NCSC.nl

1. Utangulizi

Jamii inazidi kuwa ya kidijitali. Siku hizi, karibu michakato yote inahusisha matumizi ya kompyuta katika hatua fulani, kuanzia simu za mkononi hadi programu maalumu. Ingawa maendeleo haya yanaleta fursa nyingi mpya, udhaifu katika mifumo ya TEHAMA unaweza kuwa na athari kubwa. Kwa hiyo, ujuzi kuhusu udhaifu huu unapaswa kushughulikiwa kwa ufanisi.

Mashirika kadhaa yalianza kuchapisha sera kuhusu jinsi ya kuripoti udhaifu mwanzoni mwa mwaka 2013. Baada ya mashauriano na wahusika hawa, Kituo cha Taifa cha Usalama wa Mtandao (NCSC) kilifupisha maendeleo hayo kwa njia ya ‘Miongozo ya kufikia utaratibu wa Ufichuaji wa Kuwajibika’ (kwa Kiholanzi: ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’; ‘Miongozo’). Kampuni zinaonyesha kupitia sera hii kwamba ziko tayari kupokea ripoti za udhaifu kutoka nje, zinaeleza masharti yao ya awali na kutoa ahadi. Mchakato huu uliunda uwazi na mazingira salama kiasi kwa wanaoripoti kuchunguza na kuripoti udhaifu bila kutenda moja kwa moja kosa la jinai. Katika mkutano wa ngazi ya juu wa EU kuhusu usalama wa mtandao mwaka 2016, mashirika 29 yalithibitisha tena umuhimu wa sera ya kushughulikia udhaifu kwa kutia saini Ilani ya Ufichuaji Ulioratibiwa wa Udhaifu (Coordinated Vulnerability Disclosure Manifesto)1 iliyoanzishwa na CIO Platform Netherlands na Rabobank kwa ushirikiano na NCSC.

Ufichuaji Ulioratibiwa wa Udhaifu (CVD) umethibitika kuwa wa umuhimu mkubwa kwa pande za umma na za binafsi. Zinategemea sana utendaji usiovurugwa wa mifumo ya taarifa katika shughuli za kila siku. Ripoti za udhaifu katika mifumo yao zimesaidia kuboresha usalama na mwendelezo wa mifumo katika miaka ya hivi karibuni, kwa kurekebisha udhaifu upande mmoja na kwa kuchangia uelewa wa jumla wa kampuni za Uholanzi kuhusu usalama wa TEHAMA upande mwingine.

Katika miaka ya hivi karibuni, imekuwa wazi kwamba wanaoripoti wako tayari kufanya kazi ndani ya masharti ya sera ya CVD iliyoandaliwa na mashirika. Ripoti hufanywa moja kwa moja au kwa njia isiyo ya moja kwa moja kwa mashirika na wanaoripoti. Utaratibu wa ufichuaji wa kuwajibika umeonyesha kwamba wanaoripoti wenye nia njema na mashirika yaliyo hatarini yameweza kushirikiana na hivyo kuchukua hatua inayofuata katika kuongeza usalama wa mitandao na mifumo ya taarifa.

Kwa marekebisho haya, tulizungumza tena na kundi pana na tofauti la wanaoripoti, pande za binafsi na za umma, pamoja na Huduma ya Mashtaka ya Umma na Polisi wa Taifa. Mazungumzo haya yamethibitisha utaratibu wa sasa, na yalisababisha nyongeza na maboresho. Jambo jipya muhimu zaidi la kuzingatia ni mawasiliano kati ya mwripoti wa udhaifu na shirika, pamoja na pande nyingine baada ya udhaifu kurekebishwa.

Sura zinazofuata zinajadili ufafanuzi wa CVD, vipengele vya msingi vya sera ya CVD na mchakato wa mawasiliano.

Kando: Miongozo ya awali ilitumia istilahi ‘ufichuaji wa kuwajibika’ (responsible disclosure), ambayo ilikuwa istilahi ya kawaida kwa utaratibu huu wakati huo. Kwa sasa imekuwa wazi kwamba istilahi hii inasisitiza kupita kiasi wajibu wa mwripoti, ilhali kanuni ya msingi ni kwamba mwripoti na shirika linaloweza kuwa na udhaifu wanapaswa kuwa washirika walio sawa katika mazungumzo. Hisia hii inanaswa vizuri zaidi na istilahi inayotumika sasa kwa kawaida ‘Ufichuaji Ulioratibiwa wa Udhaifu’ (CVD), ambalo pia ndilo jina linalotumika katika viwango vya ISO 29147 na 30111 kuhusu mchakato huu.

2. Udhaifu Ulioratibiwa

Mbinu mbalimbali zimetumika katika miaka 30 iliyopita kuongeza uelewa wa udhaifu katika mifumo ya TEHAMA. Mifano ni pamoja na:

• ‘Ufichuaji Kamili’ (Full Disclosure), kuufanya udhaifu kuwa wa umma kikamilifu;

• ‘Kutofichua’ (Non-disclosure), kuuza au kutumia udhaifu mwenyewe;

• ‘Ufichuaji Ulioratibiwa wa Udhaifu’ (CVD), ufichuaji ulioratibiwa wa udhaifu.

Utaratibu wa mwisho unapendekezwa wazi.

Jamii ya TEHAMA imeonyesha utayari mkubwa wa kushiriki maarifa na uzoefu. Kwa hiyo, kutafuta ushirikiano na jamii hii kunaweza kusaidia kuboresha usalama wa jumla wa mifumo.

