NCSC.nl

1. บทนำ

สังคมกำลังเข้าสู่ยุคดิจิทัลมากขึ้นเรื่อย ๆ ทุกวันนี้ เกือบทุกกระบวนการ เกี่ยวข้องกับการใช้คอมพิวเตอร์ในบางจุด ตั้งแต่โทรศัพท์มือถือไปจนถึงซอฟต์แวร์ เฉพาะทาง แม้การพัฒนานี้จะสร้างโอกาสใหม่ ๆ มากมาย แต่ช่องโหว่ในระบบไอทีอาจส่งผลกระทบอย่างใหญ่หลวง ดังนั้นความรู้ เกี่ยวกับช่องโหว่เหล่านี้ควรได้รับการจัดการอย่างมีประสิทธิภาพ

องค์กรจำนวนหนึ่งเริ่มเผยแพร่นโยบายเกี่ยวกับวิธีรายงาน ช่องโหว่ตั้งแต่ต้นปี 2013 หลังจากหารือกับฝ่ายเหล่านั้น ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (National Cyber Security Centre, NCSC) ได้สรุปพัฒนาการเหล่านั้นใน รูปแบบของ "แนวทางเพื่อให้บรรลุแนวปฏิบัติการเปิดเผยอย่างรับผิดชอบ (Responsible Disclosure)" ("Leidraad om te komen tot een praktijk van Responsible Disclosure"; "แนวทาง") บริษัทต่าง ๆ ระบุผ่านนโยบายนี้ว่าเปิดรับรายงานช่องโหว่จากภายนอก อธิบายเงื่อนไขเบื้องต้นของตน และให้คำมั่นสัญญา กระบวนการ นี้สร้างความชัดเจนและสภาพแวดล้อมที่ค่อนข้างปลอดภัยสำหรับผู้รายงานในการ สืบสวนและรายงานช่องโหว่โดยไม่ต้องกระทำความผิดอาญาโดยตรง ในการประชุมระดับสูงของสหภาพยุโรปว่าด้วยความมั่นคงปลอดภัยไซเบอร์ในปี 2016 มี 29 องค์กรยืนยันอีกครั้งถึงความสำคัญของนโยบายในการจัดการกับ ช่องโหว่โดยลงนามใน Coordinated Vulnerability Disclosure Manifesto1 ซึ่งริเริ่มโดย CIO Platform Netherlands และ Rabobank ร่วมกับ NCSC

การเปิดเผยช่องโหว่แบบประสานงาน (Coordinated Vulnerability Disclosure, CVD) พิสูจน์แล้วว่ามีความสำคัญอย่างยิ่ง ต่อฝ่ายรัฐและเอกชน องค์กรเหล่านี้พึ่งพาการ ทำงานอย่างไม่สะดุดของระบบสารสนเทศในการปฏิบัติงานประจำวันอย่างมาก รายงานช่องโหว่ ในระบบของพวกเขาช่วยปรับปรุงความปลอดภัยและความต่อเนื่องของระบบ ในช่วงไม่กี่ปีที่ผ่านมา ด้านหนึ่งด้วยการแก้ไขช่องโหว่ และอีกด้านหนึ่งด้วยการ ส่งเสริมความตระหนักโดยทั่วไปของบริษัทชาวดัตช์ด้านความปลอดภัยไอที

ในช่วงไม่กี่ปีที่ผ่านมา เห็นได้ชัดว่าผู้รายงานพร้อมที่จะทำงาน ภายใต้เงื่อนไขของนโยบาย CVD ที่องค์กรจัดทำขึ้น ผู้รายงาน รายงานต่อองค์กรโดยตรงหรือโดยอ้อม แนวปฏิบัติการเปิดเผย อย่างรับผิดชอบแสดงให้เห็นว่าผู้รายงานที่มีเจตนาดีและ องค์กรที่มีช่องโหว่สามารถร่วมมือกันได้ และก้าวไปสู่ขั้นต่อไป ในการเพิ่มความปลอดภัยของเครือข่ายและระบบสารสนเทศ

สำหรับการปรับปรุงครั้งนี้ เราได้พูดคุยอีกครั้งกับกลุ่มผู้รายงานที่หลากหลายและกว้างขวาง ทั้งฝ่ายเอกชนและรัฐ ตลอดจนสำนักงานอัยการ และตำรวจแห่งชาติ การสนทนาเหล่านี้ยืนยันแนวปฏิบัติ ปัจจุบัน และนำไปสู่การเพิ่มเติมและปรับปรุง ประเด็นที่ต้องให้ความสนใจ ใหม่ที่สำคัญที่สุดคือการสื่อสารระหว่างผู้รายงานช่องโหว่กับองค์กร รวมถึงกับฝ่ายอื่นหลังจากที่ช่องโหว่ได้รับการแก้ไขแล้ว

บทต่อไปนี้กล่าวถึงนิยามของ CVD องค์ประกอบพื้นฐานสำหรับ นโยบาย CVD และกระบวนการสื่อสาร

ข้อสังเกต: แนวทางฉบับก่อนใช้คำว่า "responsible disclosure" ซึ่ง เป็นคำที่ใช้กันทั่วไปสำหรับแนวปฏิบัตินี้ในเวลานั้น ต่อมาเห็นได้ชัดว่า คำนี้เน้นความรับผิดชอบของฝ่ายผู้รายงานมากเกินไป ทั้งที่หลักการพื้นฐานคือผู้รายงานและองค์กรที่ อาจมีช่องโหว่ควรเป็นหุ้นส่วนที่เท่าเทียมกันในการสนทนา ความรู้สึกนี้ ถูกสะท้อนได้ดีกว่าในคำที่ใช้กันทั่วไปในปัจจุบันคือ "Coordinated Vulnerability Disclosure" (CVD) ซึ่งเป็นชื่อที่ใช้ในมาตรฐาน ISO 29147 และ 30111 เกี่ยวกับกระบวนการนี้ด้วย

2. ช่องโหว่แบบประสานงาน

ตลอด 30 ปีที่ผ่านมามีการใช้วิธีการต่าง ๆ เพื่อเพิ่ม ความตระหนักเกี่ยวกับช่องโหว่ในระบบไอที ตัวอย่างเช่น:

• "Full Disclosure" การเปิดเผยช่องโหว่ต่อสาธารณะอย่างเต็มที่

• "Non-disclosure" การขายหรือใช้ช่องโหว่เอง

• "Coordinated Vulnerability Disclosure" (CVD) การเปิดเผยช่องโหว่แบบประสานงาน

แนวปฏิบัติหลังนี้เป็นที่นิยมอย่างชัดแจ้ง

ชุมชนไอทีแสดงความเต็มใจอย่างมากที่จะแบ่งปันความรู้ และประสบการณ์ การแสวงหาความร่วมมือกับชุมชนนี้ จึงช่วยปรับปรุงความปลอดภัยโดยรวมของระบบได้

เป้าหมายของการเปิดเผยช่องโหว่แบบประสานงาน

เป้าหมายของ CVD คือการมีส่วนช่วยความปลอดภัยของระบบไอทีโดยการแบ่งปัน ความรู้เกี่ยวกับช่องโหว่ ใน CVD ความรู้จะถูกแบ่งปันกับองค์กรหนึ่งแห่งหรือมากกว่า ที่อาจมีช่องโหว่ เพื่อให้ได้ทางแก้ไขร่วมกันสำหรับ ช่องโหว่ที่พบโดยร่วมมือกับผู้รายงาน เป็นเรื่อง สำคัญที่องค์กรที่ได้รับผลกระทบจะมีเวลาเพียงพอที่จะแก้ไขช่องโหว่ใด ๆ หรือปกป้องระบบเพื่อจำกัดหรือป้องกันการสูญเสียหรือความเสียหาย ให้มากที่สุดเท่าที่ทำได้ รากฐานของกระบวนการคือการเปิดเผยความรู้ เกี่ยวกับช่องโหว่หลังจากแก้ไขแล้ว

