NCSC.nl

1. تعارف

معاشرہ بڑھتے ہوئے ڈیجیٹل ہوتا جا رہا ہے۔ آج کل تقریباً تمام عملوں میں کسی نہ کسی موقع پر کمپیوٹرز کا استعمال شامل ہوتا ہے، موبائل فونز سے لے کر مخصوص سافٹ ویئر تک۔ اگرچہ یہ پیش رفت بہت سے نئے مواقع پیدا کرتی ہے، IT سسٹمز میں کمزوریاں بڑا اثر ڈال سکتی ہیں۔ نتیجتاً ان کمزوریوں کے بارے میں علم کو مؤثر طریقے سے سنبھالا جانا چاہیے۔

2013 کے آغاز میں کئی اداروں نے کمزوریوں کی اطلاع دینے کے طریقے پر پالیسی شائع کرنا شروع کی۔ ان فریقوں سے مشاورت کے بعد قومی سائبر سیکیورٹی مرکز (National Cyber Security Centre, NCSC) نے ان پیش رفتوں کا خلاصہ ‘ذمہ دارانہ افشا کے طریقے تک پہنچنے کے رہنما اصول’ (ڈچ میں: ‘Leidraad om te komen tot een praktijk van Responsible Disclosure’؛ ‘رہنما اصول’) کی شکل میں کیا۔ کمپنیاں اس پالیسی کے ذریعے ظاہر کرتی ہیں کہ وہ بیرونی کمزوری کی رپورٹیں وصول کرنے کے لیے کھلی ہیں، اپنی پیشگی شرائط بیان کرتی ہیں اور وعدے کرتی ہیں۔ اس عمل نے رپورٹ کرنے والے فریقوں کے لیے وضاحت اور کسی حد تک محفوظ ماحول پیدا کیا تاکہ وہ براہ راست جرم کا ارتکاب کیے بغیر کمزوریوں کی تحقیق اور اطلاع دے سکیں۔ 2016 میں سائبر سیکیورٹی پر یورپی یونین کے اعلیٰ سطحی اجلاس میں 29 اداروں نے CIO Platform Netherlands اور Rabobank کی طرف سے NCSC کے تعاون سے شروع کیے گئے مربوط کمزوری افشا کے منشور (Coordinated Vulnerability Disclosure Manifesto)1 پر دستخط کر کے کمزوریوں سے نمٹنے کی پالیسی کی اہمیت کی دوبارہ توثیق کی۔

مربوط کمزوری افشا (CVD) عوامی اور نجی فریقوں کے لیے بڑی اہمیت کا حامل ثابت ہوا ہے۔ وہ روزمرہ عمل میں معلوماتی نظاموں کے بلا تعطل کام کرنے پر بہت زیادہ انحصار کرتے ہیں۔ ان کے سسٹمز میں کمزوریوں کی رپورٹوں نے حالیہ برسوں میں سسٹمز کی سیکیورٹی اور تسلسل کو بہتر بنانے میں مدد کی ہے، ایک طرف کمزوریوں کو دور کر کے اور دوسری طرف ڈچ کمپنیوں کی IT سیکیورٹی کے بارے میں عمومی آگاہی میں حصہ ڈال کر۔

حالیہ برسوں میں یہ واضح ہو گیا ہے کہ رپورٹ کرنے والے فریق اداروں کی تیار کردہ CVD پالیسی کی شرائط کے اندر کام کرنے کے لیے تیار ہیں۔ رپورٹیں رپورٹ کرنے والے فریقوں کی طرف سے اداروں کو براہ راست یا بالواسطہ کی جاتی ہیں۔ ذمہ دارانہ افشا کے طریقے نے دکھایا ہے کہ نیک نیت رپورٹ کرنے والے فریق اور کمزور ادارے تعاون کرنے میں کامیاب رہے ہیں اور یوں نیٹ ورک اور معلوماتی نظاموں کی سیکیورٹی بڑھانے میں اگلا قدم اٹھایا ہے۔

اس نظرثانی کے لیے ہم نے ایک بار پھر رپورٹ کرنے والے فریقوں، نجی اور عوامی فریقوں، نیز پبلک پراسیکیوشن سروس اور قومی پولیس کے ایک وسیع اور متنوع گروہ سے بات کی۔ ان گفتگوؤں نے موجودہ طریقے کی تصدیق کی اور اضافوں اور بہتریوں کا سبب بنیں۔ سب سے اہم نیا نکتہ توجہ کمزوری کی اطلاع دینے والے اور ادارے کے درمیان، نیز کمزوری دور ہونے کے بعد دیگر فریقوں کے ساتھ بات چیت ہے۔

اگلے ابواب CVD کی تعریف، CVD پالیسی کے بنیادی اجزا اور بات چیت کے عمل پر بحث کرتے ہیں۔

ضمنی بات: پچھلے رہنما اصولوں میں ‘ذمہ دارانہ افشا’ (responsible disclosure) کی اصطلاح استعمال ہوئی تھی، جو اس وقت اس طریقے کی عام اصطلاح تھی۔ اس دوران یہ واضح ہو گیا ہے کہ یہ اصطلاح رپورٹ کرنے والے فریق کی ذمہ داری پر حد سے زیادہ زور دیتی ہے، جبکہ بنیادی اصول یہ ہے کہ رپورٹ کرنے والا فریق اور ممکنہ طور پر کمزور ادارہ مکالمے میں برابر کے شریک ہونے چاہییں۔ یہ جذبہ موجودہ عام طور پر استعمال ہونے والی اصطلاح ‘مربوط کمزوری افشا’ (Coordinated Vulnerability Disclosure, CVD) میں بہتر طور پر سمویا گیا ہے، جو اس عمل سے متعلق ISO 29147 اور 30111 معیارات میں استعمال ہونے والا نام بھی ہے۔

2. مربوط کمزوری

پچھلے 30 برسوں میں IT سسٹمز میں کمزوریوں کے بارے میں آگاہی بڑھانے کے لیے مختلف طریقے استعمال کیے گئے ہیں۔ مثالوں میں شامل ہیں:

• ‘مکمل افشا’ (Full Disclosure)، کمزوری کو مکمل طور پر عوامی کرنا؛

• ‘عدم افشا’ (Non-disclosure)، کمزوری کو بیچنا یا خود استعمال کرنا؛

• ‘مربوط کمزوری افشا’ (CVD)، کمزوری کا مربوط افشا۔

مؤخر الذکر طریقے کو صراحتاً ترجیح دی جاتی ہے۔

IT برادری نے علم اور تجربہ شیئر کرنے کی بڑی آمادگی دکھائی ہے۔ اس لیے اس برادری کے ساتھ تعاون کی کوشش سسٹمز کی مجموعی سیکیورٹی کو بہتر بنانے میں مدد دے سکتی ہے۔

مربوط کمزوری افشا کا مقصد

CVD کا مقصد کمزوریوں کے بارے میں علم شیئر کر کے IT سسٹمز کی سیکیورٹی میں حصہ ڈالنا ہے۔ CVD میں علم ایک یا زیادہ ممکنہ طور پر کمزور اداروں کے ساتھ شیئر کیا جاتا ہے تاکہ رپورٹ کرنے والے فریق کے تعاون سے پائی جانے والی کمزوری کے مشترکہ حل تک پہنچا جا سکے۔ یہ اہم ہے کہ متاثرہ اداروں کے پاس کسی بھی کمزوری کو دور کرنے یا سسٹمز کی حفاظت کرنے کے لیے کافی وقت ہو تاکہ نقصان یا ضرر کو حتی الامکان محدود یا روکا جا سکے۔ عمل کا سنگ بنیاد اصلاح کے بعد کمزوریوں کے بارے میں علم کا افشا ہے۔