Lengo la Ufichuaji Ulioratibiwa wa Udhaifu

Lengo la CVD ni kuchangia usalama wa mifumo ya TEHAMA kwa kushiriki maarifa kuhusu udhaifu. Katika CVD, maarifa yanashirikiwa na shirika moja au zaidi linaloweza kuwa na udhaifu ili kufikia suluhisho la pamoja la udhaifu uliopatikana kwa ushirikiano na mwripoti. Ni muhimu kwamba mashirika yaliyoathirika yawe na muda wa kutosha wa kurekebisha udhaifu wowote au kulinda mifumo ili kupunguza au kuzuia hasara au uharibifu kadiri iwezekanavyo. Msingi wa mchakato ni ufichuaji wa maarifa kuhusu udhaifu baada ya kurekebishwa.

Ni muhimu katika CVD kwamba pande zote zizingatie makubaliano kuhusu jinsi ya kuripoti udhaifu na jinsi ya kuushughulikia. Inasaidia ikiwa shirika litachapisha masharti ya awali mapema, kama vile mifumo ipi iko ndani ya wigo na aina gani ya utafiti inaweza kufanywa. Kanuni muhimu kwa masharti haya ya awali ni kwamba shirika kimsingi halitamripoti mwripoti wala kuchukua hatua nyingine za kisheria ikiwa uchunguzi na uripoti utafanywa ndani ya masharti yaliyowekwa. Miongozo hii inayapa mashirika mwelekeo katika kuandaa sera yao wenyewe ili kutekeleza kanuni za CVD.

Kama jina linavyoonyesha, kiini cha CVD ni kwamba shirika na mwripoti waratibu kati yao. Kwa upande huu, kunapaswa kuwa na viungo vichache iwezekanavyo kati ya mtu anayeripoti udhaifu na mtu ndani ya shirika anayewajibika kutatua tatizo.

Inaweza kuwa muhimu kuwajulisha pande kadhaa kwa wakati mmoja ikiwa udhaifu unaathiri mifumo mingi. Katika hali hiyo, NCSC au pande nyingine ndani ya jamii ya usalama zinaweza kuunga mkono mchakato wa CVD kutoka nafasi ya uratibu.

3. Maeneo ya wajibu

Lengo la kufuata sera ya CVD ni kwa wanaoripoti na shirika kufanya kazi pamoja ili kupunguza udhaifu katika mifumo ya TEHAMA. Utekelezaji wa sera hii unapaswa kuonekana kama nyongeza ya hatua zilizopo kuhusu usalama wa taarifa. Wahusika mbalimbali kila mmoja ana jukumu na wajibu wake. Haya yanaelezwa kwa undani zaidi hapa chini.

Shirika linalomiliki/kusimamia mfumo

Shirika linalomiliki/kusimamia au kusambaza mfumo ndilo linalowajibika hasa kwa usalama wa mfumo huu. Kwa maneno mengine, shirika pia linawajibika kufuatilia ripoti ya udhaifu.

Shirika linaweza kuchagua kuandaa sera yake ya CVD kwa kutumia Miongozo hii na kuwasilisha sera hii kwa wanaoweza kuripoti. Kwa kuchapisha sera ya CVD, mashirika yanaonyesha utayari wao wa kupokea taarifa kuhusu udhaifu.

Upande unaoweka sera ya CVD unaweza kujitolea kwa kanuni kwamba hautawasilisha malalamiko polisi ikiwa sheria zinazotumika kwa sera zitaheshimiwa.

Mwripoti anaporipoti udhaifu, wajibu uko kwa shirika. Ni muhimu kutambua kwamba mwripoti mara nyingi ni mtu wa nje ya shirika. Upande huu hauna mtazamo wa moja kwa moja wa michakato ya ndani inayoweza kuanzishwa baada ya udhaifu kuripotiwa. Kwa hiyo, wanaoripoti watathamini kupewa taarifa kuhusu maendeleo ya utatuzi wa udhaifu. Mawasiliano haya yanayoendelea pia ni muhimu ili kuunda matarajio sahihi kuhusu ufuatiliaji na wakati wa suluhisho.

Upande unaoripoti udhaifu

Kwa njia fulani, mwripoti ameweza kutambua udhaifu na anataka kuchangia usalama wa mifumo ya TEHAMA kwa kuhakikisha udhaifu huu unarekebishwa na pengine kufanywa wa umma katika hatua ya baadaye. Mwripoti anaweza kuwa amegundua kitu kupitia uchunguzi tulivu au kwa kujaribu mfumo wa TEHAMA kikamilifu. Bila shaka, upande huu unawajibika kwa matendo yake na jinsi ulivyogundua udhaifu. Ni wajibu wa mwripoti mwenyewe kufahamu masharti yaliyowekwa na shirika katika sera yake ya CVD. Serikali na kampuni nyingi zimechapisha sera zao za CVD kwenye tovuti zao.

Hata hivyo, kutafuta udhaifu kunaweza kuhusisha kuvunja sheria. Katika muktadha wa CVD, shirika na mwripoti wanaweza kukubaliana kwamba hawatawasilisha ripoti kuhusu vitendo vyovyote vya jinai. Kwa upande huu, sera ya CVD iliyochapishwa na shirika ndiyo kanuni elekezi. Pande hizo zinaweza pia kukubaliana kwamba hakuna hatua ya madai itakayochukuliwa.

Ikiwa kuna shaka kwamba sheria imevunjwa na mwripoti, sera ya CVD inaweza kwanza kabisa kusaidia kuzuia mwripoti asiripotiwe kwa mamlaka. Utaratibu huu unategemea kabisa masharti ya awali ya sera ambayo shirika linamtaka mwripoti kuyazingatia na kama uzingatiaji huu umefikiwa, pengine pamoja na ahadi sambamba ya kutowasilisha malalamiko ya jinai mradi upande unafanya kazi ndani ya masharti ya sera. Ikiwa ripoti ya polisi inafanywa, kuwepo kwa sera ya CVD na kuizingatia ni hali muhimu nchini Uholanzi, ambayo Mwendesha Mashtaka wa Umma ataizingatia wakati wa kuamua kama aanzishe uchunguzi wa jinai na/au kufungua mashtaka. Kimsingi, polisi na Huduma ya Mashtaka ya Umma (OM) hawataanzisha uchunguzi wa jinai ikiwa mwripoti amezingatia wazi kanuni za sera ya CVD ya shirika husika. Hata hivyo, Huduma ya Mashtaka ya Umma na polisi wanaweza kuchunguza kesi zaidi ikiwa kuna dalili kwamba mwripoti, kwa kujua au bila kujua, amevuka mipaka katika matendo yake na/au ameshindwa kuzingatia sera ya CVD. Kwa msingi wa uchunguzi huu, Huduma ya Mashtaka ya Umma inaweza kuamua kama ishtaki.