ใน CVD เป็นสิ่งจำเป็นที่ทุกฝ่ายต้องปฏิบัติตามข้อตกลงเกี่ยวกับวิธีรายงาน ช่องโหว่และวิธีจัดการกับมัน สิ่งที่ช่วยได้คือหากองค์กร เผยแพร่เงื่อนไขเบื้องต้นล่วงหน้า เช่น ระบบใดอยู่ในขอบเขตและ สามารถทำการวิจัยประเภทใดได้บ้าง หลักการสำคัญสำหรับเงื่อนไข เบื้องต้นเหล่านี้คือ โดยหลักการแล้ว องค์กรจะไม่แจ้งความผู้รายงานหรือดำเนินการทางกฎหมายอื่น ๆ หากการสืบสวนและการรายงาน ดำเนินการภายในเงื่อนไขที่กำหนด แนวทางเหล่านี้ให้ คำแนะนำแก่องค์กรในการจัดทำนโยบายของตนเองเพื่อนำหลักการของ CVD ไปใช้

ตามชื่อที่บ่งบอก หัวใจสำคัญของ CVD คือองค์กรและ ผู้รายงานประสานงานซึ่งกันและกัน ในแง่นี้ ควรมีตัวกลางระหว่างผู้ที่รายงานช่องโหว่และ ผู้ที่อยู่ในองค์กรซึ่งรับผิดชอบการแก้ปัญหาให้น้อยที่สุด เท่าที่จะเป็นไปได้

อาจเป็นสิ่งสำคัญที่จะแจ้งหลายฝ่ายพร้อมกันหาก ช่องโหว่ส่งผลกระทบต่อหลายระบบ ในกรณีนั้น NCSC หรือฝ่ายอื่น ๆ ในชุมชนด้านความปลอดภัยสามารถสนับสนุนกระบวนการ CVD ในบทบาท ผู้ประสานงานได้

3. ขอบเขตความรับผิดชอบ

จุดประสงค์ของการใช้นโยบาย CVD คือให้ผู้รายงานและองค์กร ทำงานร่วมกันเพื่อลดช่องโหว่ในระบบไอที การนำนโยบายนี้ไปปฏิบัติควรถือเป็นส่วนเสริมของมาตรการที่มีอยู่เกี่ยวกับ ความมั่นคงปลอดภัยสารสนเทศ ผู้มีบทบาทต่าง ๆ แต่ละฝ่ายมีบทบาทและ ความรับผิดชอบของตนเอง ซึ่งอธิบายรายละเอียดเพิ่มเติมด้านล่าง

องค์กรที่เป็นเจ้าของ/ดูแลระบบ

องค์กรที่เป็นเจ้าของ/ดูแลหรือจัดหาระบบมีความรับผิดชอบหลักต่อ ความปลอดภัยของระบบนี้ กล่าวอีกนัยหนึ่ง องค์กรยังต้อง รับผิดชอบในการติดตามผลรายงานช่องโหว่ด้วย

องค์กรอาจเลือกจัดทำนโยบาย CVD ของตนเองโดยใช้แนวทางเหล่านี้ และสื่อสารนโยบายนี้กับผู้รายงานที่อาจมีขึ้น การเผยแพร่ นโยบาย CVD แสดงให้เห็นถึงความเต็มใจขององค์กรที่จะรับข้อมูลเกี่ยวกับ ช่องโหว่

ฝ่ายที่จัดทำนโยบาย CVD สามารถผูกพันตนต่อหลักการที่ว่าจะไม่ ยื่นเรื่องร้องเรียนต่อตำรวจ หากมีการเคารพกฎที่ใช้กับนโยบาย

เมื่อผู้รายงานรายงานช่องโหว่แล้ว ความรับผิดชอบจะอยู่ที่ องค์กร สิ่งสำคัญคือต้องตระหนักว่าผู้รายงาน มักเป็นบุคคลภายนอกองค์กร ฝ่ายนี้ไม่มีมุมมองโดยตรง ต่อกระบวนการภายในที่อาจถูกเรียกใช้หลังจากมีการรายงานช่องโหว่ ดังนั้นผู้รายงานจะซาบซึ้งที่ได้รับแจ้งเกี่ยวกับ ความคืบหน้าในการแก้ไขช่องโหว่ การสื่อสารอย่างต่อเนื่องนี้ ยังสำคัญต่อการสร้างความคาดหวังที่ถูกต้องเกี่ยวกับการติดตามผล และความทันเวลาของการแก้ไข

ฝ่ายที่รายงานช่องโหว่

ผู้รายงานสามารถระบุช่องโหว่ได้ไม่ทางใดก็ทางหนึ่ง และต้องการมีส่วนช่วยความปลอดภัยของระบบไอทีโดยให้แก้ไข ช่องโหว่นี้ และอาจเปิดเผยต่อสาธารณะในภายหลัง ผู้ รายงานอาจค้นพบบางสิ่งผ่านการสังเกตแบบเฉยชาหรือโดยการ ทดสอบระบบไอทีอย่างเชิงรุก แน่นอนว่าฝ่ายนี้รับผิดชอบต่อ การกระทำของตนเองและวิธีที่ตนค้นพบช่องโหว่ เป็นความรับผิดชอบ ของผู้รายงานเองที่จะต้องรับรู้เงื่อนไขที่องค์กรกำหนดไว้ในนโยบาย CVD ของตน รัฐบาลและบริษัทส่วนใหญ่ได้เผยแพร่ นโยบาย CVD ของตนบนเว็บไซต์ของตน

อย่างไรก็ตาม การค้นหาช่องโหว่อาจเกี่ยวข้องกับการฝ่าฝืนกฎหมาย ใน บริบทของ CVD องค์กรและผู้รายงานสามารถตกลงกันว่าจะไม่ แจ้งความเกี่ยวกับการกระทำผิดทางอาญาใด ๆ ในแง่นี้ นโยบาย CVD ที่องค์กรเผยแพร่เป็นหลักการชี้นำ ทั้งสองฝ่ายยังสามารถ ตกลงกันว่าจะไม่ดำเนินการทางแพ่ง

หากมีข้อสงสัยว่าผู้รายงานฝ่าฝืนกฎหมาย นโยบาย CVD สามารถช่วยป้องกันไม่ให้ผู้รายงานถูกแจ้ง ต่อเจ้าหน้าที่ได้เป็นอันดับแรก ขั้นตอนนี้ขึ้นอยู่กับเงื่อนไขเบื้องต้นของ นโยบายที่องค์กรกำหนดให้ผู้รายงานปฏิบัติตามทั้งหมด และ ขึ้นอยู่กับว่าการปฏิบัติตามนี้สำเร็จหรือไม่ โดยอาจมีคำมั่นสัญญาที่สอดคล้องกันว่าจะไม่ยื่นคำร้องทุกข์ทางอาญาตราบใดที่ฝ่ายนั้นดำเนินการภายใน เงื่อนไขของนโยบาย หากมีการแจ้งความต่อตำรวจ การมีอยู่และ การปฏิบัติตามนโยบาย CVD เป็นสถานการณ์ที่เกี่ยวข้องในเนเธอร์แลนด์ ซึ่งอัยการจะนำมาพิจารณาเมื่อตัดสินใจว่าจะ เริ่มการสอบสวนคดีอาญาและ/หรือดำเนินคดีหรือไม่ โดยหลักการ ตำรวจ และสำนักงานอัยการ (OM) จะไม่เริ่มการสอบสวน คดีอาญา หากผู้รายงานปฏิบัติตามกฎของ นโยบาย CVD ขององค์กรที่เกี่ยวข้องอย่างชัดเจน อย่างไรก็ตาม สำนักงานอัยการ และตำรวจสามารถสอบสวนคดีต่อไปได้หากมีข้อบ่งชี้ ว่าผู้รายงานล้ำเส้นเกินไปในการกระทำของตนโดยรู้ตัวหรือไม่รู้ตัว และ/หรือไม่ปฏิบัติตามนโยบาย CVD จากการสอบสวน นี้ สำนักงานอัยการสามารถตัดสินใจว่าจะดำเนินคดีหรือไม่