CVD میں یہ لازمی ہے کہ تمام فریق کمزوری کی اطلاع دینے اور اس سے نمٹنے کے طریقے کے بارے میں معاہدوں کی پابندی کریں۔ اس سے مدد ملتی ہے اگر کوئی ادارہ پیشگی شرائط شائع کرے، جیسے کون سے سسٹمز دائرہ کار میں ہیں اور کس قسم کی تحقیق کی جا سکتی ہے۔ ان پیشگی شرائط کے لیے ایک اہم اصول یہ ہے کہ اگر تفتیش اور رپورٹنگ مقرر کردہ شرائط کے اندر کی جائے تو ادارہ اصولی طور پر رپورٹ کرنے والے فریق کے خلاف رپورٹ نہیں کرے گا یا دیگر قانونی اقدامات نہیں کرے گا۔ یہ رہنما اصول اداروں کو CVD کے اصولوں کو مجسم کرنے والی اپنی پالیسی تیار کرنے میں رہنمائی فراہم کرتے ہیں۔

جیسا کہ نام سے ظاہر ہے، CVD میں مرکزی بات یہ ہے کہ ادارہ اور رپورٹ کرنے والا فریق ایک دوسرے سے ہم آہنگی کریں۔ اس سلسلے میں کمزوری کی اطلاع دینے والے شخص اور ادارے کے اندر مسئلہ حل کرنے کے ذمہ دار شخص کے درمیان کڑیاں حتی الامکان کم ہونی چاہییں۔

اگر کمزوری بہت سے سسٹمز کو متاثر کرتی ہے تو ایک ہی وقت میں کئی فریقوں کو مطلع کرنا اہم ہو سکتا ہے۔ اس صورت میں NCSC یا سیکیورٹی برادری کے دیگر فریق ہم آہنگی کے کردار سے CVD کے عمل کی معاونت کر سکتے ہیں۔

3. ذمہ داری کے شعبے

CVD پالیسی پر عمل کا مقصد یہ ہے کہ رپورٹ کرنے والے فریق اور ادارہ مل کر IT سسٹمز میں کمزوریاں کم کرنے کے لیے کام کریں۔ اس پالیسی کے نفاذ کو معلومات کی سیکیورٹی سے متعلق موجودہ اقدامات کے تکملے کے طور پر دیکھا جانا چاہیے۔ مختلف کرداروں کا ہر ایک کا اپنا کردار اور ذمہ داریاں ہیں۔ ان کی وضاحت ذیل میں مزید تفصیل سے کی گئی ہے۔

وہ ادارہ جو کسی سسٹم کا مالک/منتظم ہے

وہ ادارہ جو کسی سسٹم کا مالک/منتظم ہے یا اسے فراہم کرتا ہے، اس سسٹم کی سیکیورٹی کے لیے بنیادی طور پر ذمہ دار ہے۔ دوسرے لفظوں میں ادارہ کمزوری کی رپورٹ پر کارروائی کے لیے بھی ذمہ دار ہے۔

ادارہ ان رہنما اصولوں کا استعمال کرتے ہوئے اپنی CVD پالیسی تیار کرنے اور اس پالیسی کو ممکنہ رپورٹ کرنے والے فریقوں تک پہنچانے کا انتخاب کر سکتا ہے۔ CVD پالیسی شائع کر کے ادارے کمزوریوں کے بارے میں معلومات وصول کرنے کی اپنی آمادگی ظاہر کرتے ہیں۔

CVD پالیسی قائم کرنے والا فریق اس اصول کا عہد کر سکتا ہے کہ اگر پالیسی پر لاگو ہونے والے قواعد کا احترام کیا جائے تو وہ پولیس میں شکایت درج نہیں کرائے گا۔

جب رپورٹ کرنے والا فریق کمزوری کی اطلاع دے دیتا ہے تو ذمہ داری ادارے پر ہوتی ہے۔ یہ سمجھنا اہم ہے کہ رپورٹ کرنے والا فریق اکثر ادارے سے باہر کا کوئی شخص ہوتا ہے۔ اس فریق کو ان اندرونی عملوں کا براہ راست علم نہیں ہوتا جو کمزوری کی اطلاع کے بعد شروع ہو سکتے ہیں۔ نتیجتاً رپورٹ کرنے والے فریق کمزوری کے حل میں پیش رفت سے باخبر رکھے جانے کی قدر کریں گے۔ یہ مسلسل رابطہ حل کی پیروی اور بروقت ہونے کے بارے میں درست توقعات قائم کرنے کے لیے بھی اہم ہے۔

وہ فریق جو کمزوری کی اطلاع دیتا ہے

کسی نہ کسی طرح رپورٹ کرنے والا فریق ایک کمزوری کی شناخت کرنے میں کامیاب ہوا ہے اور اس کمزوری کو دور کروا کر اور ممکنہ طور پر بعد کے مرحلے میں عام کروا کر IT سسٹمز کی سیکیورٹی میں حصہ ڈالنا چاہتا ہے۔ رپورٹ کرنے والے فریق نے غیر فعال مشاہدے کے ذریعے یا IT سسٹم کی فعال جانچ کے ذریعے کچھ دریافت کیا ہو سکتا ہے۔ بلاشبہ یہ فریق اپنے اعمال اور کمزوری کو دریافت کرنے کے طریقے کے لیے ذمہ دار ہے۔ ادارے نے اپنی CVD پالیسی میں جو شرائط مقرر کی ہیں ان سے باخبر ہونا رپورٹ کرنے والے فریق کی اپنی ذمہ داری ہے۔ زیادہ تر حکومتوں اور کمپنیوں نے اپنی CVD پالیسیاں اپنی ویب سائٹس پر شائع کی ہیں۔

اس کے باوجود کمزوریاں تلاش کرنے میں قانون توڑنا شامل ہو سکتا ہے۔ CVD کے تناظر میں ادارہ اور رپورٹ کرنے والا فریق اتفاق کر سکتے ہیں کہ کسی بھی مجرمانہ عمل پر رپورٹ نہیں کی جائے گی۔ اس سلسلے میں ادارے کی شائع کردہ CVD پالیسی رہنما اصول ہے۔ فریق یہ بھی اتفاق کر سکتے ہیں کہ کوئی دیوانی کارروائی نہیں کی جائے گی۔

اگر شبہ ہو کہ رپورٹ کرنے والے فریق نے قانون توڑا ہے تو CVD پالیسی سب سے پہلے رپورٹ کرنے والے کو حکام کے پاس رپورٹ کیے جانے سے روکنے میں مدد دے سکتی ہے۔ یہ طریقہ کار مکمل طور پر پالیسی کی ان پیشگی شرائط پر منحصر ہے جن کی تعمیل کا ادارہ رپورٹ کرنے والے فریق سے تقاضا کرتا ہے اور اس پر کہ آیا یہ تعمیل حاصل ہوئی ہے، ممکنہ طور پر اس متعلقہ وعدے کے ساتھ کہ جب تک فریق پالیسی کی شرائط کے اندر کام کرے گا فوجداری شکایت درج نہیں کی جائے گی۔ اگر پولیس رپورٹ کی جاتی ہے تو ہالینڈ میں CVD پالیسی کا وجود اور اس کی تعمیل ایک متعلقہ صورتحال ہے، جسے پبلک پراسیکیوٹر فوجداری تفتیش شروع کرنے اور/یا مقدمہ چلانے کا فیصلہ کرتے وقت مدنظر رکھے گا۔ اصولی طور پر پولیس اور پبلک پراسیکیوشن سروس (OM) فوجداری تفتیش شروع نہیں کریں گے اگر رپورٹ کرنے والے فریق نے متعلقہ ادارے کی CVD پالیسی کے قواعد کی واضح طور پر تعمیل کی ہو۔ تاہم پبلک پراسیکیوشن سروس اور پولیس معاملے کی مزید تفتیش کر سکتی ہیں اگر ایسے اشارے ہوں کہ رپورٹ کرنے والا فریق دانستہ یا نادانستہ طور پر اپنے اعمال میں حد سے آگے بڑھ گیا ہے اور/یا CVD پالیسی کی تعمیل میں ناکام رہا ہے۔ اس تفتیش کی بنیاد پر پبلک پراسیکیوشن سروس فیصلہ کر سکتی ہے کہ مقدمہ چلایا جائے یا نہیں۔