Huduma ya Mashtaka ya Umma imechapisha barua ya sera ambamo inashughulikia kwa umahususi zaidi vipengele muhimu katika kufikia uamuzi wa kuchunguza na/au kushtaki. Kwa mfano, kama matendo ya mwripoti yalihudumia maslahi muhimu ya umma, kama upande ulitenda kwa kupita kiasi, na kama upande huo huenda ungeweza kutenda kwa njia nyingine, isiyo kali sana. Barua ya sera husika inafafanua zaidi vipengele hivi.2 Sheria za kesi husika tangu 2013 3 zinaonyesha kwamba vipengele hivi pia huzingatiwa mahakamani ikiwa shirika halina sera ya CVD.

4. Vipengele vya msingi vya mchakato wa Ufichuaji Ulioratibiwa wa Udhaifu

Vipengele vya msingi katika kuunda mchakato wa CVD kwa shirika, mwripoti na NCSC vimetolewa hapa chini.

Shirika

Kukuza CVD kunaanzia kwa shirika linalomiliki mifumo ya TEHAMA au linalosambaza bidhaa/mfumo wa TEHAMA. Baada ya yote, shirika hili ndilo linalowajibika hasa kwa usalama wa taarifa wa mifumo hii ya TEHAMA. Ili kufanya kazi kwa ufanisi na pande mbalimbali kutatua udhaifu, shirika linaweza kuamua kuandaa na kuchapisha sera ya CVD. Kuandaa sera yake ya CVD kunaliwezesha shirika kuonyesha jinsi linavyoshughulikia ripoti za udhaifu. Kwa njia hii, shirika pia linaweza kuunda jinsi linavyotaka kupokea taarifa. Mchakato kama huo unaweza kupangwa kama ifuatavyo:

• Shirika linaweka na kuchapisha sera ya CVD.

• Katika sera hii, shirika linatoa kanuni wazi kwa utafiti ambao wanaoripoti wanaweza kufanya, kama vile mbinu zipi zinaruhusiwa na mifumo ipi iko ndani au nje ya wigo.

• Shirika linarahisisha mwripoti kutoa ripoti. Chaguo moja ni matumizi ya mbinu sanifu ya kuripoti; kwa mfano, anwani maalum ya barua pepe au fomu ya mtandaoni. Zaidi ya hayo, shirika linaweza kuamua kama litakubali ripoti zisizotaja jina.

• Shirika linatenga uwezo wa ndani na kuweka mchakato ili kujibu ripoti ipasavyo. Inashauriwa kuweka mchakato ambao kwa huo udhaifu wowote uliopatikana unaweza kurekebishwa ipasavyo. Kwa upande huu, chanzo cha ripoti hakina umuhimu. Udhaifu huenda pia ulitambuliwa na mfanyakazi wa ndani au wakati wa jaribio, kwa mfano.

• Uzoefu wa vitendo unaonyesha kwamba kutakuwa na hamu kubwa zaidi ya kuripoti udhaifu kwa shirika baada ya uchapishaji wa kwanza wa sera ya CVD. Shirika linapaswa kuzingatia hili wakati wa kupanga uwezo (wa ziada).

• Shirika linapopokea ripoti ya udhaifu, linahakikisha kwamba ripoti inafika kwa idara inayofaa zaidi kutathmini na kushughulikia ripoti haraka iwezekanavyo.

• Shirika linatuma kukiri kupokea ripoti kwa mwripoti, ikiwezekana ikiwa imetiwa saini kidijitali ili kusisitiza kipaumbele.

• Baadaye, shirika litaingia katika mashauriano na mwripoti ili kubaini kipindi ambacho uchapishaji wowote utafanyika. Kipindi hiki kitategemea sana asili ya udhaifu na aina ya mfumo.

• Kama mwongozo, kipindi cha takriban siku 60 mara nyingi hutumika kwa udhaifu wa programu. Kurekebisha udhaifu katika maunzi ni vigumu zaidi kufikia; mwongozo wa miezi 6 unaweza kutumika.

• Inaweza kuwa vyema kurefusha au kufupisha kipindi hiki kwa makubaliano ya pande zote kulingana na mifumo mingapi au michache ya TEHAMA inategemea mfumo ulioripotiwa udhaifu au ikiwa udhaifu ni rahisi au mgumu zaidi kutatua.

• Udhaifu unaweza kuthibitika kuwa mgumu au usiowezekana kutatua, au kunaweza kuwa na gharama kubwa za kuutatua. Katika hali kama hizo, shirika linaweza kukubali kuuchukulia udhaifu kama hatari iliyokubaliwa na kutourekebisha, pengine kwa mashauriano na mwripoti.

• Shirika litamjulisha mwripoti kuhusu maendeleo ya mchakato.

• Zaidi ya hayo, shirika linaweza kutoa ofa ya kumtambua mwripoti hadharani kwa kuchapisha udhaifu. Pia inawezekana kuchagua ufichuaji wa pamoja kwa ulimwengu wa nje.