สำนักงานอัยการได้เผยแพร่หนังสือนโยบายซึ่งกล่าวถึง ประเด็นที่สำคัญในการตัดสินใจสอบสวนและ/หรือดำเนินคดีอย่างเฉพาะเจาะจงยิ่งขึ้น ตัวอย่างเช่น การกระทำของผู้รายงาน เป็นประโยชน์ต่อสาธารณะที่สำคัญหรือไม่ ฝ่ายนั้นกระทำการ อย่างไม่ได้สัดส่วนหรือไม่ และฝ่ายนั้นอาจสามารถกระทำด้วยวิธีอื่นที่ รุนแรงน้อยกว่าได้หรือไม่ หนังสือนโยบายที่เกี่ยวข้องอธิบายรายละเอียดเพิ่มเติมเกี่ยวกับ ประเด็นเหล่านี้2 คำพิพากษาที่เกี่ยวข้องตั้งแต่ปี 20133 แสดงว่าประเด็นเหล่านี้ยังถูกนำมาพิจารณาใน ศาลด้วยหากองค์กรไม่มีนโยบาย CVD

4. องค์ประกอบพื้นฐานของกระบวนการเปิดเผยช่องโหว่แบบประสานงาน

องค์ประกอบพื้นฐานในการกำหนดรูปแบบกระบวนการ CVD สำหรับองค์กร ผู้รายงาน และ NCSC มีดังต่อไปนี้

องค์กร

การส่งเสริม CVD เริ่มต้นจากองค์กรที่เป็นเจ้าของระบบไอทีหรือที่จัดหา ผลิตภัณฑ์/ระบบไอที ท้ายที่สุดแล้ว องค์กรนี้รับผิดชอบหลักต่อ ความมั่นคงปลอดภัยสารสนเทศของระบบไอทีเหล่านี้ เพื่อทำงานร่วมกับ ฝ่ายต่าง ๆ ในการแก้ไขช่องโหว่ได้อย่างมีประสิทธิภาพ องค์กรอาจตัดสินใจจัดทำ และเผยแพร่นโยบาย CVD การจัดทำนโยบาย CVD ของตนเองช่วยให้องค์กร แสดงให้เห็นว่าตนจัดการกับรายงานช่องโหว่อย่างไร ด้วยวิธีนี้ องค์กร ยังสามารถกำหนดรูปแบบวิธีที่ต้องการรับ การแจ้งได้ด้วย กระบวนการเช่นนี้สามารถจัดได้ดังนี้:

• องค์กรจัดทำและเผยแพร่นโยบาย CVD

• ในนโยบายนี้ องค์กรให้กฎที่ชัดเจนสำหรับการวิจัยที่ ผู้รายงานสามารถทำได้ เช่น เทคนิคใดที่อนุญาตและ ระบบใดอยู่ในหรือนอกขอบเขต

• องค์กรทำให้ผู้รายงานรายงานได้ง่าย ทางเลือกหนึ่ง คือการใช้วิธีการรายงานที่เป็นมาตรฐาน เช่น ที่อยู่ อีเมลเฉพาะหรือแบบฟอร์มออนไลน์ นอกจากนี้ องค์กรสามารถตัดสินใจว่า จะรับรายงานแบบไม่เปิดเผยตัวตนหรือไม่

• องค์กรสำรองขีดความสามารถภายในและจัดตั้งกระบวนการเพื่อ ตอบสนองต่อรายงานอย่างเหมาะสม ควรจัดตั้งกระบวนการที่ สามารถแก้ไขช่องโหว่ที่พบได้อย่างเหมาะสม ในแง่นี้ ต้นทางของรายงานไม่เกี่ยวข้อง ช่องโหว่อาจถูก ระบุโดยพนักงานภายในหรือระหว่างการทดสอบก็ได้

• ประสบการณ์เชิงปฏิบัติแสดงให้เห็นว่าจะมีความสนใจมากขึ้นในการรายงาน ช่องโหว่ให้องค์กรหลังจากการเผยแพร่นโยบาย CVD ครั้งแรก องค์กรควรพิจารณาเรื่องนี้เมื่อวางแผนขีดความสามารถ (เพิ่มเติม)

• เมื่อองค์กรได้รับรายงานช่องโหว่ องค์กรจะต้องมั่นใจว่า รายงานไปถึงแผนกที่เหมาะสมที่สุดในการประเมินและจัดการ รายงานโดยเร็วที่สุด

• องค์กรส่งการตอบรับว่าได้รับรายงานไปยัง ผู้รายงาน โดยควรลงนามดิจิทัลเพื่อเน้นความสำคัญเร่งด่วน

• จากนั้นองค์กรจะเข้าสู่การปรึกษาหารือกับผู้รายงาน เพื่อกำหนดช่วงเวลาที่จะมีการเผยแพร่ใด ๆ ช่วงเวลานี้จะขึ้นอยู่กับลักษณะของช่องโหว่และ ประเภทของระบบเป็นอย่างมาก

• เป็นแนวทาง มักใช้ช่วงเวลาประมาณ 60 วันสำหรับช่องโหว่ ของซอฟต์แวร์ การแก้ไขช่องโหว่ในฮาร์ดแวร์ทำได้ยากกว่า จึงอาจใช้แนวทาง 6 เดือน

• อาจเป็นที่พึงปรารถนาที่จะขยายหรือย่นช่วงเวลานี้โดยความตกลงร่วมกัน ขึ้นอยู่กับว่ามีระบบไอทีมากหรือน้อยเพียงใดที่พึ่งพาระบบที่ มีการรายงานช่องโหว่ หรือช่องโหว่นั้นแก้ไขง่ายหรือยากกว่า

• ช่องโหว่อาจพิสูจน์แล้วว่าแก้ไขได้ยากหรือแก้ไขไม่ได้ หรืออาจ มีค่าใช้จ่ายสูงในการแก้ไข ในกรณีเช่นนี้ องค์กรอาจ ตกลงที่จะถือว่าช่องโหว่เป็นความเสี่ยงที่ยอมรับได้และไม่แก้ไข โดยอาจปรึกษากับผู้รายงาน

• องค์กรจะแจ้งความคืบหน้าของกระบวนการให้ผู้รายงานทราบ

• นอกจากนี้ องค์กรสามารถเสนอให้ผู้รายงานได้รับการยกย่องต่อสาธารณะ ในการเผยแพร่ช่องโหว่ นอกจากนี้ยังเลือกที่จะ เปิดเผยร่วมกันต่อโลกภายนอกได้

• ควรให้รางวัลแก่ผู้รายงานสำหรับการรายงานช่องโหว่ ในระบบ หากฝ่ายนั้นปฏิบัติตามกฎของนโยบาย CVD จำนวน รางวัลอาจขึ้นอยู่กับคุณภาพของรายงาน การให้รางวัลแก่ ผู้รายงานสามารถสร้างความสัมพันธ์ที่ดีขึ้นระหว่างฝ่ายนั้นกับ องค์กร รวมถึงเพิ่มความเต็มใจของผู้คนที่จะรายงานใหม่ตาม นโยบาย CVD