پبلک پراسیکیوشن سروس نے ایک پالیسی خط شائع کیا ہے جس میں وہ ان پہلوؤں سے زیادہ تفصیل سے نمٹتی ہے جو تفتیش اور/یا مقدمہ چلانے کے فیصلے تک پہنچنے میں اہم ہیں۔ مثال کے طور پر، آیا رپورٹ کرنے والے فریق کے اعمال نے کسی اہم عوامی مفاد کی خدمت کی، آیا فریق نے غیر متناسب طور پر عمل کیا، اور آیا فریق شاید کسی دوسرے، کم شدید طریقے سے عمل کر سکتا تھا۔ متعلقہ پالیسی خط ان پہلوؤں کی مزید وضاحت کرتا ہے۔2 2013 سے متعلقہ عدالتی نظائر3 ظاہر کرتی ہیں کہ ان پہلوؤں کو عدالت میں بھی مدنظر رکھا جاتا ہے اگر کسی ادارے کے پاس CVD پالیسی نہ ہو۔

4. مربوط کمزوری افشا کے عمل کے بنیادی اجزا

ادارے، رپورٹ کرنے والے اور NCSC کے لیے CVD عمل کو تشکیل دینے کے بنیادی اجزا ذیل میں دیے گئے ہیں۔

ادارہ

CVD کا فروغ ایسے ادارے سے شروع ہوتا ہے جو IT سسٹمز کا مالک ہو یا IT پروڈکٹ/سسٹم فراہم کرتا ہو۔ آخر کار یہی ادارہ ان IT سسٹمز کی معلومات کی سیکیورٹی کے لیے بنیادی طور پر ذمہ دار ہے۔ کمزوریاں حل کرنے کے لیے مختلف فریقوں کے ساتھ مؤثر طریقے سے کام کرنے کی خاطر ادارہ CVD پالیسی تیار اور شائع کرنے کا فیصلہ کر سکتا ہے۔ اپنی CVD پالیسی تیار کرنا ادارے کو یہ دکھانے کا موقع دیتا ہے کہ وہ کمزوریوں کی رپورٹوں سے کیسے نمٹتا ہے۔ اس طرح ادارہ اس طریقے کو بھی شکل دے سکتا ہے جس سے وہ اطلاعات وصول کرنا چاہتا ہے۔ ایسا عمل اس طرح منظم کیا جا سکتا ہے:

• ادارہ CVD پالیسی قائم اور شائع کرتا ہے۔

• اس پالیسی میں ادارہ اس تحقیق کے لیے واضح قواعد دیتا ہے جو رپورٹ کرنے والے فریق کر سکتے ہیں، جیسے کون سی تکنیکیں جائز ہیں اور کون سے سسٹمز دائرہ کار کے اندر یا باہر ہیں۔

• ادارہ رپورٹ کرنے والے فریق کے لیے رپورٹ کرنا آسان بناتا ہے۔ ایک آپشن معیاری رپورٹنگ طریقے کا استعمال ہے؛ مثلاً کوئی مخصوص ای میل ایڈریس یا آن لائن فارم۔ اس کے علاوہ ادارہ فیصلہ کر سکتا ہے کہ گمنام رپورٹیں قبول کی جائیں یا نہیں۔

• ادارہ اندرونی صلاحیت مختص کرتا ہے اور رپورٹوں کا مناسب جواب دینے کے لیے ایک عمل قائم کرتا ہے۔ ایسا عمل قائم کرنا مناسب ہے جس سے پائی جانے والی کسی بھی کمزوری کو مناسب طریقے سے دور کیا جا سکے۔ اس سلسلے میں رپورٹ کا ماخذ غیر متعلقہ ہے۔ کمزوری کی شناخت مثلاً کسی اندرونی ملازم یا کسی ٹیسٹ کے دوران بھی ہوئی ہو سکتی ہے۔

• عملی تجربہ ظاہر کرتا ہے کہ CVD پالیسی کی ابتدائی اشاعت کے بعد ادارے کو کمزوریوں کی اطلاع دینے میں زیادہ دلچسپی ہوگی۔ ادارے کو (اضافی) صلاحیت کی منصوبہ بندی کرتے وقت اسے مدنظر رکھنا چاہیے۔

• جب ادارے کو کمزوری کی رپورٹ ملتی ہے تو وہ یقینی بناتا ہے کہ رپورٹ جلد از جلد اس شعبے تک پہنچے جو اس کا جائزہ لینے اور اس سے نمٹنے کے لیے سب سے موزوں ہے۔

• ادارہ رپورٹ کرنے والے فریق کو رپورٹ کی وصولی کی تصدیق بھیجتا ہے، ترجیحاً ڈیجیٹل طور پر دستخط شدہ تاکہ ترجیح پر زور دیا جائے۔

• اس کے بعد ادارہ رپورٹ کرنے والے فریق سے مشاورت میں جائے گا تاکہ وہ مدت طے کی جائے جس کے اندر کوئی بھی اشاعت ہوگی۔ یہ مدت کمزوری کی نوعیت اور سسٹم کی قسم پر بہت زیادہ منحصر ہوگی۔

• رہنما اصول کے طور پر سافٹ ویئر کمزوریوں کے لیے اکثر تقریباً 60 دن کی مدت استعمال کی جاتی ہے۔ ہارڈ ویئر میں کمزوریاں دور کرنا حاصل کرنا زیادہ مشکل ہے؛ 6 ماہ کا رہنما اصول استعمال کیا جا سکتا ہے۔

• باہمی رضامندی سے اس مدت کو بڑھانا یا کم کرنا مطلوب ہو سکتا ہے، اس پر منحصر کہ کتنے زیادہ یا کم IT سسٹمز اس سسٹم پر انحصار کرتے ہیں جس کے لیے کمزوری رپورٹ کی گئی یا کمزوری حل کرنا آسان ہے یا مشکل۔

• کمزوری حل کرنا مشکل یا ناممکن ثابت ہو سکتا ہے، یا اسے حل کرنے میں زیادہ لاگت شامل ہو سکتی ہے۔ ایسے معاملات میں ادارہ، ممکنہ طور پر رپورٹ کرنے والے فریق سے مشاورت میں، کمزوری کو قبول شدہ خطرہ سمجھنے اور اسے دور نہ کرنے پر اتفاق کر سکتا ہے۔

• ادارہ رپورٹ کرنے والے فریق کو عمل کی پیش رفت سے باخبر رکھے گا۔

• اس کے علاوہ ادارہ پیشکش کر سکتا ہے کہ کمزوری شائع کرنے پر رپورٹ کرنے والے فریق کو عوامی طور پر تسلیم کیا جائے۔ بیرونی دنیا کے سامنے مشترکہ افشا کا انتخاب کرنا بھی ممکن ہے۔

• بہتر ہے کہ سسٹمز میں کمزوریوں کی اطلاع دینے پر رپورٹ کرنے والے فریق کو انعام دیا جائے اگر فریق نے CVD پالیسی کے قواعد کی تعمیل کی ہو۔ انعام کی رقم رپورٹ کے معیار پر منحصر ہو سکتی ہے۔ رپورٹ کرنے والے فریق کو انعام دینا اس فریق اور ادارے کے درمیان بہتر تعلق پیدا کر سکتا ہے، نیز CVD پالیسی کے مطابق نئی رپورٹیں کرنے کے لیے لوگوں کی آمادگی بڑھا سکتا ہے۔