• Ni vyema kumtuza mwripoti kwa kuripoti udhaifu katika mifumo ikiwa upande huo umezingatia kanuni za sera ya CVD. Kiasi cha zawadi kinaweza kutegemea ubora wa ripoti. Kumtuza mwripoti kunaweza kuunda uhusiano bora kati ya upande huo na shirika, na pia kuongeza utayari wa watu kutoa ripoti mpya kwa mujibu wa sera ya CVD.

• Kwa mashauriano na mwripoti, shirika linaweza kukubali kuijulisha jamii pana ya TEHAMA kuhusu udhaifu ikiwa inaonekana udhaifu huo upo pia mahali pengine.

• Katika sera yake ya CVD, shirika linaweza kujitolea kwa kanuni kwamba halitawasilisha malalamiko polisi ikiwa mwripoti amezingatia kanuni zilizoainishwa katika sera.

Mwripoti

Mwripoti ndiye ufunguo wa mchakato wenye mafanikio wa CVD. Kwa njia fulani, upande huu umeweza kutambua udhaifu, na unataka kuchangia usalama wa mifumo ya TEHAMA kwa kuhakikisha udhaifu huu unarekebishwa na shirika na kufanywa wa umma. Kwa kufanya hivyo, wanaoripoti wanakiri kwamba wanaweza kutoa mchango muhimu kwa jamii kwa kufichua udhaifu kwa njia iliyoratibiwa. Ili kufikia mchakato wenye mafanikio wa CVD, vipengele vya msingi vifuatavyo ni muhimu kwa mwripoti:

• Mwripoti anawajibika kwa matendo yake mwenyewe na lazima azingatie kanuni za uwiano na pia usaidizi wa pili (subsidiarity) wakati wa kuchunguza na kuripoti udhaifu. Kwa maneno mengine, mwripoti hapaswi kufanya zaidi ya inavyohitajika kuonyesha udhaifu na anapaswa kila wakati kuripoti udhaifu kwa mmiliki wa mfumo/taarifa kwanza.

• Mwripoti lazima aripoti tatizo mapema iwezekanavyo ili kuzuia pande hasidi kugundua udhaifu na kuutumia kwa manufaa yao.

• Mwripoti lazima atoe ripoti kwa shirika kwa njia ya siri ili kuzuia wengine kupata taarifa hii.

• Mwripoti hawezi kufanya uwasilishaji wa ripoti au utoaji zaidi wa taarifa kutegemea zawadi. Mpango wa kutoa zawadi endapo kutakuwa na ripoti uko kwa shirika linalopokea, ambalo linaweza kueleza masharti ya awali katika sera yake iliyochapishwa.

• Mwripoti na shirika wanafanya makubaliano wazi kuhusu ufichuaji wa udhaifu. Ikiwa shirika zaidi ya moja linahusika, kanuni ya msingi ni kwamba udhaifu unaweza kuchapishwa tu ikiwa mashirika yote yanakubaliana na jambo hilo. Kufanya makubaliano haya mapema kunapendekezwa.

• Mwripoti na shirika linalohusika wanaweza kufanya makubaliano kuhusu kuijulisha jamii pana ya TEHAMA. Kwa mfano, hali hii inaweza kutumika kwa udhaifu (ukiwa tayari unajulikana au la) unaojulikana kuwepo katika zaidi ya eneo moja. Kituo cha Taifa cha Usalama wa Mtandao (NCSC) kinaweza kuhusishwa katika mchakato huu kusaidia makundi lengwa ya serikali kuu na miundombinu muhimu au kuwajulisha pande kadhaa iwapo udhaifu unaathiri mifumo mingi.

NCSC

Mchakato wa CVD kimsingi ni suala la mashirika na wanaoripoti. Hata hivyo, NCSC itahimiza matumizi ya mchakato wa CVD. Kwa mashauriano na mwripoti na shirika, NCSC pia inaweza kuhusishwa katika kushiriki taarifa kuhusu udhaifu na jamii inayoihudumia (constituency) ili kupunguza hatari zaidi za usalama zinazotokana na udhaifu huo.

Ikiwa uripoti wa udhaifu hauendi kama mwripoti anavyotarajia, au ikiwa angependelea kutoripoti udhaifu moja kwa moja kwa shirika, anaweza kuwasiliana na NCSC.4 Katika hali hii, NCSC inaweza kutenda kama mpatanishi inapohitajika.

Mmiliki wa mfumo wa TEHAMA anawajibika wakati wote kwa usalama wa mfumo. NCSC haiwezi kumlazimisha mmiliki wa mfumo kurekebisha udhaifu, wala haiwezi kuhakikisha kwamba mmiliki hatachukua hatua za kisheria dhidi ya mwripoti. Matokeo yake, mwripoti lazima azingatie vipengele vya msingi vilivyotajwa hapo juu kwa mashirika na wanaoripoti anapotafuta na kuripoti udhaifu. Mwripoti anaweza kutarajia NCSC ifanye juhudi zake zote ili udhaifu urekebishwe na kuichukulia ripoti kwa siri. NCSC haishiriki data zozote binafsi isipokuwa ikilazimika kisheria kufanya hivyo.

Ikiwezekana, NCSC itatumia taarifa zilizopatikana kuhusu udhaifu kwa mashauriano na mashirika na wanaoripoti ili kushiriki zaidi maarifa na jamii ya TEHAMA. Kwa mfano, inaweza kufanya hivyo kwa kuchapisha sehemu ya taarifa, kuandika au kusasisha karatasi ya ukweli (fact sheet) au karatasi nyeupe (white paper), au kwa kuyajulisha mashirika maalum.

• Kulingana na shirika husika na asili ya udhaifu uliobainika, NCSC itajitahidi kuuleta udhaifu huo kwenye usikivu wa shirika husika. Hata hivyo, mmiliki wa mfumo wa TEHAMA husika anaendelea kuwajibika kwa mfumo.

• Inapowezekana na kuhitajika, NCSC italipatia shirika husika ushauri kuhusu jinsi ya kurekebisha udhaifu.