• โดยการปรึกษากับผู้รายงาน องค์กรสามารถตกลงที่จะแจ้ง ชุมชนไอทีในวงกว้างเกี่ยวกับช่องโหว่ หากมีความเป็นไปได้ว่า ช่องโหว่นั้นมีอยู่ที่อื่นด้วย

• ในนโยบาย CVD ขององค์กร องค์กรสามารถผูกพันตนต่อหลักการที่ว่า จะไม่ยื่นเรื่องร้องเรียนต่อตำรวจ หากผู้รายงานปฏิบัติตาม กฎที่ระบุไว้ในนโยบาย

ผู้รายงาน

ผู้รายงานคือกุญแจสู่กระบวนการ CVD ที่ประสบความสำเร็จ ไม่ทางใดก็ทางหนึ่ง ฝ่ายนี้สามารถระบุช่องโหว่ได้ และต้องการ มีส่วนช่วยความปลอดภัยของระบบไอทีโดยให้องค์กรแก้ไขช่องโหว่นี้ และเปิดเผยต่อสาธารณะ ในการทำเช่นนี้ ผู้รายงานยอมรับ ว่าตนสามารถมีส่วนสำคัญต่อสังคมโดยการเปิดเผย ช่องโหว่แบบประสานงาน เพื่อให้กระบวนการ CVD ประสบความสำเร็จ องค์ประกอบพื้นฐานต่อไปนี้มีความสำคัญต่อผู้รายงาน:

• ผู้รายงานรับผิดชอบต่อการกระทำของตนเองและต้องปฏิบัติตาม หลักความได้สัดส่วนและหลักความช่วยเหลือเสริม (subsidiarity) เมื่อสืบสวนและ รายงานช่องโหว่ กล่าวอีกนัยหนึ่ง ผู้รายงานไม่ควรทำ มากกว่าที่จำเป็นเพื่อแสดงให้เห็นช่องโหว่ และควรรายงาน ช่องโหว่ให้เจ้าของระบบ/ข้อมูลทราบก่อนเสมอ

• ผู้รายงานต้องรายงานปัญหาโดยเร็วที่สุดเพื่อ ป้องกันไม่ให้ฝ่ายประสงค์ร้ายค้นพบช่องโหว่และนำไปใช้ ประโยชน์

• ผู้รายงานต้องรายงานให้องค์กรอย่างเป็นความลับ เพื่อป้องกันไม่ให้ผู้อื่นเข้าถึงข้อมูลนี้

• ผู้รายงานต้องไม่ทำให้การยื่นรายงานหรือการให้ข้อมูลเพิ่มเติม ขึ้นอยู่กับรางวัล ความริเริ่มในการให้ รางวัลเมื่อมีการรายงานอยู่ที่องค์กรผู้รับ ซึ่งอาจ ระบุเงื่อนไขเบื้องต้นไว้ในนโยบายที่เผยแพร่

• ผู้รายงานและองค์กรตกลงกันอย่างชัดเจนเกี่ยวกับ การเปิดเผยช่องโหว่ หากมีองค์กรเกี่ยวข้องมากกว่าหนึ่งแห่ง หลักการพื้นฐานคือช่องโหว่จะเผยแพร่ได้ก็ต่อเมื่อทุก องค์กรเห็นชอบ การทำข้อตกลงเหล่านี้ตั้งแต่ระยะเริ่มต้นเป็น สิ่งที่แนะนำ

• ผู้รายงานและองค์กรที่เกี่ยวข้องสามารถทำข้อตกลงเกี่ยวกับ การแจ้งชุมชนไอทีในวงกว้าง ตัวอย่างเช่น สถานการณ์นี้อาจใช้กับ ช่องโหว่ (ไม่ว่าจะเป็นที่รู้จักแล้วหรือไม่) ที่ทราบว่ามีอยู่ในมากกว่า หนึ่งสถานที่ ศูนย์ความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (NCSC) สามารถเข้ามามีส่วนร่วมในกระบวนการ นี้เพื่อสนับสนุนกลุ่มเป้าหมายของรัฐบาลกลางและโครงสร้างพื้นฐาน สำคัญ หรือเพื่อแจ้งหลายฝ่ายในกรณีที่มีช่องโหว่ที่ ส่งผลกระทบต่อหลายระบบ

NCSC

กระบวนการ CVD เป็นเรื่องขององค์กรและผู้รายงานเป็นหลัก อย่างไรก็ตาม NCSC จะส่งเสริมการใช้กระบวนการ CVD โดยการปรึกษาหารือ กับผู้รายงานและองค์กร NCSC ยังสามารถมีส่วนร่วมใน การแบ่งปันข้อมูลเกี่ยวกับช่องโหว่กับกลุ่มผู้รับบริการของตนเพื่อจำกัด ความเสี่ยงด้านความปลอดภัยเพิ่มเติมที่เกิดจากช่องโหว่

หากการรายงานช่องโหว่ไม่เป็นไปตามที่ผู้รายงาน คาดหวัง หรือหากพวกเขาไม่ต้องการรายงานช่องโหว่โดยตรงต่อ องค์กร พวกเขาสามารถติดต่อ NCSC ได้4 ในกรณีนี้ NCSC สามารถทำหน้าที่เป็น คนกลางเมื่อจำเป็น

เจ้าของระบบไอทีรับผิดชอบต่อความปลอดภัยของ ระบบตลอดเวลา NCSC ไม่สามารถบังคับให้เจ้าของระบบแก้ไข ช่องโหว่ได้ และไม่สามารถรับประกันว่าเจ้าของจะไม่ดำเนินการทางกฎหมาย ต่อผู้รายงาน ดังนั้น ผู้รายงานต้องคำนึงถึง องค์ประกอบพื้นฐานข้างต้นสำหรับองค์กรและผู้รายงาน เมื่อค้นหาและรายงานช่องโหว่ ผู้รายงานอาจ คาดหวังให้ NCSC ทำอย่างเต็มที่เพื่อให้ช่องโหว่ได้รับการแก้ไขและ ปฏิบัติต่อรายงานเป็นความลับ NCSC ไม่แบ่งปันข้อมูลส่วนบุคคลใด ๆ เว้นแต่มีหน้าที่ตามกฎหมาย

หากเป็นไปได้ NCSC จะใช้ข้อมูลที่ได้รับเกี่ยวกับช่องโหว่โดยปรึกษา กับองค์กรและผู้รายงานเพื่อแบ่งปันความรู้ต่อกับ ชุมชนไอที ตัวอย่างเช่น อาจทำโดยเผยแพร่ข้อมูลบางส่วน เขียนหรืออัปเดตเอกสารข้อเท็จจริง (fact sheet) หรือเอกสารทางวิชาการ (white paper) หรือ แจ้งองค์กรเฉพาะราย

• ขึ้นอยู่กับองค์กรที่เกี่ยวข้องและลักษณะของช่องโหว่ที่ พบ NCSC จะพยายามนำช่องโหว่ไปสู่ ความสนใจขององค์กรที่เกี่ยวข้อง อย่างไรก็ตาม เจ้าของระบบไอที ที่เกี่ยวข้องยังคงรับผิดชอบต่อระบบนั้น

• เมื่อเป็นไปได้และจำเป็น NCSC จะให้คำแนะนำแก่องค์กรที่เกี่ยวข้อง เกี่ยวกับวิธีแก้ไขช่องโหว่

• NCSC จะปฏิบัติต่อรายงานเป็นความลับและจะไม่แบ่งปันข้อมูล ส่วนบุคคลของผู้รายงานหรือองค์กรผู้รับโดยไม่ได้รับความยินยอม เว้นแต่ เป็นไปตามหน้าที่ตามกฎหมาย