• رپورٹ کرنے والے فریق سے مشاورت میں ادارہ وسیع تر IT برادری کو کمزوری کے بارے میں مطلع کرنے پر اتفاق کر سکتا ہے اگر یہ قرین قیاس ہو کہ کمزوری دوسری جگہوں پر بھی موجود ہے۔

• اپنی CVD پالیسی میں ادارہ اس اصول کا عہد کر سکتا ہے کہ اگر رپورٹ کرنے والے فریق نے پالیسی میں بیان کردہ قواعد کی تعمیل کی ہو تو وہ پولیس میں شکایت درج نہیں کرائے گا۔

رپورٹ کرنے والا فریق

رپورٹ کرنے والا فریق کامیاب CVD عمل کی کنجی ہے۔ کسی نہ کسی طرح یہ فریق ایک کمزوری کی شناخت کرنے میں کامیاب ہوا ہے، اور اس کمزوری کو کسی ادارے سے دور کروا کر اور عام کروا کر IT سسٹمز کی سیکیورٹی میں حصہ ڈالنا چاہتا ہے۔ ایسا کرتے ہوئے رپورٹ کرنے والے فریق تسلیم کرتے ہیں کہ وہ کمزوریوں کو مربوط انداز میں ظاہر کر کے معاشرے میں اہم حصہ ڈال سکتے ہیں۔ کامیاب CVD عمل کے حصول کے لیے رپورٹ کرنے والے فریق کے لیے درج ذیل بنیادی اجزا اہم ہیں:

• رپورٹ کرنے والا فریق اپنے اعمال کا خود ذمہ دار ہے اور کمزوریوں کی تحقیق اور اطلاع دیتے وقت اسے تناسب اور ثانوی حیثیت (subsidiarity) دونوں اصولوں کی پابندی کرنی چاہیے۔ دوسرے لفظوں میں رپورٹ کرنے والے فریق کو کمزوری ثابت کرنے کے لیے ضروری سے زیادہ کچھ نہیں کرنا چاہیے اور ہمیشہ سب سے پہلے سسٹم/معلومات کے مالک کو کمزوری کی اطلاع دینی چاہیے۔

• رپورٹ کرنے والے فریق کو مسئلے کی جلد از جلد اطلاع دینی چاہیے تاکہ بدنیت فریقوں کو کمزوری دریافت کرنے اور اس کا فائدہ اٹھانے سے روکا جا سکے۔

• رپورٹ کرنے والے فریق کو ادارے کو رپورٹ خفیہ طریقے سے دینی چاہیے تاکہ دوسروں کو اس معلومات تک رسائی سے روکا جا سکے۔

• رپورٹ کرنے والا فریق رپورٹ جمع کرانے یا مزید معلومات کی فراہمی کو انعام پر منحصر نہیں کر سکتا۔ رپورٹ کی صورت میں انعام دینے کی پہل وصول کنندہ ادارے کے ہاتھ میں ہے، جو اپنی شائع کردہ پالیسی میں پیشگی شرائط بیان کر سکتا ہے۔

• رپورٹ کرنے والا فریق اور ادارہ کمزوری کے افشا کے بارے میں واضح معاہدے کرتے ہیں۔ اگر ایک سے زیادہ ادارے شامل ہوں تو بنیادی اصول یہ ہے کہ کمزوریاں صرف اسی صورت شائع کی جا سکتی ہیں جب تمام ادارے اس بات سے اتفاق کریں۔ یہ معاہدے ابتدائی مرحلے میں کرنا مناسب ہے۔

• رپورٹ کرنے والا فریق اور متعلقہ ادارہ وسیع تر IT برادری کو مطلع کرنے کے بارے میں معاہدے کر سکتے ہیں۔ مثال کے طور پر یہ صورت اس کمزوری پر لاگو ہو سکتی ہے (چاہے پہلے سے معلوم ہو یا نہ ہو) جس کے بارے میں معلوم ہو کہ وہ ایک سے زیادہ جگہوں پر موجود ہے۔ قومی سائبر سیکیورٹی مرکز (NCSC) کو اس عمل میں مرکزی حکومت اور اہم بنیادی ڈھانچے کے ہدفی گروہوں کی معاونت کے لیے یا ایسی کمزوری کی صورت میں جو بہت سے سسٹمز کو متاثر کرتی ہو کئی فریقوں کو مطلع کرنے کے لیے شامل کیا جا سکتا ہے۔

NCSC

CVD کا عمل بنیادی طور پر اداروں اور رپورٹ کرنے والے فریقوں کا معاملہ ہے۔ اس کے باوجود NCSC CVD کے عمل کے استعمال کی حوصلہ افزائی کرے گا۔ رپورٹ کرنے والے فریق اور ادارے سے مشاورت میں NCSC کو بھی کمزوری سے پیدا ہونے والے مزید سیکیورٹی خطرات کو محدود کرنے کے لیے اپنی برادری (constituency) کے ساتھ کمزوری کے بارے میں معلومات شیئر کرنے میں شامل کیا جا سکتا ہے۔

اگر کمزوری کی اطلاع اس طرح نہیں چلتی جیسا رپورٹ کرنے والا فریق توقع کرتا ہے، یا اگر وہ کمزوری کی اطلاع براہ راست ادارے کو نہ دینا پسند کرے، تو وہ NCSC سے رابطہ کر سکتا ہے۔4 اس صورت میں NCSC ضرورت پڑنے پر ثالث کے طور پر کام کر سکتا ہے۔

IT سسٹم کا مالک ہر وقت سسٹم کی سیکیورٹی کا ذمہ دار ہے۔ NCSC نہ سسٹم کے مالک کو کمزوری دور کرنے پر مجبور کر سکتا ہے، نہ یہ ضمانت دے سکتا ہے کہ مالک رپورٹ کرنے والے فریق کے خلاف قانونی کارروائی نہیں کرے گا۔ نتیجتاً رپورٹ کرنے والے فریق کو کمزوری تلاش کرتے اور اس کی اطلاع دیتے وقت اداروں اور رپورٹ کرنے والے فریقوں کے لیے مذکورہ بالا بنیادی اجزا کو مدنظر رکھنا چاہیے۔ رپورٹ کرنے والا فریق توقع کر سکتا ہے کہ NCSC کمزوری دور کروانے کے لیے اپنی پوری کوشش کرے گا اور رپورٹ کو خفیہ طور پر برتے گا۔ NCSC کوئی ذاتی ڈیٹا شیئر نہیں کرتا جب تک قانونی طور پر ایسا کرنا لازم نہ ہو۔

اگر ممکن ہو تو NCSC اداروں اور رپورٹ کرنے والے فریقوں کے مشورے سے کمزوریوں کے بارے میں حاصل کردہ معلومات IT برادری کے ساتھ علم کو مزید شیئر کرنے کے لیے استعمال کرے گا۔ مثال کے طور پر وہ ایسا معلومات کا کچھ حصہ شائع کر کے، فیکٹ شیٹ یا وائٹ پیپر لکھ کر یا اپ ڈیٹ کر کے، یا مخصوص اداروں کو مطلع کر کے کر سکتا ہے۔

• متعلقہ ادارے اور قائم شدہ کمزوری کی نوعیت پر منحصر NCSC کمزوری کو متعلقہ ادارے کے علم میں لانے کی کوشش کرے گا۔ تاہم زیر بحث IT سسٹم کا مالک سسٹم کا ذمہ دار رہتا ہے۔

• جہاں ممکن اور ضروری ہو NCSC متعلقہ ادارے کو کمزوری دور کرنے کے طریقے کے بارے میں مشورہ دے گا۔