• NCSC itaichukulia ripoti kwa siri na haitashiriki data binafsi za wanaoripoti au shirika linalopokea bila idhini, isipokuwa inatokana na wajibu wa kisheria.

• Popote iwezekanavyo, NCSC itamjulisha mwripoti kuhusu maendeleo katika mawasiliano na shirika na katika kurekebisha udhaifu.

• Katika hali ambapo ripoti inafanywa kwa NCSC, NCSC itajaribu kumwunganisha mwripoti au mwripoti mtarajiwa na shirika.

Ikiwa mwripoti amepata udhaifu katika bidhaa ya programu au udhaifu unaoathiri mifumo mingi tofauti, kwa mfano, mwripoti anaweza kuiomba NCSC iratibu urekebishaji na ufichuaji wa udhaifu huo.

Pamoja na mwripoti, washirika, waendelezaji na/au waendelezaji wa programu na timu nyingine za usalama, NCSC itasaidia kuchambua, kurekebisha au kuhakikisha unarekebishwa, kuratibu na kufichua udhaifu kwa njia inayodhibitiwa. Mchakato huu wote unafanyika kwa mashauriano ya karibu na mwripoti aliyepata udhaifu.

Sera ya CVD inajaribu kuweka uwiano kati ya umuhimu wa kufichua udhaifu haraka iwezekanavyo, ili hatua ziweze kuchukuliwa, na umuhimu wa waendelezaji pamoja na wasambazaji kuwa na muda wa kutosha wa kurekebisha udhaifu. Kwa mchakato huu, NCSC hutumia kipindi cha kawaida cha siku 60 kati ya ripoti na ufichuaji wa umma. Hata hivyo, kunaweza kuwa na hali ambazo inaweza kuamuliwa kurefusha au kufupisha kipindi hiki.

NCSC itashiriki taarifa kuhusu udhaifu na wahusika wa tatu tu baada ya mashauriano na mwripoti. Ni muhimu katika muktadha huu kwamba NCSC ishirikiane na hivyo kushiriki taarifa kuhusu udhaifu na wadau ili kufichua udhaifu kwa njia iliyoratibiwa. NCSC itahakikisha kwa kufanya hivyo kwamba pande sahihi zinaweza kufanya kazi ya kurekebisha udhaifu, kusaidia kupunguza hasara au uharibifu wowote na kusaidia kuvuta usikivu kwa udhaifu uliopatikana.

5. Mawasiliano na mchakato wa ufichuaji

Miaka mitano ya utendaji imeonyesha kwamba mawasiliano wazi ndiyo msingi wa mchakato wenye mafanikio wa CVD. Kuna mambo ya kuzingatia kabla, wakati na baada ya mchakato wa CVD.

Mawasiliano kuhusu mchakato wa ufichuaji

Kuchapisha sera ya CVD ni hatua ya kwanza katika kuwasiliana kuhusu mchakato. Kwa kuchapisha sera hadharani, wanaoripoti wanakaribishwa kulijulisha shirika kuhusu udhaifu wowote uliopatikana.

Kwa upande mmoja, shirika linaweza kuandaa masharti ya utafiti unaofanywa kugundua udhaifu na njia ya kutafuta mawasiliano. Kwa upande mwingine, shirika linaweza kujitolea kwa kanuni kwamba halitawasilisha malalamiko polisi ikiwa kanuni za sera zitaheshimiwa. Mkabala huu unalinda nafasi ya mwripoti.

Sera ya CVD inaweza kubadilishwa au kusasishwa baadaye. Ni muhimu kuwa wazi kuhusu mabadiliko kwa upande huu. Wanaoripoti wana maslahi ya kujua nini kimebadilishwa na lini. Kwa mfano, kufafanua mabadiliko kunaweza kufanywa kwa kujumuisha tarehe ya uchapishaji mwanzoni mwa sera ya CVD, kwa kuelezea muhtasari wa mabadiliko chini ya sera ya CVD au kwa kuweka kumbukumbu za matoleo ya zamani ya sera ya CVD.

Sera ya CVD inaweza kutoa miongozo kuhusu jinsi ya kuwasiliana wakati wa mchakato, kama vile kwa kuonyesha masasisho ya mara kwa mara kupitia barua pepe au lango la wavuti. Zaidi ya hayo, sera ya CVD inaweza kueleza jinsi mwripoti anavyoweza kutambuliwa kwa kumtaja wakati wa sasisho, kuingizwa kwenye ukumbi wa umaarufu (hall of fame) au aina nyingine yoyote ya zawadi.

Mawasiliano wakati wa mchakato wa ufichuaji

Mwripoti huanzisha mchakato wa CVD kwa kutuma ujumbe kwa shirika. Katika ujumbe huu, mwripoti anatoa maelezo wazi ya udhaifu uliogunduliwa. Vipengele muhimu ni anwani ya IP au URL ya mfumo ulioathirika na hatua zinazohitajika kurudia udhaifu.

Ni muhimu kwa shirika kuwasiliana wazi na mwripoti ili matarajio kuhusu mchakato yawe wazi.

Linaweza kufanya hivyo tayari kwa kutuma kukiri kupokea (kiotomatiki au vinginevyo) kunakojumuisha dalili ya muda ambao jibu la awali au la baadaye la kimaudhui litatumwa.

Pia inawezekana kuuacha muda huu wazi na kutoa dalili ya awali ya muda baada ya kutathmini maudhui ya ripoti. Inashauriwa kuwa wazi mapema iwezekanavyo kuhusu kipindi ambacho suluhisho linaweza kufikiwa. Kwa njia hii, mwripoti anajua ni lini matokeo yanaweza kutarajiwa.

