zabezpieczenie
ujawnianie podatności
Opublikowany sposób, w jaki osoby z zewnątrz mogą zgłosić Ci lukę, i proces postępowania ze zgłoszeniem. NIS2 wymienia ujawnianie, a CRA wymaga od producentów polityki skoordynowanego ujawniania i adresu kontaktowego.
- co chroni
- Twoją reputację i klientów, bo o luce dowiadujesz się pierwszy od znalazcy
- kto za to odpowiada
- szef IT
- zacznij od
- jeden adres, dwie osoby czytające, jedna krótka strona o tym, co przyjmujesz
czym jest
Ujawnianie podatności to sposób, w jaki ktoś z zewnątrz informuje Cię o luce w Twoich systemach lub produkcie, oraz sposób, w jaki postępujesz z tym, co przysłał. Luki znajduje się przypadkiem albo celowo. Czytelny adres i spokojna odpowiedź decydują, czy dowiesz się pierwszy.
NIS2 wymienia obsługę i ujawnianie podatności jako część bezpieczeństwa przy rozwoju i utrzymaniu. CRA idzie dalej wobec producentów produktów: polityka skoordynowanego ujawniania, adres kontaktowy i publiczna informacja o naprawionych podatnościach. Jeśli prowadzisz usługi i nie wytwarzasz produktów, obowiązek z NIS2 nadal dotyczy Ciebie, w lżejszej postaci.
Zacznij od adresu i krótkiej strony, która mówi, co przyjmujesz, kto czyta i jak szybko odpowiadasz. Potem połącz ją z osobami, które mogą naprawić, i z tym, kto decyduje, co usłyszą klienci.
podstawa NIS2 art. 21(2)(e). Strona, adres i czasy odpowiedzi są praktyką.
od zgłoszenia do naprawy
- 1przychodzi zgłoszeniena opublikowany adres, czytany przez co najmniej dwie osoby
- 2potwierdzenie odbioruzgłaszający dostaje odpowiedź i jest informowany o postępach
- 3właściciel i statuswskazany inżynier, z datą
- 4naprawaluka zostaje zamknięta, a sprawa zapisana
- 5kto się dowiadujezgłaszający i, gdy to ważne, klienci
dokąd musi trafić zgłoszenie, które jest wykorzystywane
- proces incydentówżeby zegar zgłoszenia ruszył z właściwą osobą
- inżynierowiektórzy mogą to naprawić
- dział prawnyktóry uzgodnił treść odpowiedzi
- kliencigdy luka jest poważna albo została wykorzystana
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
przykład
Wyobraź sobie firmę z 60 osobami, która sprzedaje usługę internetową.
Nie ma strony, jest tylko ogólna skrzynka, którą jedna osoba czyta, gdy sobie przypomni. Badacz pisze, tygodniami nie słyszy nic i publikuje lukę. Inżynierowie dowiadują się o niej od klienta, który o to pyta.
Krótka strona podaje jeden adres, który czytają dwie osoby. Odpowiedź potwierdza odbiór, każde zgłoszenie ma właściciela, status i datę, a dział prawny z góry uzgodnił treść. Gdy luka jest wykorzystywana, skrzynka jest połączona z procesem incydentów i z osobą składającą zgłoszenie.
To ilustracja, a nie opis prawdziwego przypadku.
co musi robić dla każdego przepisu
| przepis | gdzie | czego wymaga tekst | co musi robić zabezpieczenie |
|---|---|---|---|
| NIS2 | NIS2 art. 21(2)(e) | Bezpieczeństwo przy nabywaniu, rozwoju i utrzymaniu, w tym obsługa i ujawnianie podatności. | Opublikuj jeden adres do zgłoszeń i napisz, kto go czyta, jak szybko odpowiadasz i jak postępujesz z tym, co przychodzi. |
| IR 2024/2690 | IR 2024/2690 załącznik 6.10 | Wymienieni dostawcy usług cyfrowych: obsługa i ujawnianie podatności. | Spisz proces od pierwszego zgłoszenia do poprawki i przechowuj zapis każdej sprawy. |
| CRA | CRA załącznik I część II | Producenci: polityka skoordynowanego ujawniania podatności, adres kontaktowy do zgłoszeń, publiczna informacja o naprawionych podatnościach i bezpieczne dostarczanie aktualizacji. | Jeśli wytwarzasz produkt, opublikuj politykę i adres oraz napisz, co użytkownicy usłyszą, gdy poprawka jest gotowa. |
| CRA | CRA art. 14(1) | Producenci zgłaszają aktywnie wykorzystywaną podatność w swoim produkcie: wczesne ostrzeżenie w ciągu 24 godzin, powiadomienie w ciągu 72 godzin i sprawozdanie końcowe. | Połącz skrzynkę zgłoszeń z procesem incydentów, by ustalenie, które jest wykorzystywane, trafiło do osoby składającej zgłoszenie. |
podstawa NIS2 art. 21(2)(e); IR 2024/2690 załącznik 6.10 jako punkt odniesienia; CRA załącznik I część II; CRA art. 14(1). To, co zabezpieczenie ma robić, jest praktyką.