• NCSC رپورٹوں کو خفیہ طور پر برتے گا اور رپورٹ کرنے والے فریقوں یا وصول کنندہ ادارے کا ذاتی ڈیٹا رضامندی کے بغیر شیئر نہیں کرے گا، جب تک کہ یہ قانونی ذمہ داری سے نہ نکلتا ہو۔

• جہاں بھی ممکن ہو NCSC رپورٹ کرنے والے فریق کو ادارے کے ساتھ رابطے اور کمزوری کے ازالے میں پیش رفت سے باخبر رکھے گا۔

• ان معاملات میں جہاں NCSC کو رپورٹ کی جاتی ہے NCSC رپورٹ کرنے والے فریق یا ممکنہ رپورٹ کرنے والے فریق اور ادارے کو ایک دوسرے سے رابطے میں لانے کی کوشش کرے گا۔

اگر رپورٹ کرنے والے فریق کو مثلاً کسی سافٹ ویئر پروڈکٹ میں کمزوری ملی ہو یا ایسی کمزوری جو بہت سے مختلف سسٹمز کو متاثر کرتی ہو تو رپورٹ کرنے والا فریق NCSC سے کمزوری کے ازالے اور افشا کو مربوط کرنے کی درخواست کر سکتا ہے۔

رپورٹ کرنے والے فریق، شراکت داروں، ڈیولپرز اور/یا سافٹ ویئر ڈیولپرز اور دیگر سیکیورٹی ٹیموں کے ساتھ مل کر NCSC کمزوری کا تجزیہ کرنے، اسے دور کرنے یا دور کروانے، مربوط کرنے اور کنٹرول شدہ طریقے سے ظاہر کرنے میں مدد کرے گا۔ یہ سارا عمل اس رپورٹ کرنے والے فریق سے قریبی مشاورت میں ہوتا ہے جسے کمزوری ملی۔

CVD پالیسی کمزوریوں کو جلد از جلد ظاہر کرنے کی اہمیت، تاکہ اقدامات کیے جا سکیں، اور اس بات کی اہمیت کے درمیان توازن قائم کرنے کی کوشش کرتی ہے کہ ڈیولپرز اور سپلائرز کے پاس کمزوری دور کرنے کے لیے کافی وقت ہو۔ اس عمل کے لیے NCSC رپورٹ اور عوامی افشا کے درمیان 60 دن کی معیاری مدت استعمال کرتا ہے۔ تاہم ایسے حالات ہو سکتے ہیں جن میں اس مدت کو بڑھانے یا کم کرنے کا فیصلہ کیا جا سکتا ہے۔

NCSC صرف رپورٹ کرنے والے فریق سے مشاورت کے بعد ہی کمزوری کے بارے میں معلومات تیسرے فریقوں کے ساتھ شیئر کرے گا۔ اس تناظر میں یہ لازمی ہے کہ NCSC تعاون کرے اور اس لیے کمزوری کو مربوط طریقے سے ظاہر کرنے کے لیے اسٹیک ہولڈرز کے ساتھ کمزوری کے بارے میں معلومات شیئر کرے۔ ایسا کرتے ہوئے NCSC یقینی بنائے گا کہ درست فریق کمزوری دور کرنے پر کام کر سکیں، کسی بھی نقصان یا ضرر کو محدود کرنے میں مدد دے اور پائی جانے والی کمزوری کی طرف توجہ دلانے میں مدد دے۔

5. رابطہ اور افشا کا عمل

پانچ سال کے عملی تجربے نے دکھایا ہے کہ واضح رابطہ کامیاب CVD عمل کا سنگ بنیاد ہے۔ CVD عمل سے پہلے، اس کے دوران اور بعد میں توجہ طلب نکات ہیں۔

افشا کے عمل کے بارے میں رابطہ

CVD پالیسی شائع کرنا عمل کے بارے میں رابطے کا پہلا قدم ہے۔ پالیسی کو عوامی طور پر شائع کر کے رپورٹ کرنے والے فریقوں کو دعوت دی جاتی ہے کہ وہ ادارے کو پائی جانے والی کسی بھی کمزوری سے مطلع کریں۔

ایک طرف ادارہ کمزوریاں دریافت کرنے کے لیے کی جانے والی تحقیق کے لیے اور رابطہ کرنے کے طریقے کے لیے شرائط تیار کر سکتا ہے۔ دوسری طرف ادارہ اس اصول کا عہد کر سکتا ہے کہ اگر پالیسی کے قواعد کا احترام کیا جائے تو وہ پولیس میں شکایت درج نہیں کرائے گا۔ یہ طریقہ رپورٹ کرنے والے فریق کی پوزیشن کا تحفظ کرتا ہے۔

CVD پالیسی بعد کی کسی تاریخ کو تبدیل یا اپ ڈیٹ کی جا سکتی ہے۔ اس سلسلے میں تبدیلیوں کے بارے میں واضح رہنا اہم ہے۔ رپورٹ کرنے والے فریقوں کی دلچسپی ہے کہ جانیں کیا بدلا گیا اور کب۔ مثلاً تبدیلیوں کی وضاحت CVD پالیسی کے آغاز میں اشاعت کی تاریخ شامل کر کے، CVD پالیسی کے نیچے تبدیلیوں کا خلاصہ بیان کر کے، یا CVD پالیسی کے پرانے ورژنز کا آرکائیو رکھ کر کی جا سکتی ہے۔

CVD پالیسی عمل کے دوران رابطے کے طریقے کے بارے میں رہنمائی دے سکتی ہے، جیسے ای میل یا ویب پورٹل کے ذریعے باقاعدہ اپ ڈیٹس کی نشاندہی کر کے۔ اس کے علاوہ CVD پالیسی بیان کر سکتی ہے کہ رپورٹ کرنے والے کو کیسے تسلیم کیا جا سکتا ہے، کسی اپ ڈیٹ میں اس کا ذکر کر کے، ہال آف فیم (hall of fame) میں داخلے سے یا انعام کی کسی دوسری شکل سے۔

افشا کے عمل کے دوران رابطہ

رپورٹ کرنے والا فریق ادارے کو پیغام بھیج کر CVD عمل شروع کرتا ہے۔ اس پیغام میں رپورٹ کرنے والا فریق دریافت شدہ کمزوری کی واضح وضاحت دیتا ہے۔ اہم عناصر متاثرہ سسٹم کا IP ایڈریس یا URL اور کمزوری کو دہرانے کے لیے ضروری مراحل ہیں۔

ادارے کے لیے یہ اہم ہے کہ وہ رپورٹ کرنے والے فریق سے واضح طور پر بات چیت کرے تاکہ عمل کے بارے میں توقعات واضح ہوں۔

وہ ایسا پہلے ہی وصولی کی تصدیق (خودکار یا بصورت دیگر) بھیج کر کر سکتا ہے جس میں اس مدت کا اشارہ ہو جس کے اندر ابتدائی یا بعد کا بنیادی جواب بھیجا جائے گا۔

اس مدت کو کھلا چھوڑنا اور رپورٹ کے مواد کا جائزہ لینے کے بعد مدت کا ابتدائی اشارہ دینا بھی ممکن ہے۔ جلد از جلد اس مدت کے بارے میں واضح رہنا مناسب ہے جس کے اندر حل حاصل کیا جا سکتا ہے۔ اس طرح رپورٹ کرنے والے کو معلوم ہو جاتا ہے کہ نتیجے کی توقع کب کی جا سکتی ہے۔