Katika baadhi ya hali inawezekana kwamba tarehe ya uchapishaji tayari iko wazi kwa mwripoti; kwa mfano, kwa sababu ya mada atakayowasilisha kwenye kongamano au kwa sababu mwripoti ameweka muda wake mwenyewe. Katika hali hii, bado ni muhimu kwamba mwripoti awasilishe ratiba hii wazi, aitaje mapema iwezekanavyo na awe wazi kuhusu uwezekano/kutowezekana wa kuahirisha tarehe hii.

Mwripoti mara nyingi ni mtu wa nje ya shirika, ambaye hana ufahamu wowote wa michakato ya ndani inayoweza kuanzishwa na ripoti. Mashirika yanaweza kumjulisha mwripoti kuhusu maendeleo katika mchakato kupitia masasisho ya mara kwa mara. Mkabala huu unamwonyesha mwripoti wazi kwamba suluhisho linafanyiwa kazi. Inapohitajika, shirika linaweza kuomba ufafanuzi au kujaribu suluhisho wakati wa mchakato.

Ikiwa shirika haliwezi kutimiza tarehe ya mwisho ya awali ya utatuzi, linaweza kujadiliana na mwripoti ili kuiahirisha. Mawasiliano ya mara kwa mara yanaweza kumwonyesha mwripoti hali hii katika hatua ya mapema zaidi.

Nia kuu ya CVD ni kupunguza makali ya udhaifu, lakini ‘ufichuaji kamili’ wa udhaifu siku zote ni chaguo kwa mwripoti ikiwa anahisi kwamba mchakato utachukua muda mrefu sana. Hatua hii ni ile ‘fimbo kubwa’ ya methali iliyo mikononi mwa mwripoti. Kwa kawaida, hali hii lazima izuiwe kadiri iwezekanavyo.

Mawasiliano baada ya mchakato wa ufichuaji

Sababu nyingi zinazowezekana zipo kwa nini mwripoti anaweza kutafuta udhaifu kisha kuuripoti kwa mashirika kupitia mchakato wa CVD. Kwa idadi kubwa ya wanaoripoti, kichocheo muhimu ni kutambuliwa (hadharani).

Wanaoripoti hupata kutambuliwa hadharani kupitia shukrani katika sasisho au kuingizwa kwenye ukumbi wa umaarufu. Hata hivyo, hitaji la kutambuliwa hadharani halitumiki kwa wanaoripoti wote; wengine kwa hakika hawataki kujulikana na umma. Kwa hiyo, katika kesi ya mawasiliano na shirika, inashauriwa kupata kibali cha mwripoti kabla ya kumtaja.

Zaidi ya hayo, wanaoripoti wanaweza pia kuamua kuwasiliana kuhusu ripoti baada ya kukamilika kwa mchakato wa CVD. Kwa mfano, mwripoti anaweza kuelezea mchakato wa ugunduzi au kuwaonya wengine kuhusu udhaifu. Mwripoti anaweza kuamua kuwasilisha chapisho kwa shirika kwa madhumuni ya kuarifu. Kwa kuwa mchakato wa CVD kimsingi unakamilika baada ya kuondolewa kwa udhaifu, mwripoti baada ya hapo yuko huru kuwasiliana kuhusu hilo, isipokuwa makubaliano ya ziada yamefanywa katika sera au wakati wa mchakato.

Orodha

Mawasiliano kuhusu mchakato wa ufichuaji

• Kuchapisha sera ya CVD kwenye tovuti

• Kuwa wazi kuhusu vikwazo (tazama sura ya 6 kwa mikabala tofauti)

• Vikwazo katika mbinu za uchunguzi

• Miongozo kuhusu mawasiliano

• Miongozo kuhusu zawadi zinazowezekana: ukumbi wa umaarufu, zawadi ya fedha, fulana, n.k.

• Kuwa wazi kuhusu masasisho yoyote ya sera ya CVD, ikiwa ni pamoja na tarehe za mabadiliko

Mawasiliano wakati wa mchakato wa ufichuaji

• Mwripoti anawasiliana na shirika kuhusu udhaifu aliogundua.

• Shirika linasimamia matarajio, kama vile muda wa kujibu wa jibu la kwanza la kiufundi

• Shirika na mwripoti wanapeana uwazi kuhusu kipindi kinachotarajiwa cha utatuzi

• Shirika linatoa sasisho (la mchakato) mara kwa mara

• Inapohitajika, mwripoti na shirika wanajadili kuwasiliana na mashirika mengine husika

Mawasiliano baada ya mchakato wa ufichuaji

• Kujadili kutambuliwa (hadharani) na zawadi ya mwripoti

• Kupanga jinsi taarifa kuhusu udhaifu zitakavyochapishwa, kama vile hatua ya utafiti au kuyajulisha mashirika mengine

6. Mifano ya sera ya Ufichuaji Ulioratibiwa wa Udhaifu

Kuna aina nyingi tofauti za maandishi ya sera kuhusu Ufichuaji Ulioratibiwa wa Udhaifu. Kwa kuwa sera ya CVD iliyochapishwa hufanya kazi kama kibao cha mwelekeo kwa wanaoweza kuripoti, hakikisha kwamba muundo wa sera hii unaendana na sera na mkakati wa shirika.

Vipengele vifuatavyo ni muhimu katika sera ya CVD:

• njia ya mawasiliano kwa mawasiliano salama;

• masharti ya awali kwa wanaoripoti;

• matarajio wazi ya kushughulikia ripoti;

• njia ya kutuza ripoti;

• nambari ya toleo na tarehe ya marekebisho ya mwisho.

Hapa chini kuna mifano mitatu: Mashirika mengi nchini Uholanzi yamechukua kutoka kwa mfano wa msingi wa ResponsibleDisclosure.nl. Mashirika mengine yanajumuisha masharti ya awali ya ziada, tazama sera ya Fox IT. Mashirika mengine bado yanatumia muundo huru zaidi ili kuendana na hadhira lengwa, tazama sera ya Bits of Freedom.

