbundna uppdateringar. Detta tillvägagångssätt gör det klart för den rapporterande parten att man arbetar på en lösning. Vid behov kan en organisation begära förtydliganden eller be om hjälp att testa en lösning under processen.

Om en organisation inte kan hålla den ursprungliga tidsfristen för lösning kan det diskuteras med rapportören att skjuta upp den. Regelbunden kommunikation kan göra denna situation tydlig för rapportören i ett tidigare skede.

Huvudavsikten med CVD är att mildra sårbarheten, men ‘fullt röjande’ av sårbarheten är alltid ett alternativ för en rapporterande part om den känner att processen kommer att ta för lång tid. Detta medel är den berömda ‘stora pinnen’ som den rapporterande parten har till sitt förfogande. Naturligtvis måste denna situation förhindras så långt som möjligt.

Kommunikation efter röjandeprocessen

Det finns många möjliga skäl till att en rapporterande part söker efter sårbarheter och sedan rapporterar dem till organisationer via CVD-processen. För ett stort antal rapporterande parter är (offentligt) erkännande ett viktigt incitament.

Rapporterande parter får offentligt erkännande genom ett tack i en uppdatering eller upptagande i en hall of fame. Behovet av offentligt erkännande gäller dock inte alla rapporterande parter; vissa vill faktiskt inte bli kända av allmänheten. Vid kommunikation från organisationen är det därför lämpligt att inhämta den rapporterande partens samtycke till att nämna dem vid namn.

Dessutom kan rapporterande parter också välja att kommunicera om en rapport efter att CVD-processen har slutförts. Till exempel kan den rapporterande parten beskriva upptäcktsprocessen eller varna andra för sårbarheten. En rapportör kan välja att lämna in publikationen till en organisation i informationssyfte. Eftersom CVD-processen i princip är avslutad efter att sårbarheten har tagits bort står det den rapporterande parten därefter fritt att kommunicera om den, om inte ytterligare överenskommelser har gjorts i policyn eller under processen.

Lista

Kommunikation om röjandeprocessen

Publicering av CVD-policyn på webbplatsen
Var tydlig med begränsningar (se kapitel 6 för olika tillvägagångssätt)
Begränsningar i undersökningsmetoder
Riktlinjer för kommunikation
Riktlinjer för eventuella belöningar: hall of fame, ekonomisk belöning, t-shirt med mera
Var tydlig med eventuella uppdateringar av CVD-policyn, inklusive datum för ändringar

Kommunikation under röjandeprocessen

Rapportören kontaktar organisationen om en upptäckt sårbarhet.
Organisationen hanterar förväntningar, till exempel svarstiden för ett första tekniskt svar
Organisationen och rapportören ger varandra klarhet om den förväntade tiden för lösning
Organisationen lämnar ofta en (process)uppdatering
Vid behov diskuterar rapportören och organisationen att kontakta andra relevanta organisationer

Kommunikation efter röjandeprocessen

Diskutera (offentligt) erkännande och belöning av rapportören
Ordna hur information om sårbarheten ska publiceras, till exempel forskningsfasen eller att informera andra organisationer

6. Exempel på policyer för samordnat röjande av sårbarheter

Det finns många olika former av policytexter om samordnat röjande av sårbarheter. Eftersom den publicerade CVD-policyn fungerar som en vägvisare för potentiella rapporterande parter bör du se till att policyns form stämmer överens med organisationens policy och strategi.

Följande delar är viktiga i en CVD-policy:

kontaktmetod för säker kommunikation;
förutsättningar för rapporterande parter;
tydliga förväntningar på hanteringen av en rapport;
metod för att belöna en rapport;
versionsnummer och datum för senaste revideringen.

Nedan följer tre exempel: Många organisationer i Nederländerna har hämtat inspiration från grundexemplet från ResponsibleDisclosure.nl. Andra organisationer tar med ytterligare förutsättningar, se Fox ITs policy. Ytterligare andra organisationer tillämpar ett friare format för att passa sin målgrupp, se Bits of Freedoms policy.

På Acme Corporation anser vi att säkerheten i våra system är högsta prioritet. Men oavsett hur mycket arbete vi lägger på systemsäkerhet kan det fortfarande finnas sårbarheter.

Om du upptäcker en sårbarhet vill vi gärna få veta om den så att vi kan vidta åtgärder för att hantera den så snabbt som möjligt.

Vi vill be dig hjälpa oss att bättre skydda våra kunder och våra system.