بعض معاملات میں ممکن ہے کہ اشاعت کی تاریخ رپورٹ کرنے والے فریق کے لیے پہلے سے واضح ہو؛ مثلاً کسی کانفرنس میں پیشکش کی وجہ سے یا اس لیے کہ رپورٹ کرنے والے فریق نے اپنی مدت مقرر کر رکھی ہے۔ اس صورت میں بھی یہ اہم ہے کہ رپورٹ کرنے والا فریق اس ٹائم لائن کو واضح طور پر بتائے، جلد از جلد بیان کرے اور اس تاریخ کو ملتوی کرنے کے امکان/ناممکن ہونے کے بارے میں واضح رہے۔

رپورٹ کرنے والا فریق اکثر ادارے سے باہر کا کوئی شخص ہوتا ہے، جسے ان اندرونی عملوں کی کوئی بصیرت نہیں ہوتی جو رپورٹ سے شروع ہو سکتے ہیں۔ ادارے باقاعدہ اپ ڈیٹس کے ذریعے رپورٹ کرنے والے فریق کو عمل کی پیش رفت سے باخبر رکھ سکتے ہیں۔ یہ طریقہ رپورٹ کرنے والے فریق پر واضح کرتا ہے کہ حل پر کام ہو رہا ہے۔ جہاں ضروری ہو ادارہ عمل کے دوران وضاحت طلب کر سکتا ہے یا کسی حل کو ٹیسٹ کرنے کی درخواست کر سکتا ہے۔

اگر کوئی ادارہ ابتدائی حل کی آخری تاریخ پوری نہ کر سکے تو اسے ملتوی کرنے کے لیے رپورٹ کرنے والے سے بات کی جا سکتی ہے۔ باقاعدہ رابطہ یہ صورتحال رپورٹ کرنے والے پر پہلے مرحلے میں واضح کر سکتا ہے۔

CVD کا بنیادی ارادہ کمزوری کو کم کرنا ہے، لیکن کمزوری کا ‘مکمل افشا’ رپورٹ کرنے والے فریق کے لیے ہمیشہ ایک آپشن ہے اگر وہ محسوس کرے کہ عمل میں بہت زیادہ وقت لگے گا۔ یہ اقدام رپورٹ کرنے والے فریق کے ہاتھ میں ضرب المثل ‘بڑی لاٹھی’ ہے۔ فطری طور پر اس صورتحال کو حتی الامکان روکا جانا چاہیے۔

افشا کے عمل کے بعد رابطہ

بہت سی ممکنہ وجوہات ہیں کہ رپورٹ کرنے والا فریق کمزوریاں کیوں تلاش کرتا ہے اور پھر CVD عمل کے ذریعے اداروں کو ان کی اطلاع کیوں دیتا ہے۔ رپورٹ کرنے والے فریقوں کی بڑی تعداد کے لیے ایک اہم ترغیب (عوامی) پذیرائی ہے۔

رپورٹ کرنے والے فریقوں کو اپ ڈیٹ میں شکریے یا ہال آف فیم میں اندراج کے ذریعے عوامی پذیرائی ملتی ہے۔ تاہم عوامی پذیرائی کی ضرورت تمام رپورٹ کرنے والے فریقوں پر لاگو نہیں ہوتی؛ حقیقت میں کچھ عوام میں معروف نہیں ہونا چاہتے۔ اس لیے ادارے کی طرف سے رابطے کی صورت میں رپورٹ کرنے والے فریق کا نام لینے کے لیے اس کی رضامندی حاصل کرنا مناسب ہے۔

اس کے علاوہ رپورٹ کرنے والے فریق CVD عمل مکمل ہونے کے بعد رپورٹ کے بارے میں بات کرنے کا فیصلہ بھی کر سکتے ہیں۔ مثلاً رپورٹ کرنے والا فریق دریافت کے عمل کی وضاحت کر سکتا ہے یا دوسروں کو کمزوری کے بارے میں خبردار کر سکتا ہے۔ رپورٹ کرنے والا معلوماتی مقاصد کے لیے اشاعت کسی ادارے کو جمع کرانے کا فیصلہ کر سکتا ہے۔ چونکہ CVD کا عمل اصولی طور پر کمزوری کے خاتمے کے بعد مکمل ہو جاتا ہے، اس لیے رپورٹ کرنے والا فریق اس کے بعد اس کے بارے میں بات کرنے میں آزاد ہے، جب تک کہ پالیسی میں یا عمل کے دوران اضافی معاہدے نہ کیے گئے ہوں۔

فہرست

افشا کے عمل کے بارے میں رابطہ

• ویب سائٹ پر CVD پالیسی کی اشاعت

• پابندیوں کے بارے میں واضح رہیں (مختلف طریقوں کے لیے باب 6 دیکھیں)

• تفتیشی طریقوں میں پابندیاں

• رابطے کے بارے میں رہنما اصول

• ممکنہ انعامات کے بارے میں رہنما اصول: ہال آف فیم، مالی انعام، ٹی شرٹ وغیرہ

• CVD پالیسی کی کسی بھی اپ ڈیٹ کے بارے میں واضح رہیں، بشمول تبدیلیوں کی تاریخ

افشا کے عمل کے دوران رابطہ

• رپورٹ کرنے والا دریافت شدہ کمزوری کے بارے میں ادارے سے رابطہ کرتا ہے۔

• ادارہ توقعات کا انتظام کرتا ہے، جیسے پہلے تکنیکی جواب کا جوابی وقت

• ادارہ اور رپورٹ کرنے والا متوقع حل کی مدت کے بارے میں ایک دوسرے کو وضاحت دیتے ہیں

• ادارہ اکثر (عمل کی) اپ ڈیٹ فراہم کرتا ہے

• جہاں ضروری ہو رپورٹ کرنے والا اور ادارہ دیگر متعلقہ اداروں سے رابطہ کرنے پر بات کرتے ہیں

افشا کے عمل کے بعد رابطہ

• رپورٹ کرنے والے کی (عوامی) پذیرائی اور انعام پر بات کریں

• انتظام کریں کہ کمزوری کے بارے میں معلومات کیسے شائع کی جائیں گی، جیسے تحقیقی مرحلہ یا دوسرے اداروں کو مطلع کرنا

6. مربوط کمزوری افشا کی پالیسی کی مثالیں

مربوط کمزوری افشا پر پالیسی کی تحریروں کی بہت سی مختلف شکلیں ہیں۔ چونکہ شائع شدہ CVD پالیسی ممکنہ رپورٹ کرنے والے فریقوں کے لیے رہنما نشان کا کام کرتی ہے، اس بات کو یقینی بنائیں کہ اس پالیسی کی شکل ادارے کی پالیسی اور حکمت عملی کے مطابق ہو۔

CVD پالیسی میں درج ذیل عناصر اہم ہیں:

• محفوظ رابطے کے لیے رابطے کا طریقہ؛

• رپورٹ کرنے والے فریقوں کے لیے پیشگی شرائط؛

• رپورٹ سے نمٹنے کے لیے واضح توقعات؛

• رپورٹ کو انعام دینے کا طریقہ؛

• ورژن نمبر اور تازہ ترین نظرثانی کی تاریخ۔

ذیل میں تین مثالیں ہیں: ہالینڈ میں بہت سے اداروں نے ResponsibleDisclosure.nl کی بنیادی مثال سے استفادہ کیا ہے۔ دوسرے ادارے اضافی پیشگی شرائط شامل کرتے ہیں، Fox IT کی پالیسی دیکھیں۔ پھر بھی دوسرے ادارے اپنے ہدفی سامعین سے ہم آہنگ ہونے کے لیے زیادہ آزاد فارمیٹ اپناتے ہیں، Bits of Freedom کی پالیسی دیکھیں۔

Acme Corporation میں ہم اپنے سسٹمز کی سیکیورٹی کو اعلیٰ ترین ترجیح سمجھتے ہیں۔ لیکن سسٹم سیکیورٹی میں ہم جتنی بھی کوشش کریں، پھر بھی کمزوریاں موجود ہو سکتی ہیں۔