Katika Acme Corporation, tunachukulia usalama wa mifumo yetu kuwa kipaumbele cha juu. Lakini haijalishi tunaweka juhudi kiasi gani katika usalama wa mifumo, bado kunaweza kuwa na udhaifu uliopo.

Ukigundua udhaifu, tungependa kujua kuuhusu ili tuchukue hatua za kuushughulikia haraka iwezekanavyo.

Tungependa kukuomba utusaidie kuwalinda vizuri zaidi wateja wetu na mifumo yetu.

Tafadhali fanya yafuatayo:

• Tuma matokeo yako kwa barua pepe kwa cert@example.com. Simba matokeo yako kwa njia fiche kwa kutumia ufunguo wetu wa PGP ili kuzuia taarifa hii muhimu isianguke mikononi mwa watu wasiofaa.

• Usitumie vibaya udhaifu au tatizo ulilogundua, kwa mfano kwa kupakua data zaidi ya inavyohitajika kuonyesha udhaifu au kufuta au kubadilisha data za watu wengine.

• Usimfichulie mtu mwingine tatizo hadi litakapotatuliwa.

• Usitumie mashambulizi dhidi ya usalama wa kimwili, uhandisi wa kijamii, kunyima huduma kwa usambazaji (distributed denial of service), barua taka au programu za wahusika wa tatu, na

• Toa taarifa za kutosha kurudia tatizo, ili tuweze kulitatua haraka iwezekanavyo. Kwa kawaida, anwani ya IP au URL ya mfumo ulioathirika na maelezo ya udhaifu yatatosha, lakini udhaifu tata unaweza kuhitaji maelezo zaidi.

Tunachoahidi:

• Tutajibu ripoti yako ndani ya siku 3 za kazi kwa tathmini yetu ya ripoti na tarehe inayotarajiwa ya utatuzi,

• Ikiwa umefuata maelekezo yaliyo hapo juu, hatutachukua hatua yoyote ya kisheria dhidi yako kuhusiana na ripoti hiyo,

• Tutashughulikia ripoti yako kwa usiri mkali, na hatutawapa wahusika wa tatu taarifa zako binafsi bila ruhusa yako,

• Tutakujulisha maendeleo ya kutatua tatizo,

• Katika taarifa za umma kuhusu tatizo lililoripotiwa, tutatoa jina lako kama mgunduzi wa tatizo (isipokuwa ukitaka vinginevyo), na

• Kama ishara ya shukrani yetu kwa msaada wako, tunatoa zawadi kwa kila ripoti ya tatizo la usalama ambalo bado halikuwa linajulikana kwetu. Kiasi cha zawadi kitaamuliwa kulingana na ukali wa uvujaji na ubora wa ripoti. Zawadi ya chini kabisa itakuwa hati ya zawadi ya €50.

Tunajitahidi kutatua matatizo yote haraka iwezekanavyo, na tungependa kuchukua nafasi hai katika uchapishaji wa mwisho kuhusu tatizo baada ya kutatuliwa.

Mfano: Fox-IT

Katika Fox-IT, tunaona usalama wa mifumo yetu, mtandao wetu na bidhaa zetu kuwa wa umuhimu mkubwa kabisa. Licha ya uangalifu mkubwa tunaouchukua kuhusu usalama, sehemu dhaifu bado zinaweza kubaki. Ukipata sehemu dhaifu kama hiyo, tungependa kuisikia mapema iwezekanavyo ili tuchukue hatua zinazofaa haraka iwezekanavyo.

Sehemu dhaifu zinaweza kugunduliwa kwa njia mbili: unaweza kukutana na kitu kwa bahati wakati wa matumizi ya kawaida ya mazingira ya kidijitali, au unaweza kujitahidi waziwazi kuzitafuta.

Sera yetu ya ufichuaji wa kuwajibika si mwaliko wa kuchanganua kikamilifu mtandao wetu wa biashara ili kugundua sehemu dhaifu. Sisi wenyewe tunafuatilia mtandao wetu wa biashara. Hii ina maana kuna uwezekano mkubwa kwamba uchanganuzi utagunduliwa, na kwamba uchunguzi utafanywa na Kituo chetu cha Operesheni za Usalama (SOC), jambo linaloweza kusababisha gharama zisizo za lazima. Hata hivyo, unakaribishwa kutafuta kikamilifu udhaifu katika bidhaa zetu katika mazingira yasiyo ya uzalishaji yaliyo nje ya mtandao na kutuarifu matokeo yako. Wajibu wetu kwa wateja wetu unamaanisha kuwa nia yetu si kuhimiza majaribio ya udukuzi dhidi ya miundombinu yao; hata hivyo, tungependa kusikia kutoka kwako mapema iwezekanavyo ikiwa udhaifu utapatikana, ili tuweze kuutatua ipasavyo.

Tungependa kufanya kazi nawe ili tuweze kuwalinda vizuri zaidi wateja wetu na mifumo yetu.

Tunakuomba:

• Utume matokeo yako kwa barua pepe mapema iwezekanavyo kwa security-alert@fox-it.com.

• Usitumie vibaya udhaifu; kwa mfano, kwa kupakua, kuhariri au kufuta data. Siku zote tutachukulia ripoti yako kwa uzito na kuchunguza shaka yoyote ya udhaifu, hata bila ushahidi.

• Usishiriki tatizo na wengine hadi litakapotatuliwa.

• Usitumie mashambulizi dhidi ya usalama wa kimwili, uhandisi wa kijamii au zana za udukuzi, kama vile vichanganuzi vya udhaifu.

• Toa taarifa za kutosha ili tatizo liweze kurudiwa ili tuweze kulitatua haraka iwezekanavyo. Kwa kawaida, anwani ya IP au URL ya mfumo ulioathirika na maelezo ya udhaifu vinatosha, ingawa taarifa zaidi zinaweza kuhitajika kwa udhaifu tata zaidi.