Gör följande:

Skicka dina fynd via e-post till cert@example.com. Kryptera dina fynd med vår PGP-nyckel för att förhindra att denna kritiska information hamnar i fel händer,
Utnyttja inte den sårbarhet eller det problem du har upptäckt, till exempel genom att ladda ner mer data än vad som behövs för att visa sårbarheten eller genom att radera eller ändra andra människors data,
Avslöja inte problemet för andra förrän det har lösts,
Använd inte angrepp mot fysisk säkerhet, social manipulation, distribuerad överbelastning (DDoS), skräppost eller tredje parts applikationer, och
Lämna tillräcklig information för att återskapa problemet, så att vi kan lösa det så snabbt som möjligt. Vanligtvis räcker IP-adressen eller URL:en till det berörda systemet och en beskrivning av sårbarheten, men komplexa sårbarheter kan kräva ytterligare förklaring.

Vad vi lovar:

Vi svarar på din rapport inom 3 arbetsdagar med vår bedömning av rapporten och ett förväntat lösningsdatum,
Om du har följt instruktionerna ovan vidtar vi inga rättsliga åtgärder mot dig med anledning av rapporten,
Vi hanterar din rapport med strikt sekretess och lämnar inte vidare dina personuppgifter till tredje part utan ditt tillstånd,
Vi håller dig informerad om framstegen mot att lösa problemet,
I den offentliga informationen om det rapporterade problemet anger vi ditt namn som den som upptäckte problemet (om du inte vill något annat), och
Som ett tecken på vår tacksamhet för din hjälp erbjuder vi en belöning för varje rapport om ett säkerhetsproblem som ännu inte var känt för oss. Belöningens storlek bestäms utifrån läckans allvarlighetsgrad och rapportens kvalitet. Den lägsta belöningen är ett presentkort på 50 euro.

Vi strävar efter att lösa alla problem så snabbt som möjligt, och vi vill gärna spela en aktiv roll i den slutliga publiceringen om problemet efter att det har lösts.

Exempel: Fox-IT

På Fox-IT anser vi att säkerheten för våra system, vårt nätverk och våra produkter är av yttersta vikt. Trots den stora omsorg vi lägger på säkerhet kan svagheter fortfarande finnas kvar. Om du har hittat en sådan svaghet vill vi gärna höra om den så snart som möjligt så att vi kan vidta lämpliga åtgärder så snabbt som möjligt.

Svagheter kan upptäckas på två sätt: du kan råka stöta på något av en slump vid normal användning av en digital miljö, eller så kan du uttryckligen göra ditt bästa för att hitta dem.

Vår policy för ansvarsfullt röjande är ingen inbjudan att aktivt skanna vårt affärsnätverk för att upptäcka svagheter. Vi övervakar vårt affärsnätverk själva. Det innebär att det är stor risk att en skanning upptäcks och att vårt säkerhetsoperationscenter (SOC) inleder en utredning, vilket kan medföra onödiga kostnader. Du är däremot välkommen att aktivt leta efter sårbarheter i våra produkter i en frånkopplad icke-produktionsmiljö och att rapportera dina fynd till oss. Vårt ansvar gentemot våra kunder innebär att vår avsikt inte är att uppmuntra hackningsförsök mot deras infrastruktur; men vi vill gärna höra av dig så snabbt som möjligt om sårbarheter hittas, så att vi kan åtgärda dem på ett adekvat sätt.

Vi vill gärna arbeta med dig för att bättre kunna skydda våra kunder och våra system.

Vi ber dig att:

E-posta dina fynd så snabbt som möjligt till security-alert@fox-it.com.
Inte utnyttja sårbarheten, till exempel genom att ladda ner, redigera eller radera data. Vi tar alltid din rapport på allvar och undersöker alla misstankar om en sårbarhet, även utan bevis.
Inte dela problemet med andra förrän det har lösts.
Inte använda angrepp mot fysisk säkerhet, social manipulation eller hackningsverktyg, till exempel sårbarhetsskannrar.
Lämna tillräcklig information för att problemet ska kunna återskapas så att vi kan lösa det så snabbt som möjligt. Vanligtvis räcker IP-adressen eller URL:en till det berörda systemet och en beskrivning av sårbarheten, även om mer information kan behövas för mer komplexa sårbarheter.