اگر آپ کوئی کمزوری دریافت کریں تو ہم اس کے بارے میں جاننا چاہتے ہیں تاکہ ہم اسے جلد از جلد حل کرنے کے اقدامات کر سکیں۔

ہم آپ سے درخواست کرتے ہیں کہ ہمارے کلائنٹس اور ہمارے سسٹمز کی بہتر حفاظت میں ہماری مدد کریں۔

براہ کرم درج ذیل کریں:

• اپنی دریافتیں cert@example.com پر ای میل کریں۔ اس اہم معلومات کو غلط ہاتھوں میں جانے سے روکنے کے لیے ہماری PGP کلید سے اپنی دریافتیں انکرپٹ کریں،

• آپ نے جو کمزوری یا مسئلہ دریافت کیا ہے اس کا فائدہ نہ اٹھائیں، مثلاً کمزوری ثابت کرنے کے لیے ضرورت سے زیادہ ڈیٹا ڈاؤن لوڈ کر کے یا دوسروں کا ڈیٹا حذف یا تبدیل کر کے،

• مسئلہ حل ہونے تک اسے دوسروں پر ظاہر نہ کریں،

• جسمانی سیکیورٹی پر حملے، سوشل انجینئرنگ، ڈسٹری بیوٹڈ ڈینائل آف سروس، اسپیم یا تیسرے فریق کی ایپلیکیشنز استعمال نہ کریں، اور

• مسئلے کو دہرانے کے لیے کافی معلومات فراہم کریں، تاکہ ہم اسے جلد از جلد حل کر سکیں۔ عموماً متاثرہ سسٹم کا IP ایڈریس یا URL اور کمزوری کی وضاحت کافی ہوگی، لیکن پیچیدہ کمزوریوں میں مزید وضاحت درکار ہو سکتی ہے۔

ہم جس کا وعدہ کرتے ہیں:

• ہم 3 کاروباری دنوں کے اندر رپورٹ کے اپنے جائزے اور متوقع حل کی تاریخ کے ساتھ آپ کی رپورٹ کا جواب دیں گے،

• اگر آپ نے مندرجہ بالا ہدایات پر عمل کیا ہے تو ہم رپورٹ کے سلسلے میں آپ کے خلاف کوئی قانونی کارروائی نہیں کریں گے،

• ہم آپ کی رپورٹ کو سخت رازداری کے ساتھ سنبھالیں گے، اور آپ کی اجازت کے بغیر آپ کی ذاتی تفصیلات تیسرے فریقوں کو نہیں دیں گے،

• ہم مسئلہ حل کرنے کی جانب پیش رفت سے آپ کو باخبر رکھیں گے،

• رپورٹ کیے گئے مسئلے سے متعلق عوامی معلومات میں ہم مسئلے کے دریافت کنندہ کے طور پر آپ کا نام دیں گے (جب تک آپ دوسری صورت نہ چاہیں)، اور

• آپ کی مدد کے لیے شکرگزاری کی علامت کے طور پر ہم ہر اس سیکیورٹی مسئلے کی رپورٹ پر انعام دیتے ہیں جو ہمیں ابھی تک معلوم نہ تھا۔ انعام کی رقم افشا کی شدت اور رپورٹ کے معیار کی بنیاد پر طے کی جائے گی۔ کم از کم انعام €50 کا گفٹ سرٹیفکیٹ ہوگا۔

ہم تمام مسائل کو جلد از جلد حل کرنے کی کوشش کرتے ہیں، اور ہم مسئلہ حل ہونے کے بعد اس کے بارے میں حتمی اشاعت میں فعال کردار ادا کرنا چاہیں گے۔

مثال: Fox-IT

Fox-IT میں ہم اپنے سسٹمز، اپنے نیٹ ورک اور اپنی مصنوعات کی سیکیورٹی کو انتہائی اہم سمجھتے ہیں۔ سیکیورٹی کے بارے میں ہماری بڑی احتیاط کے باوجود کمزور مقامات باقی رہ سکتے ہیں۔ اگر آپ کو ایسا کوئی کمزور مقام ملا ہے تو ہم اس کے بارے میں جلد از جلد سننا چاہیں گے تاکہ ہم جلد از جلد مناسب اقدامات کر سکیں۔

کمزور مقامات دو طریقوں سے دریافت ہو سکتے ہیں: آپ ڈیجیٹل ماحول کے عام استعمال کے دوران اتفاقاً کسی چیز سے ٹکرا سکتے ہیں، یا آپ انہیں تلاش کرنے کے لیے صراحتاً پوری کوشش کر سکتے ہیں۔

ہماری ذمہ دارانہ افشا کی پالیسی کمزور مقامات دریافت کرنے کے لیے ہمارے کاروباری نیٹ ورک کو فعال طور پر اسکین کرنے کی دعوت نہیں ہے۔ ہم اپنے کاروباری نیٹ ورک کی نگرانی خود کرتے ہیں۔ اس کا مطلب ہے کہ اسکین کے پکڑے جانے کا اور ہمارے سیکیورٹی آپریشن سینٹر (SOC) کی طرف سے تفتیش کیے جانے کا زیادہ امکان ہے، جس کے نتیجے میں غیر ضروری اخراجات ہو سکتے ہیں۔ تاہم آپ کو دعوت ہے کہ آف لائن غیر پیداواری ماحول میں ہماری مصنوعات میں کمزوریاں فعال طور پر تلاش کریں اور اپنی دریافتیں ہمیں رپورٹ کریں۔ ہمارے صارفین کے تئیں ہماری ذمہ داری کا مطلب ہے کہ ان کے بنیادی ڈھانچے پر ہیکنگ کی کوششوں کی حوصلہ افزائی ہمارا ارادہ نہیں؛ تاہم اگر کمزوریاں ملیں تو ہم آپ سے جلد از جلد سننا چاہیں گے تاکہ ہم انہیں مناسب طور پر حل کر سکیں۔

ہم آپ کے ساتھ کام کرنا چاہیں گے تاکہ اپنے صارفین اور اپنے سسٹمز کی بہتر حفاظت کر سکیں۔

ہم آپ سے درخواست کرتے ہیں کہ:

• اپنی دریافتیں جلد از جلد security-alert@fox-it.com پر ای میل کریں۔

• کمزوری کا غلط استعمال نہ کریں؛ مثلاً ڈیٹا ڈاؤن لوڈ، ایڈٹ یا حذف کر کے۔ ہم ہمیشہ آپ کی رپورٹ کو سنجیدگی سے لیں گے اور کمزوری کے کسی بھی شبہ کی تفتیش کریں گے، ثبوت کے بغیر بھی۔

• مسئلہ حل ہونے تک اسے دوسروں کے ساتھ شیئر نہ کریں۔

• جسمانی سیکیورٹی پر حملوں، سوشل انجینئرنگ یا ہیکنگ ٹولز، جیسے کمزوری اسکینرز، کا استعمال نہ کریں۔

• مسئلے کو دہرانے کے لیے مناسب معلومات دیں تاکہ ہم اسے جلد از جلد حل کر سکیں۔ عموماً متاثرہ سسٹم کا IP ایڈریس یا URL اور کمزوری کی وضاحت کافی ہوتی ہے، اگرچہ زیادہ پیچیدہ کمزوریوں کے لیے مزید معلومات کی ضرورت ہو سکتی ہے۔

ہم جس کا وعدہ کرتے ہیں:

• ہم تین کاروباری دنوں کے اندر رپورٹ کے اپنے جائزے اور متوقع حل کی تاریخ کے ساتھ آپ کی رپورٹ کا جواب دیں گے۔