• เท่าที่เป็นไปได้ NCSC จะแจ้งผู้รายงานให้ทราบถึง ความคืบหน้าในการติดต่อกับองค์กรและการแก้ไข ช่องโหว่

• ในกรณีที่มีการรายงานต่อ NCSC NCSC จะพยายามให้ ผู้รายงานหรือผู้ที่อาจเป็นผู้รายงานและองค์กรติดต่อกัน

หากผู้รายงานพบช่องโหว่ในผลิตภัณฑ์ซอฟต์แวร์ หรือ ช่องโหว่ที่ส่งผลกระทบต่อหลายระบบที่แตกต่างกัน ตัวอย่างเช่น ผู้ รายงานสามารถขอให้ NCSC ประสานงานการแก้ไขและการเปิดเผย ช่องโหว่

ร่วมกับผู้รายงาน พันธมิตร นักพัฒนา และ/หรือนักพัฒนาซอฟต์แวร์ และทีมรักษาความปลอดภัยอื่น ๆ NCSC จะช่วยวิเคราะห์ แก้ไข หรือ ให้มีการแก้ไข ประสานงาน และเปิดเผยช่องโหว่อย่างควบคุมได้ กระบวนการทั้งหมดนี้เกิดขึ้นโดยปรึกษาหารืออย่างใกล้ชิดกับผู้รายงาน ที่พบช่องโหว่

นโยบาย CVD พยายามสร้างสมดุลระหว่างความสำคัญของการเปิดเผย ช่องโหว่ให้เร็วที่สุด เพื่อให้สามารถดำเนินมาตรการได้ กับ ความสำคัญที่นักพัฒนาและผู้จัดหามีเวลาเพียงพอในการแก้ไข ช่องโหว่ สำหรับกระบวนการนี้ NCSC ใช้ระยะเวลามาตรฐาน 60 วัน ระหว่างการรายงานและการเปิดเผยต่อสาธารณะ อย่างไรก็ตาม อาจมี สถานการณ์ที่อาจตัดสินใจขยายหรือย่นช่วงเวลานี้

NCSC จะแบ่งปันข้อมูลเกี่ยวกับช่องโหว่กับบุคคลที่สามก็ต่อเมื่อปรึกษากับผู้รายงานแล้วเท่านั้น สิ่งสำคัญใน บริบทนี้คือ NCSC ให้ความร่วมมือและแบ่งปันข้อมูลเกี่ยวกับ ช่องโหว่กับผู้มีส่วนได้ส่วนเสียเพื่อเปิดเผยช่องโหว่แบบ ประสานงาน ในการทำเช่นนี้ NCSC จะดูแลให้ฝ่ายที่เหมาะสมสามารถ ทำงานแก้ไขช่องโหว่ ช่วยจำกัดการสูญเสียหรือความเสียหาย และช่วย ดึงความสนใจมาที่ช่องโหว่ที่พบ

5. การสื่อสารและกระบวนการเปิดเผย

การปฏิบัติมาห้าปีแสดงให้เห็นว่าการสื่อสารที่ชัดเจนคือรากฐานของ กระบวนการ CVD ที่ประสบความสำเร็จ มีประเด็นที่ต้องให้ความสนใจก่อน ระหว่าง และหลัง กระบวนการ CVD

การสื่อสารเกี่ยวกับกระบวนการเปิดเผย

การเผยแพร่นโยบาย CVD เป็นก้าวแรกในการสื่อสารเกี่ยวกับกระบวนการ การ เผยแพร่นโยบายต่อสาธารณะเป็นการเชิญชวนให้ผู้รายงานแจ้ง องค์กรเกี่ยวกับช่องโหว่ที่พบ

ด้านหนึ่ง องค์กรสามารถกำหนดเงื่อนไขสำหรับการวิจัย ที่ทำเพื่อค้นหาช่องโหว่และวิธีติดต่อ อีกด้านหนึ่ง องค์กรสามารถผูกพันตนต่อหลักการที่ว่าจะไม่ ยื่นเรื่องร้องเรียนต่อตำรวจ หากมีการเคารพกฎของนโยบาย แนวทาง นี้ปกป้องสถานะของผู้รายงาน

นโยบาย CVD อาจมีการเปลี่ยนแปลงหรืออัปเดตในภายหลัง สิ่งสำคัญคือต้อง ชัดเจนเกี่ยวกับการเปลี่ยนแปลงในเรื่องนี้ ผู้รายงานมีผลประโยชน์ใน การทราบว่ามีอะไรเปลี่ยนไปและเมื่อใด ตัวอย่างเช่น สามารถทำให้การเปลี่ยนแปลงชัดเจนได้ โดยระบุวันที่เผยแพร่ไว้ที่จุดเริ่มต้นของนโยบาย CVD โดยอธิบายสรุปการเปลี่ยนแปลงไว้ใต้นโยบาย CVD หรือโดยเก็บ คลังเอกสารที่มีนโยบาย CVD เวอร์ชันเก่า

นโยบาย CVD สามารถให้แนวทางเกี่ยวกับวิธีสื่อสารในระหว่างกระบวนการ เช่น ระบุการอัปเดตเป็นประจำทางอีเมลหรือเว็บพอร์ทัล นอกจากนี้ นโยบาย CVD สามารถอธิบายวิธีที่ผู้รายงานจะได้รับการยกย่อง โดยระบุชื่อ ในการอัปเดต การรับเข้าหอเกียรติยศ (hall of fame) หรือรางวัลรูปแบบอื่นใด

การสื่อสารระหว่างกระบวนการเปิดเผย

ผู้รายงานเริ่มกระบวนการ CVD โดยส่งข้อความถึง องค์กร ในข้อความนี้ ผู้รายงานให้คำอธิบายที่ชัดเจนเกี่ยวกับ ช่องโหว่ที่ค้นพบ องค์ประกอบสำคัญคือที่อยู่ IP หรือ URL ของ ระบบที่ได้รับผลกระทบและขั้นตอนที่จำเป็นในการจำลองช่องโหว่ซ้ำ

องค์กรควรสื่อสารกับผู้รายงานอย่างชัดเจน เพื่อให้ความคาดหวังเกี่ยวกับกระบวนการชัดเจน

องค์กรสามารถทำได้ตั้งแต่ส่งการตอบรับว่าได้รับรายงาน (อัตโนมัติหรือ อย่างอื่น) ซึ่งมีการระบุช่วงเวลาที่จะส่งการตอบกลับเชิงเนื้อหาครั้งแรกหรือ ครั้งต่อไป

นอกจากนี้ยังสามารถเว้นช่วงเวลานี้ไว้ก่อนและให้ข้อบ่งชี้เบื้องต้น ของช่วงเวลาหลังจากประเมินเนื้อหาของรายงานแล้ว ควรชัดเจน โดยเร็วที่สุดเกี่ยวกับช่วงเวลาที่จะสามารถหาทางแก้ไขได้ ด้วยวิธีนี้ ผู้รายงานจะรู้ว่าควรคาดหวังผลเมื่อใด

ในบางกรณีอาจเป็นไปได้ที่ผู้รายงานทราบวันที่เผยแพร่อยู่แล้ว เช่น เพราะมีการนำเสนอในงานประชุม หรือ เพราะผู้รายงานกำหนดกรอบเวลาของตนเอง ในกรณีนี้ ก็ยัง สำคัญที่ผู้รายงานสื่อสารกรอบเวลานี้อย่างชัดเจน ระบุ ให้เร็วที่สุดเท่าที่เป็นไปได้ และชัดเจนเกี่ยวกับความเป็นไปได้/เป็นไปไม่ได้ของการ เลื่อนวันที่นี้

