De afgelopen weken heeft het NCSC een aantal berichten uitgebracht over een multi party disclosure traject. In dit blog zal ik uitleggen wat het verschil is tussen gewoon coordinated vulnerability disclosure en multi party disclosure processen. Sta ik stil bij wat de verschillende rollen zijn binnen zo n disclosure traject en welke rol het NCSC daar dan in vervult. Ik sluit af met de moeilijkheden die in zo n traject naar boven komen.
Het gewone traject van het onthullen van kwetsbaarheden gaat om het gecoordineerd onthullen van een kwetsbaarheid in product of dienst die bij slechts een organisatie in gebruik is, ofwel Coordinated Vulnerability Disclosure (CVD). In het kort bevat dit proces een aantal stappen: Het begint met een melder die een kwetsbaarheid in een product of dienst ontdekt. Daarna neemt de melder contact op met de eigenaar van dit product of dienst om de kwetsbaarheid toe te lichten. De eigenaar gaat aan de slag om het probleem op te lossen of weg te nemen. Ten slotte spreken de melder en de eigenaar met elkaar af hoe ze de kwetsbaarheid zullen onthullen. Dit proces en alle randvoorwaarden hierbij staat verder toegelicht in de leidraad CVD. In het verleden werd dit proces ook wel Responsible Disclosure genoemd.
Het NCSC raadt organisaties aan om een beleid te publiceren voor CVD met daarin een contactpunt en randvoorwaarden. Op deze manier is voor melders duidelijk dat organisaties ontvankelijk zijn. Het gepubliceerde beleid geeft bovendien houvast voor de melders en onderzoekers over de randvoorwaarden die gelden bij het zoeken naar kwetsbaarheden.
In het gewone CVD proces speelt het NCSC alleen een rol als het gaat om kwetsbaarheden in systemen van het NCSC, of als contactpunt voor Rijksoverheidsorganisaties (als die dat niet zelf hebben). Soms kan het NCSC als mediator optreden voor andere partijen als de melder en de ontvangende organisatie er samen niet uit komen.
Verder lezen bij de bronDeze versturen we 3-4x per jaar.
BoF: Gemeenten hebben AVG basis nog steeds niet op orde | Verder lezen | |
Incidentresponsplan Ransomware | Verder lezen | |
Nederlandse datacenters en DNS providers krijgen zorg en meldplicht | Verder lezen | |
Nederlandse gemeenten sturen onbewust data naar VS | Verder lezen | |
Overheden kunnen elkaar straks waarschuwen over criminele praktijken | Verder lezen | |
Wat hebben we geleerd van cyberaanvallen op kritieke infrastructuur? | Verder lezen | |
NCTV: Risico op ontwrichting groter door scheefgroei dreiging en weerbaarheid | Verder lezen | |
Een op de vijf IT beslissers heeft weinig vertrouwen in databescherming en privacy van de cloud | Verder lezen | |
Beschermt de Autoriteit Persoonsgegevens privacy, of verstoort ze de vrije markt? | Verder lezen | |
Het is geen keuze, beveilig die digitale ramen | Verder lezen |
Copyright © 2014 - 2021 IB&P B.V.
algemene voorwaarden - privacyverklaring.
responsible disclosure - sitemap