Tunachoahidi:

• Tutajibu ripoti yako ndani ya siku tatu za kazi, kwa tathmini yetu ya ripoti na tarehe inayotarajiwa ya utatuzi.

• Tutashughulikia ripoti yako kwa siri, na hatutashiriki taarifa zako binafsi na wahusika wa tatu bila ruhusa yako. Isipokuwa ni polisi na mfumo wa mahakama endapo kutakuwa na mashtaka au ikiwa taarifa zinadaiwa.

• Tutakujulisha maendeleo ya suluhisho la tatizo.

• Katika mawasiliano kuhusu tatizo lililoripotiwa, tutataja jina lako kama mhusika aliyegundua tatizo, ukitaka.

• Kwa bahati mbaya haiwezekani kuhakikisha mapema kwamba hakuna hatua za kisheria zitakazochukuliwa dhidi yako. Tunatumaini kuweza kuzingatia kila hali kivyake. Tunajiona kuwa tuna wajibu wa kimaadili kukuripoti ikiwa tunashuku kwamba sehemu dhaifu au data zinatumiwa vibaya, au kwamba umeshiriki ujuzi wa sehemu dhaifu na wengine. Unaweza kuwa na uhakika kwamba ugunduzi wa bahati mbaya katika mazingira yetu ya mtandaoni hautasababisha mashtaka.

• Kama shukrani kwa msaada wako, tunatoa zawadi kwa kila ripoti ya tatizo la usalama ambalo hatulijui. Tunaamua thamani ya zawadi kwa msingi wa ukali wa uvunjifu na ubora wa ripoti.

Tunajitahidi kutatua matatizo yote haraka iwezekanavyo, kuwajulisha wahusika wote, na tungependa kushiriki katika uchapishaji wowote kuhusu tatizo mara litakapotatuliwa.

Mfano: Bits of Freedom

Utegemezi wetu kwa miundombinu ya kidijitali unaendelea kuongezeka. Hili linahusu jamii kwa ujumla, lakini pia linatuhusu sisi wenyewe. Kwa hiyo ni maoni yetu kwamba serikali na mashirika (ikiwa ni pamoja na yetu) yanapaswa kujitolea kwa dhati kulinda miundombinu yetu ya kidijitali. Tunatambua kwamba, licha ya nia zetu bora na uangalifu wetu mkubwa, udhaifu unaweza kuwepo katika mifumo yetu. Ukipata mojawapo ya udhaifu huu, tungependa kusikia kutoka kwako ili tuweze kulitatua suala hilo.

Tunachotarajia kutoka kwako

• Unapochunguza mojawapo ya mifumo yetu, zingatia uwiano wa shambulio. Hakuna haja ya kuonyesha kwamba unapoishambulia tovuti yetu kwa shambulio kubwa zaidi la DDoS katika historia ya intaneti, tovuti inaweza kutopatikana. Tunajua hilo. Pia tunaelewa kwamba ukiendesha tingatinga hadi ofisini kwetu, pengine utaweza kunyakua mojawapo ya kompyuta zetu mpakato.

• Kanuni hii ya uwiano pia inahusika wakati wa kuonyesha udhaifu wenyewe. Hupaswi kukagua wala kubadilisha data zaidi ya inavyohitajika kabisa ili kuthibitisha uhalali wa ugunduzi wako. Kwa mfano, ukiweza kubadilisha ukurasa wetu wa mwanzo, ongeza neno moja tu lisilo na utata badala ya kuuteka ukurasa mzima. Ukiweza kupata ufikiaji wa hifadhidata, inatosha kutuonyesha orodha ya majedwali yaliyomo, au pengine rekodi ya kwanza katika mojawapo ya majedwali hayo.

• Udhaifu katika mojawapo ya mifumo yetu unapaswa kuripotiwa mapema iwezekanavyo kwa kutuma barua pepe kwa security@bof.nl. Ni vyema ukisimba ujumbe wako kwa njia fiche kwa kutumia OpenPGP. Tafadhali toa taarifa za kutosha ili tuweze kurudia na kuchunguza suala hilo.

• Ufunguo wa umma wa OpenPGP wa security@bof.nl

• Hutashiriki ujuzi wako wa udhaifu na wahusika wengine mradi bado hatujalishughulikia suala hilo na bado tuko ndani ya muda wa busara tangu uliporipoti suala hilo.

• Utafuta taarifa zote za siri ulizopata wakati wa uchunguzi wako mara tutakapotatua udhaifu huo.

Unachoweza kutarajia kutoka kwetu

• Tutajibu ripoti yako ndani ya siku tatu kwa kina. Tutajumuisha makadirio ya muda tutakaohitaji kulishughulikia suala hilo. Bila shaka, tutakujulisha maendeleo yetu mara kwa mara.

• Tutautatua udhaifu huo haraka iwezekanavyo. Hapa pia, uwiano ni muhimu: muda unaohitajika kurekebisha udhaifu unategemea mambo kadhaa, miongoni mwake ukali na utata wa suala husika.

• Ukifuata miongozo iliyoelezwa hapa, hatutachukua hatua za kisheria dhidi yako kuhusiana na ripoti yako.

• Ni muhimu kwetu kukupa sifa kwa ulichofanya - ukitaka. Tutataja jina lako katika chapisho lolote kuhusu udhaifu huo ikiwa tu umekubali.

• Kama shukrani kwa kutusaidia kulinda mifumo yetu vizuri zaidi, tungependa kutuza kila ripoti ya udhaifu ambao haukuwa unajulikana kwetu wakati huo. Zawadi itategemea ukali wa udhaifu na ubora wa ripoti.

• Ukipata udhaifu katika programu ya mhusika wa tatu tunayoitumia na udhaifu huo unashughulikiwa na programu ya zawadi kwa hitilafu, hatutajaribu kudai zawadi hiyo; unapaswa kudai wewe.