• ہم آپ کی رپورٹ کو خفیہ طور پر سنبھالیں گے، اور آپ کی اجازت کے بغیر آپ کی ذاتی معلومات تیسرے فریقوں کے ساتھ شیئر نہیں کریں گے۔ اس کا استثنا استغاثے کی صورت میں یا معلومات طلب کیے جانے پر پولیس اور عدلیہ ہیں۔

• ہم مسئلے کے حل کی پیش رفت سے آپ کو باخبر رکھیں گے۔

• رپورٹ کیے گئے مسئلے کے بارے میں بات چیت میں، اگر آپ چاہیں تو ہم مسئلہ دریافت کرنے والے فریق کے طور پر آپ کا نام ذکر کریں گے۔

• افسوس کی بات ہے کہ پیشگی ضمانت دینا ممکن نہیں کہ آپ کے خلاف کوئی قانونی کارروائی نہیں کی جائے گی۔ ہم امید کرتے ہیں کہ ہر صورتحال پر انفرادی طور پر غور کر سکیں۔ اگر ہمیں شبہ ہو کہ کمزور مقام یا ڈیٹا کا غلط استعمال ہو رہا ہے، یا آپ نے کمزور مقام کا علم دوسروں کے ساتھ شیئر کیا ہے، تو ہم خود کو اخلاقاً پابند سمجھتے ہیں کہ آپ کی اطلاع دیں۔ آپ مطمئن رہ سکتے ہیں کہ ہمارے آن لائن ماحول میں کوئی اتفاقی دریافت استغاثے کا سبب نہیں بنے گی۔

• آپ کی مدد کے شکریے کے طور پر ہم ہر اس سیکیورٹی مسئلے کی رپورٹ پر انعام دیتے ہیں جو ہمیں معلوم نہیں۔ ہم انعام کی قدر خلاف ورزی کی شدت اور رپورٹ کے معیار کی بنیاد پر طے کرتے ہیں۔

ہم تمام مسائل کو جلد از جلد حل کرنے، تمام متعلقہ فریقوں کو باخبر رکھنے کی کوشش کرتے ہیں اور مسئلہ حل ہونے کے بعد اس کے بارے میں کسی بھی اشاعت میں شامل ہونا چاہیں گے۔

مثال: Bits of Freedom

ڈیجیٹل بنیادی ڈھانچے پر ہمارا انحصار مسلسل بڑھ رہا ہے۔ یہ پورے معاشرے پر لاگو ہوتا ہے، لیکن خود ہم پر بھی۔ اس لیے ہماری رائے ہے کہ حکومتوں اور اداروں (بشمول ہمارے) کو اپنے ڈیجیٹل بنیادی ڈھانچے کو محفوظ بنانے کے لیے مضبوطی سے پرعزم ہونا چاہیے۔ ہم جانتے ہیں کہ ہمارے بہترین ارادوں اور سب سے زیادہ احتیاط کے باوجود ہمارے سسٹمز میں کمزوریاں موجود ہو سکتی ہیں۔ اگر آپ کو ان کمزوریوں میں سے کوئی ملے تو ہم آپ سے سننا پسند کریں گے تاکہ ہم مسئلہ حل کر سکیں۔

ہم آپ سے کیا توقع کرتے ہیں

• جب آپ ہمارے کسی سسٹم کی تحقیق کر رہے ہوں تو حملے کے تناسب کو ذہن میں رکھیں۔ یہ ثابت کرنے کی ضرورت نہیں کہ جب آپ ہماری ویب سائٹ پر انٹرنیٹ کی تاریخ کا سب سے بڑا DDoS حملہ کریں تو سائٹ ناقابل رسائی ہو سکتی ہے۔ ہم یہ جانتے ہیں۔ ہم یہ بھی سمجھتے ہیں کہ اگر آپ بلڈوزر چلا کر ہمارے دفتر میں گھس جائیں تو شاید آپ ہمارا کوئی لیپ ٹاپ اچک سکیں گے۔

• تناسب کا یہ اصول کمزوری کو خود ثابت کرتے وقت بھی متعلقہ ہے۔ آپ کو اپنی دریافت کی درستی کی تصدیق کے لیے سختی سے ضروری مقدار سے زیادہ ڈیٹا کا معائنہ یا تبدیلی نہیں کرنی چاہیے۔ مثلاً اگر آپ ہمارا ہوم پیج تبدیل کر سکتے ہیں تو پورے صفحے پر قبضہ کرنے کے بجائے اس میں صرف ایک غیر متنازع لفظ شامل کریں۔ اگر آپ کسی ڈیٹا بیس تک رسائی حاصل کر سکتے ہیں تو ہمیں وہاں موجود ٹیبلز کی فہرست دکھانا کافی ہے، یا شاید ان ٹیبلز میں سے کسی ایک کا پہلا ریکارڈ۔

• ہمارے کسی سسٹم میں کمزوری کی اطلاع جلد از جلد security@bof.nl پر ای میل بھیج کر دی جانی چاہیے۔ بہتر ہے کہ آپ اپنا پیغام OpenPGP سے انکرپٹ کریں۔ براہ کرم کافی معلومات فراہم کریں تاکہ ہم مسئلے کو دہرا اور اس کی تفتیش کر سکیں۔

• security@bof.nl کی عوامی OpenPGP کلید

• آپ کمزوری کے بارے میں اپنا علم دوسرے فریقوں کے ساتھ شیئر نہیں کریں گے جب تک ہم نے مسئلہ حل نہ کیا ہو اور ہم آپ کے مسئلہ رپورٹ کرنے کے بعد سے ابھی معقول مدت کے اندر ہوں۔

• آپ اپنی تفتیش کے دوران حاصل کی گئی تمام خفیہ معلومات ہمارے کمزوری حل کرتے ہی حذف کر دیں گے۔

آپ ہم سے کیا توقع کر سکتے ہیں

• ہم تین دن کے اندر تفصیل سے آپ کی رپورٹ کا جواب دیں گے۔ ہم اس میں مسئلہ حل کرنے کے لیے درکار وقت کا اندازہ شامل کریں گے۔ بلاشبہ ہم باقاعدگی سے آپ کو اپنی پیش رفت سے باخبر رکھیں گے۔

• ہم کمزوری جلد از جلد حل کریں گے۔ یہاں بھی تناسب اہم ہے: کمزوری ٹھیک کرنے کے لیے درکار وقت کئی عوامل پر منحصر ہے، جن میں زیر بحث مسئلے کی شدت اور پیچیدگی شامل ہیں۔

• جب آپ یہاں بیان کردہ رہنما اصولوں پر عمل کریں گے تو ہم آپ کی رپورٹ کے سلسلے میں آپ کے خلاف قانونی کارروائی نہیں کریں گے۔

• ہمارے لیے یہ اہم ہے کہ آپ نے جو کیا اس کا کریڈٹ آپ کو دیں - اگر آپ چاہیں۔ ہم کمزوری سے متعلق کسی اشاعت میں آپ کا نام صرف اسی صورت میں ذکر کریں گے جب آپ اس سے اتفاق کریں۔

• ہمارے سسٹمز کی بہتر حفاظت میں مدد کرنے کے شکریے کے طور پر ہم اس وقت ہمارے لیے نامعلوم ہر کمزوری کی رپورٹ کو انعام دینا چاہیں گے۔ انعام کمزوری کی شدت اور رپورٹ کے معیار پر منحصر ہوگا۔

• اگر آپ کو ہمارے استعمال کردہ تیسرے فریق کے سافٹ ویئر میں کوئی کمزوری ملے اور وہ کمزوری بگ باؤنٹی پروگرام کے احاطے میں آتی ہو تو ہم اس باؤنٹی کا دعویٰ کرنے کی کوشش نہیں کریں گے؛ آپ کو کرنا چاہیے۔