ผู้รายงานมักเป็นบุคคลภายนอกองค์กรที่ไม่มี ความเข้าใจเกี่ยวกับกระบวนการภายในที่รายงานอาจกระตุ้นให้เกิดขึ้น องค์กรสามารถแจ้งความคืบหน้าของกระบวนการให้ผู้รายงานทราบ ผ่านการอัปเดตเป็นประจำ แนวทางนี้ทำให้ผู้ รายงานเห็นชัดเจนว่ากำลังมีการดำเนินการแก้ไข เมื่อจำเป็น องค์กรสามารถ ขอคำชี้แจงหรือทดสอบวิธีแก้ไขระหว่างกระบวนการ

หากองค์กรไม่สามารถปฏิบัติตามกำหนดเวลาแก้ไขเริ่มแรกได้ ก็สามารถ หารือกับผู้รายงานเพื่อเลื่อนออกไปได้ การสื่อสารเป็นประจำสามารถทำให้ สถานการณ์นี้ชัดเจนแก่ผู้รายงานในระยะที่เร็วขึ้น

เจตนาหลักของ CVD คือการลดความเสี่ยงของช่องโหว่ แต่ "full disclosure" ช่องโหว่ยังเป็นทางเลือกเสมอสำหรับผู้รายงานหากเขา รู้สึกว่ากระบวนการจะใช้เวลานานเกินไป มาตรการนี้เป็น "ไม้ใหญ่" (big stick) ตามสำนวนที่ผู้รายงานมีไว้ใช้ แน่นอนว่าต้อง ป้องกันสถานการณ์นี้ให้มากที่สุดเท่าที่จะทำได้

การสื่อสารหลังกระบวนการเปิดเผย

มีเหตุผลที่เป็นไปได้มากมายว่าทำไมผู้รายงานอาจค้นหาช่องโหว่ แล้วรายงานให้องค์กรผ่านกระบวนการ CVD สำหรับ ผู้รายงานจำนวนมาก แรงจูงใจที่สำคัญคือการได้รับการยอมรับ (ต่อสาธารณะ)

ผู้รายงานได้รับการยอมรับต่อสาธารณะผ่านคำขอบคุณในการอัปเดตหรือการรับเข้าหอเกียรติยศ (hall of fame) อย่างไรก็ตาม ความต้องการการยอมรับต่อสาธารณะไม่ได้ เป็นจริงกับผู้รายงานทุกคน บางคนไม่ต้องการให้ สาธารณชนรู้จักเลยด้วยซ้ำ ในกรณีที่องค์กรสื่อสาร จึงควร ขอความยินยอมจากผู้รายงานในการระบุชื่อ

นอกจากนี้ ผู้รายงานยังอาจตัดสินใจสื่อสารเกี่ยวกับรายงาน หลังจากกระบวนการ CVD เสร็จสิ้น เช่น ผู้รายงานสามารถ อธิบายกระบวนการค้นพบหรือเตือนผู้อื่นเกี่ยวกับช่องโหว่ ผู้ รายงานอาจตัดสินใจส่งสิ่งที่จะเผยแพร่ให้องค์กรเพื่อ ทราบ เนื่องจากกระบวนการ CVD โดยหลักการเสร็จสิ้นหลังจาก ช่องโหว่ถูกกำจัดแล้ว ผู้รายงานจึงมีอิสระที่จะ สื่อสารเกี่ยวกับเรื่องนั้นต่อไป เว้นแต่มีการตกลงเพิ่มเติมในนโยบายหรือ ระหว่างกระบวนการ

รายการ

การสื่อสารเกี่ยวกับกระบวนการเปิดเผย

• การเผยแพร่นโยบาย CVD บนเว็บไซต์

• ชัดเจนเกี่ยวกับข้อจำกัด (ดูบทที่ 6 สำหรับแนวทางต่าง ๆ)

• ข้อจำกัดในวิธีการสืบสวน

• แนวทางเกี่ยวกับการสื่อสาร

• แนวทางเกี่ยวกับรางวัลที่เป็นไปได้: หอเกียรติยศ (Hall of fame) รางวัลทางการเงิน เสื้อยืด เป็นต้น

• ชัดเจนเกี่ยวกับการอัปเดตนโยบาย CVD ใด ๆ รวมถึงวันที่เปลี่ยนแปลง

การสื่อสารระหว่างกระบวนการเปิดเผย

• ผู้รายงานติดต่อองค์กรเกี่ยวกับช่องโหว่ที่ค้นพบ

• องค์กรจัดการความคาดหวัง เช่น เวลาตอบสนองสำหรับการตอบกลับ ทางเทคนิคครั้งแรก

• องค์กรและผู้รายงานให้ความชัดเจนซึ่งกันและกันเกี่ยวกับช่วงเวลาแก้ไข ที่คาดไว้

• องค์กรให้การอัปเดต (กระบวนการ) บ่อยครั้ง

• เมื่อจำเป็น ผู้รายงานและองค์กรหารือเรื่องการติดต่อองค์กรอื่นที่ เกี่ยวข้อง

การสื่อสารหลังกระบวนการเปิดเผย

• หารือเรื่องการยอมรับ (ต่อสาธารณะ) และรางวัลสำหรับผู้รายงาน

• จัดการว่าจะเผยแพร่ข้อมูลเกี่ยวกับช่องโหว่อย่างไร เช่น ระยะการวิจัยหรือการแจ้งองค์กรอื่น

6. ตัวอย่างนโยบายการเปิดเผยช่องโหว่แบบประสานงาน

มีนโยบายการเปิดเผยช่องโหว่แบบประสานงานในรูปแบบข้อความที่แตกต่างกันมากมาย เนื่องจากนโยบาย CVD ที่เผยแพร่ทำหน้าที่เป็นป้ายบอกทางสำหรับผู้รายงานที่อาจมีขึ้น โปรดตรวจสอบให้แน่ใจว่ารูปแบบของนโยบายนี้สอดคล้องกับ นโยบายและกลยุทธ์ขององค์กร

องค์ประกอบต่อไปนี้สำคัญในนโยบาย CVD:

• วิธีติดต่อสำหรับการสื่อสารที่ปลอดภัย

• เงื่อนไขเบื้องต้นสำหรับผู้รายงาน

• ความคาดหวังที่ชัดเจนในการจัดการรายงาน

• วิธีการให้รางวัลสำหรับรายงาน

• หมายเลขเวอร์ชันและวันที่แก้ไขล่าสุด

ด้านล่างมีสามตัวอย่าง: หลายองค์กรในเนเธอร์แลนด์ได้นำตัวอย่างพื้นฐาน ของ ResponsibleDisclosure.nl ไปใช้ องค์กรอื่นเพิ่ม เงื่อนไขเบื้องต้นเพิ่มเติม ดูนโยบายของ Fox IT องค์กรอื่นอีก ใช้รูปแบบที่ยืดหยุ่นกว่าเพื่อให้สอดคล้องกับกลุ่มเป้าหมายของตน ดูนโยบายของ Bits of Freedom

ตัวอย่าง: ResponsibleDisclosure.nl

ข้อความนี้เขียนโดย Floor Terra และเผยแพร่ภายใต้สัญญาอนุญาต Creative Commons Attribution 3.0 Unported

ที่ Acme Corporation เราถือว่าความปลอดภัยของระบบของเราเป็นสิ่งสำคัญอันดับต้น แต่ไม่ว่าเราจะทุ่มเทความพยายามกับความปลอดภัยของระบบมากเพียงใด ก็ยังอาจ มีช่องโหว่อยู่ได้

หากคุณค้นพบช่องโหว่ เราอยากทราบเพื่อที่จะได้ดำเนิน การแก้ไขโดยเร็วที่สุด

เราขอให้คุณช่วยเราปกป้องลูกค้าและระบบของเราให้ดียิ่งขึ้น

โปรดทำดังนี้:

• ส่งอีเมลผลการค้นพบของคุณไปที่ cert@example.com เข้ารหัสผลการค้นพบของคุณด้วยกุญแจ PGP ของเรา เพื่อป้องกันไม่ให้ข้อมูลสำคัญนี้ตกไปอยู่ในมือที่ไม่ถูกต้อง

• อย่าใช้ประโยชน์จากช่องโหว่หรือปัญหาที่คุณค้นพบ เช่น ดาวน์โหลดข้อมูลมากกว่าที่จำเป็นเพื่อแสดงให้เห็น ช่องโหว่ หรือลบหรือแก้ไขข้อมูลของผู้อื่น

• อย่าเปิดเผยปัญหาให้ผู้อื่นทราบจนกว่าจะแก้ไขเรียบร้อยแล้ว

• อย่าใช้การโจมตีต่อความปลอดภัยทางกายภาพ วิศวกรรมสังคม การโจมตีแบบ ปฏิเสธการให้บริการแบบกระจาย (DDoS) สแปม หรือแอปพลิเคชันของบุคคลที่สาม และ

• โปรดให้ข้อมูลที่เพียงพอเพื่อจำลองปัญหาซ้ำได้ เราจะได้ แก้ไขได้เร็วที่สุด โดยปกติ ที่อยู่ IP หรือ URL ของ ระบบที่ได้รับผลกระทบและคำอธิบายช่องโหว่ก็เพียงพอแล้ว แต่ช่องโหว่ที่ซับซ้อนอาจต้องมีคำอธิบายเพิ่มเติม

สิ่งที่เราสัญญา:

• เราจะตอบรายงานของคุณภายใน 3 วันทำการ พร้อมการประเมิน รายงานและวันที่คาดว่าจะแก้ไขเสร็จ

• หากคุณปฏิบัติตามคำแนะนำข้างต้น เราจะไม่ดำเนินการทางกฎหมายใด ๆ ต่อคุณเกี่ยวกับรายงานนั้น

• เราจะจัดการรายงานของคุณด้วยการรักษาความลับอย่างเข้มงวด และจะไม่ส่งต่อ รายละเอียดส่วนตัวของคุณให้บุคคลที่สามโดยไม่ได้รับอนุญาตจากคุณ

• เราจะแจ้งความคืบหน้าในการแก้ไขปัญหาให้คุณทราบ

• ในข้อมูลสาธารณะเกี่ยวกับปัญหาที่รายงาน เราจะระบุ ชื่อคุณเป็นผู้ค้นพบปัญหา (เว้นแต่คุณต้องการเป็นอย่างอื่น) และ

• เพื่อแสดงความขอบคุณสำหรับความช่วยเหลือของคุณ เรามอบรางวัลสำหรับทุก รายงานปัญหาความปลอดภัยที่เรายังไม่ทราบมาก่อน จำนวน เงินรางวัลจะกำหนดตามความรุนแรงของการรั่วไหลและคุณภาพของ รายงาน รางวัลขั้นต่ำคือบัตรของขวัญมูลค่า 50 ยูโร

เรามุ่งมั่นแก้ไขปัญหาทั้งหมดให้เร็วที่สุด และเราต้องการ มีบทบาทเชิงรุกในการเผยแพร่เรื่องปัญหาในขั้นสุดท้ายหลังจากแก้ไข เสร็จแล้ว

ตัวอย่าง: Fox-IT

ที่ Fox-IT เราถือว่าความปลอดภัยของระบบ เครือข่าย และผลิตภัณฑ์ของเรา เป็นสิ่งสำคัญที่สุด แม้เราจะใส่ใจอย่างยิ่งในเรื่องความปลอดภัย จุดอ่อนก็ยังคงหลงเหลืออยู่ได้ หากคุณพบจุดอ่อนเช่นนั้น เรา อยากทราบโดยเร็วที่สุดเพื่อที่เราจะได้ดำเนินมาตรการที่เหมาะสม โดยเร็วที่สุด

จุดอ่อนสามารถถูกค้นพบได้สองวิธี: คุณอาจบังเอิญพบ บางสิ่งระหว่างการใช้งานสภาพแวดล้อมดิจิทัลตามปกติ หรือคุณอาจตั้งใจ พยายามอย่างเต็มที่เพื่อค้นหา

นโยบายการเปิดเผยอย่างรับผิดชอบของเราไม่ใช่คำเชิญให้สแกนเครือข่ายธุรกิจของเรา อย่างเชิงรุกเพื่อค้นหาจุดอ่อน เราเฝ้าติดตามเครือข่ายธุรกิจของเรา ด้วยตนเอง ซึ่งหมายความว่ามีโอกาสสูงที่การสแกนจะถูกตรวจพบ และศูนย์ปฏิบัติการด้านความปลอดภัย (Security Operation Center, SOC) ของเราจะทำการสอบสวน ซึ่งอาจก่อให้เกิดค่าใช้จ่ายโดยไม่จำเป็น อย่างไรก็ตาม คุณได้รับเชิญให้ ค้นหาช่องโหว่ในผลิตภัณฑ์ของเราอย่างเชิงรุกในสภาพแวดล้อมออฟไลน์ที่ไม่ใช่ สภาพแวดล้อมการผลิต และรายงานสิ่งที่คุณพบให้เรา ความรับผิดชอบของเราต่อ ลูกค้าหมายความว่าเจตนาของเราไม่ใช่การส่งเสริมความพยายามแฮ็ก โครงสร้างพื้นฐานของพวกเขา อย่างไรก็ตาม เราอยากได้ยินจากคุณโดยเร็วที่สุด หากพบช่องโหว่ เพื่อที่เราจะได้แก้ไขได้อย่างเหมาะสม

เราต้องการทำงานร่วมกับคุณเพื่อให้สามารถปกป้องลูกค้าและ ระบบของเราได้ดียิ่งขึ้น

เราขอให้คุณ:

• ส่งอีเมลผลการค้นพบของคุณโดยเร็วที่สุดไปที่ security-alert@fox-it.com

• อย่าใช้ช่องโหว่ในทางที่ผิด เช่น การดาวน์โหลด แก้ไข หรือ ลบข้อมูล เราจะพิจารณารายงานของคุณอย่างจริงจังเสมอ และสอบสวนข้อสงสัยใด ๆ เกี่ยวกับช่องโหว่ แม้จะไม่มีหลักฐาน

• อย่าแบ่งปันปัญหากับผู้อื่นจนกว่าจะได้รับการแก้ไข

• อย่าใช้การโจมตีต่อความปลอดภัยทางกายภาพ วิศวกรรมสังคม หรือ เครื่องมือแฮ็ก เช่น เครื่องมือสแกนช่องโหว่

• ให้ข้อมูลที่เพียงพอเพื่อให้จำลองปัญหาซ้ำได้ เราจะได้ แก้ไขโดยเร็วที่สุด โดยปกติ ที่อยู่ IP หรือ URL ของ ระบบที่ได้รับผลกระทบและคำอธิบายช่องโหว่ก็เพียงพอ แม้ว่า อาจจำเป็นต้องมีข้อมูลเพิ่มเติมสำหรับช่องโหว่ที่ซับซ้อนกว่า

สิ่งที่เราสัญญา:

• เราจะตอบรายงานของคุณภายในสามวันทำการ พร้อมการประเมิน รายงานและวันที่คาดว่าจะแก้ไขเสร็จ

• เราจะจัดการรายงานของคุณเป็นความลับ และจะไม่แบ่งปันข้อมูลส่วนตัวของคุณ กับบุคคลที่สามโดยไม่ได้รับอนุญาตจากคุณ ยกเว้น ตำรวจและฝ่ายตุลาการในกรณีที่มีการดำเนินคดีหรือมีการเรียกร้องข้อมูล