Vad vi lovar:

Vi svarar på din rapport inom tre arbetsdagar med vår bedömning av rapporten och ett förväntat lösningsdatum.
Vi hanterar din rapport konfidentiellt och delar inte dina personuppgifter med tredje part utan ditt tillstånd. Undantag är polis och rättsväsende vid lagföring eller om uppgifterna krävs ut.
Vi håller dig informerad om hur arbetet med att lösa problemet fortskrider.
I kommunikationen om det rapporterade problemet anger vi ditt namn som den part som upptäckte problemet, om du vill.
Det är tyvärr inte möjligt att i förväg garantera att inga rättsliga åtgärder vidtas mot dig. Vi hoppas kunna bedöma varje situation individuellt. Vi anser oss moraliskt skyldiga att anmäla dig om vi misstänker att svagheten eller uppgifterna missbrukas, eller att du har delat kunskap om svagheten med andra. Du kan vara trygg med att en oavsiktlig upptäckt i vår onlinemiljö inte leder till åtal.
Som tack för din hjälp erbjuder vi en belöning för varje rapport om ett säkerhetsproblem som inte är känt för oss. Vi bestämmer belöningens värde utifrån intrångets allvarlighetsgrad och rapportens kvalitet.

Vi strävar efter att lösa alla problem så snabbt som möjligt, att hålla alla inblandade parter informerade och vi vill gärna vara delaktiga i all publicering om problemet när det har lösts.

Exempel: Bits of Freedom

Vårt beroende av digital infrastruktur ökar hela tiden. Det gäller samhället som helhet, men också oss själva. Vi anser därför att regeringar och organisationer (inklusive vår) bör engagera sig starkt för att säkra vår digitala infrastruktur. Vi inser att det, trots våra bästa avsikter och största omsorg, kan finnas sårbarheter i våra system. Om du råkar hitta någon av dessa svagheter vill vi gärna höra av dig så att vi kan lösa problemet.

Vad vi förväntar oss av dig

När du undersöker ett av våra system, tänk på proportionaliteten i angreppet. Det finns ingen anledning att visa att vår webbplats kan bli onåbar om du utsätter den för den största DDoS-attacken i internets historia. Det vet vi. Vi förstår också att om du kör in en bulldozer på vårt kontor kommer du förmodligen att kunna norpa en av våra bärbara datorer.
Denna proportionalitetsprincip är också relevant när du demonstrerar själva sårbarheten. Du bör inte granska eller ändra mer data än vad som är absolut nödvändigt för att bekräfta att ditt fynd stämmer. Om du till exempel kan ändra vår startsida, lägg bara till ett enda okontroversiellt ord i stället för att ta över hela sidan. Om du kan få åtkomst till en databas räcker det att visa oss en lista över tabellerna som finns där, eller kanske den första posten i någon av tabellerna.
En sårbarhet i ett av våra system bör rapporteras så snart som möjligt genom att skicka e-post till security@bof.nl. Helst krypterar du ditt meddelande med OpenPGP. Lämna tillräckligt med information så att vi kan återskapa och undersöka problemet.
Den offentliga OpenPGP-nyckeln för security@bof.nl
Du delar inte din kunskap om sårbarheten med andra parter så länge vi inte har åtgärdat problemet och vi fortfarande befinner oss inom en rimlig tidsram sedan du rapporterade problemet.
Du raderar all konfidentiell information du har fått under din undersökning så snart vi har löst sårbarheten.

Vad du kan förvänta dig av oss

Vi svarar på din rapport inom tre dagar på ett utförligt sätt. Vi anger en uppskattning av hur lång tid vi behöver för att åtgärda problemet. Naturligtvis håller vi dig regelbundet underrättad om våra framsteg.
Vi löser sårbarheten så snart som möjligt. Även här är proportionalitet viktigt: den tid som krävs för att åtgärda en sårbarhet beror på flera faktorer, bland annat hur allvarligt och komplext det aktuella problemet är.
När du följer de riktlinjer som anges här vidtar vi inga rättsliga åtgärder mot dig med anledning av din rapport.
Det är viktigt för oss att ge dig erkännande för det du gjort - om du vill. Vi nämner ditt namn i en publikation om sårbarheten endast om du går med på det.
Som ett tack för att du hjälper oss att bättre skydda våra system vill vi belöna varje rapport om en sårbarhet som var okänd för oss vid den tidpunkten. Belöningen beror på sårbarhetens allvarlighetsgrad och rapportens kvalitet.
Om du hittar en sårbarhet i tredjepartsprogramvara som vi använder och sårbarheten omfattas av ett bug bounty-program kommer vi inte att försöka göra anspråk på den belöningen; det bör du göra.