na co patrzeć przy wyborze
- Czy na Twojej stronie jest podstrona, która mówi, gdzie wysłać zgłoszenie, co przyjmujesz i jak odpowiesz?
- Czy adres działa i jest czytany: wspólna skrzynka, którą czytają co najmniej dwie wskazane osoby?
- Czy zgłaszający może przesłać szczegóły w chroniony sposób, na przykład kluczem szyfrującym lub bezpiecznym formularzem?
- Czy proces mówi, jak szybko potwierdzasz odbiór i jak informujesz zgłaszającego o postępach?
- Czy jest reguła, jak długo prosisz zgłaszającego o wstrzymanie się z publikacją, i czy odpowiada ona czasowi naprawy?
- Czy piszesz, że badania w dobrej wierze są mile widziane, słowami, które przeczytał prawnik?
- Jak zgłoszenie dociera ze skrzynki do inżyniera, który może je naprawić, i kto informuje klientów?
- Czy ten sam proces obejmuje kupowane oprogramowanie, tak by kontakt do dostawcy był w aktach?
podstawa praktyka
trzy poziomy, od pierwszego kroku do mocnego
Każdy poziom dodaje coś widocznego. Zatrzymaj się tam, gdzie pozwala na to ryzyko, które akceptujesz.
- start
Wybierz jeden adres do zgłoszeń, wskaż dwie osoby, które go czytają, i opublikuj krótką stronę o tym, co przyjmujesz i jak odpowiadasz.
- solidnie
Daj każdemu zgłoszeniu właściciela, status i datę, uzgodnij treść odpowiedzi z działem prawnym i co kwartał wysyłaj wiadomość testową na adres.
- mocno
Połącz skrzynkę z procesem incydentów, ustal z góry, kto informuje klientów, i trzymaj w aktach kontakt do każdego dostawcy kupowanego oprogramowania.
podstawa praktyka robocza. Żaden tekst prawny tego nie ustala.
gdzie się psuje
adres, którego nikt nie pilnuje
Zgłoszenie, które wraca albo leży tygodniami, uczy znalazcę, by opublikował. Raz na kwartał sprawdź adres, wysyłając na niego wiadomość.
groźby prawne w odpowiedzi
Osoba, która zgłasza lukę w dobrej wierze i dostaje pismo od prawnika, nie zgłosi następnej. Uzgodnij treść z działem prawnym, zanim przyjdzie pierwsze zgłoszenie.
zgłoszenia bez drogi do naprawy
Skrzynka, która trafia tylko do bezpieczeństwa, omija inżynierów. Daj każdemu zgłoszeniu właściciela, status i datę.
cisza po naprawie
Gdy luka została wykorzystana albo jest poważna, klienci muszą się dowiedzieć. Ustal z góry, kto decyduje i kto pisze.
podstawa praktyka
dowód, który zostawia
| co możesz pokazać | kto jest właścicielem | odświeżanie |
|---|---|---|
| opublikowana polityka ujawniania i adres do zgłoszeń | szef IT | raz w roku |
| rejestr zgłoszeń ze statusem, właścicielem i datami | szef IT | przy każdym zgłoszeniu |
| wynik wiadomości testowej wysłanej na adres | szef IT | co kwartał |
| uzgodnione treści odpowiedzi, zatwierdzone przez dział prawny | dział prawny | raz w roku |
podstawa praktyka. Rytmy zależą od Ciebie.
sprawdź sam
twój następny krok
Wybierz jeden adres do zgłoszeń, wskaż dwie osoby, które go czytają, i wyślij na niego wiadomość testową.