Multi party disclosure, hoe zit het precies?
De afgelopen weken heeft het NCSC een aantal berichten uitgebracht over een multi party disclosure traject. In dit blog zal ik uitleggen wat het verschil is tussen gewoon coordinated vulnerability disclosure en multi party disclosure processen. Sta ik stil bij wat de verschillende rollen zijn binnen zo n disclosure traject en welke rol het NCSC daar dan in vervult. Ik sluit af met de moeilijkheden die in zo n traject naar boven komen.
Coordinated Vulnerability Disclosure
Het gewone traject van het onthullen van kwetsbaarheden gaat om het gecoordineerd onthullen van een kwetsbaarheid in product of dienst die bij slechts een organisatie in gebruik is, ofwel Coordinated Vulnerability Disclosure (CVD). In het kort bevat dit proces een aantal stappen: Het begint met een melder die een kwetsbaarheid in een product of dienst ontdekt. Daarna neemt de melder contact op met de eigenaar van dit product of dienst om de kwetsbaarheid toe te lichten. De eigenaar gaat aan de slag om het probleem op te lossen of weg te nemen. Ten slotte spreken de melder en de eigenaar met elkaar af hoe ze de kwetsbaarheid zullen onthullen. Dit proces en alle randvoorwaarden hierbij staat verder toegelicht in de leidraad CVD. In het verleden werd dit proces ook wel Responsible Disclosure genoemd.
Het NCSC raadt organisaties aan om een beleid te publiceren voor CVD met daarin een contactpunt en randvoorwaarden. Op deze manier is voor melders duidelijk dat organisaties ontvankelijk zijn. Het gepubliceerde beleid geeft bovendien houvast voor de melders en onderzoekers over de randvoorwaarden die gelden bij het zoeken naar kwetsbaarheden.
In het gewone CVD proces speelt het NCSC alleen een rol als het gaat om kwetsbaarheden in systemen van het NCSC, of als contactpunt voor Rijksoverheidsorganisaties (als die dat niet zelf hebben). Soms kan het NCSC als mediator optreden voor andere partijen als de melder en de ontvangende organisatie er samen niet uit komen.
Verder lezen bij de bronLees ons boek
Gemeenten. Bewustzijn. Privacy.
Nieuwsbrief
Deze versturen we 3-4x per jaar.
Recente blogs
Meer recente berichten
Brief Cyberveilig NL aan Autoriteit Persoonsgegevens over vorderen van informatie | Verder lezen | |
Verkeerslichten maken contact met telefoons, zorgen om privacy | Verder lezen | |
Aantal datastelende malware infecties verzevenvoudigd sinds 2020 | Verder lezen | |
Digitaal inbreken eitje voor deze hackers: Beveiliging is bij bedrijven heel groot probleem | Verder lezen | |
Booking.com meldt datalekken op tijd na ingrijpen AP | Verder lezen | |
AVG verzoek frauderende ambtenaar toch geen misbruik van recht, KPMG moet alsnog inzage geven | Verder lezen | |
Bedrijven investeren jaarlijks ruim 92.000 euro voor bijscholing cybersecurityteams | Verder lezen | |
Gartner: Identiteitsbeheer cruciaal voor cyberbeveiliging | Verder lezen | |
AP wijst politieke partijen op risico s persoonsgegevens rondom verkiezingen | Verder lezen | |
Delen videobeelden van misdragingen werknemer vormen geen inbreuk op AVG | Verder lezen |