• เราจะแจ้งความคืบหน้าของการแก้ปัญหาให้คุณทราบ

• ในการสื่อสารเกี่ยวกับปัญหาที่รายงาน เราจะระบุชื่อคุณเป็น ผู้ค้นพบปัญหา หากคุณต้องการ

• น่าเสียดายที่ไม่สามารถรับประกันล่วงหน้าได้ว่าจะไม่มีการดำเนินการทางกฎหมาย ต่อคุณ เราหวังว่าจะสามารถพิจารณาแต่ละสถานการณ์ เป็นรายกรณี เราถือว่าตนเองมีพันธะทางศีลธรรมที่ต้องรายงานคุณ หาก เราสงสัยว่าจุดอ่อนหรือข้อมูลถูกนำไปใช้ในทางที่ผิด หรือคุณได้แบ่งปัน ความรู้เกี่ยวกับจุดอ่อนนั้นกับผู้อื่น คุณมั่นใจได้ว่าการค้นพบโดยบังเอิญ ในสภาพแวดล้อมออนไลน์ของเราจะไม่นำไปสู่การดำเนินคดี

• เพื่อแสดงความขอบคุณสำหรับความช่วยเหลือของคุณ เรามอบรางวัลสำหรับทุกรายงานปัญหา ความปลอดภัยที่เราไม่ทราบมาก่อน เรากำหนดมูลค่าของรางวัลจาก ความร้ายแรงของการละเมิดและคุณภาพของรายงาน

เรามุ่งมั่นแก้ไขปัญหาทั้งหมดให้เร็วที่สุด แจ้งข่าวสารแก่ทุกฝ่ายที่เกี่ยวข้อง และเราต้องการมีส่วนร่วมในการเผยแพร่ใด ๆ เกี่ยวกับ ปัญหาเมื่อได้รับการแก้ไขแล้ว

ตัวอย่าง: Bits of Freedom

การพึ่งพาโครงสร้างพื้นฐานดิจิทัลของเรากำลังเพิ่มขึ้นเรื่อย ๆ สิ่งนี้เป็นจริงสำหรับ สังคมโดยรวม แต่ก็เป็นจริงสำหรับตัวเราเองด้วย ดังนั้นเราเห็นว่า รัฐบาลและองค์กรต่าง ๆ (รวมถึงองค์กรของเรา) ควรมุ่งมั่นอย่างจริงจังในการ รักษาความปลอดภัยของโครงสร้างพื้นฐานดิจิทัลของเรา เราตระหนักดีว่า แม้จะมี เจตนาที่ดีที่สุดและความระมัดระวังสูงสุด ระบบของเราก็อาจมีช่องโหว่อยู่ หาก คุณบังเอิญพบจุดอ่อนเหล่านี้จุดใดจุดหนึ่ง เรายินดีที่จะได้ยินจากคุณเพื่อที่เราจะได้ แก้ไขปัญหา

สิ่งที่เราคาดหวังจากคุณ

• เมื่อคุณสืบสวนระบบใดระบบหนึ่งของเรา โปรดคำนึงถึง ความได้สัดส่วนของการโจมตี ไม่จำเป็นต้องแสดงให้เห็นว่าเมื่อคุณ โจมตีเว็บไซต์ของเราด้วยการโจมตีแบบ DDoS ที่ใหญ่ที่สุดในประวัติศาสตร์อินเทอร์เน็ต เว็บไซต์อาจเข้าถึงไม่ได้ เรารู้เรื่องนั้นอยู่แล้ว เรายังเข้าใจด้วยว่าหาก คุณขับรถปราบดินเข้าไปในสำนักงานของเรา คุณก็น่าจะคว้าแล็ปท็อปของเรา ไปได้เครื่องหนึ่ง

• หลักการความได้สัดส่วนนี้ยังเกี่ยวข้องเมื่อแสดง ช่องโหว่นั้นเองด้วย คุณไม่ควรตรวจสอบหรือแก้ไขข้อมูลมากกว่าที่จำเป็นอย่างยิ่ง เพื่อยืนยันความถูกต้องของสิ่งที่คุณค้นพบ ตัวอย่างเช่น หาก คุณแก้ไขหน้าแรกของเราได้ เพียงแค่เพิ่มคำที่ไม่เป็นที่ถกเถียงหนึ่งคำลงไป แทนที่จะยึดหน้านั้นทั้งหน้า หากคุณเข้าถึง ฐานข้อมูลได้ เพียงแสดงรายการตารางที่อยู่ในนั้นให้เราดู หรืออาจเป็น เรคคอร์ดแรกของตารางใดตารางหนึ่งก็เพียงพอ

• ควรรายงานช่องโหว่ในระบบใดระบบหนึ่งของเราโดยเร็วที่สุด โดยส่งอีเมลไปที่ security@bof.nl และควรเข้ารหัส ข้อความของคุณด้วย OpenPGP โปรดให้ข้อมูลที่เพียงพอเพื่อให้เราสามารถจำลองปัญหาซ้ำ และตรวจสอบได้

• กุญแจสาธารณะ OpenPGP สำหรับ security@bof.nl

• คุณจะไม่แบ่งปันความรู้เกี่ยวกับช่องโหว่กับฝ่ายอื่นตราบใดที่ เรายังไม่ได้จัดการกับปัญหา และเรายังอยู่ในกรอบเวลาที่สมเหตุสมผล นับจากที่คุณรายงานปัญหา

• คุณจะลบข้อมูลลับทั้งหมดที่คุณได้มาระหว่าง การสืบสวนทันทีที่เราแก้ไขช่องโหว่แล้ว

สิ่งที่คุณคาดหวังได้จากเรา

• เราจะตอบรายงานของคุณภายในสามวันอย่างละเอียด เราจะแนบการประเมินเวลาที่เราต้องใช้ในการ แก้ไขปัญหา แน่นอนว่าเราจะแจ้งความคืบหน้าให้คุณทราบเป็นประจำ

• เราจะแก้ไขช่องโหว่โดยเร็วที่สุด ในที่นี้ ความได้สัดส่วนก็สำคัญเช่นกัน: เวลาที่ต้องใช้ในการแก้ไข ช่องโหว่ขึ้นอยู่กับหลายปัจจัย รวมถึงความรุนแรงและ ความซับซ้อนของปัญหาที่อยู่ตรงหน้า

• เมื่อคุณปฏิบัติตามแนวทางที่วางไว้ที่นี่ เราจะไม่ดำเนินการทางกฎหมาย ต่อคุณเกี่ยวกับรายงานของคุณ

• เราให้ความสำคัญกับการให้เครดิตแก่คุณสำหรับสิ่งที่คุณทำ - หากคุณต้องการ เรา จะระบุชื่อคุณในสิ่งพิมพ์เกี่ยวกับช่องโหว่ก็ต่อเมื่อคุณยินยอมเท่านั้น

• เพื่อเป็นการขอบคุณที่ช่วยให้เราปกป้องระบบของเราได้ดียิ่งขึ้น เราต้องการ มอบรางวัลให้ทุกรายงานช่องโหว่ที่เราไม่ทราบมาก่อนในขณะนั้น รางวัลจะขึ้นอยู่กับความรุนแรงของช่องโหว่และคุณภาพของ รายงาน

• หากคุณพบช่องโหว่ในซอฟต์แวร์ของบุคคลที่สามที่เราใช้ และ ช่องโหว่นั้นอยู่ภายใต้โครงการ bug bounty เราจะไม่พยายามเรียกร้อง รางวัลนั้น คุณควรเป็นผู้เรียกร้อง