De afgelopen weken heeft het NCSC een aantal berichten uitgebracht over een multi party disclosure traject. In dit blog zal ik uitleggen wat het verschil is tussen gewoon coordinated vulnerability disclosure en multi party disclosure processen. Sta ik stil bij wat de verschillende rollen zijn binnen zo n disclosure traject en welke rol het NCSC daar dan in vervult. Ik sluit af met de moeilijkheden die in zo n traject naar boven komen.

Coordinated Vulnerability Disclosure

Het gewone traject van het onthullen van kwetsbaarheden gaat om het gecoordineerd onthullen van een kwetsbaarheid in product of dienst die bij slechts een organisatie in gebruik is, ofwel Coordinated Vulnerability Disclosure (CVD). In het kort bevat dit proces een aantal stappen: Het begint met een melder die een kwetsbaarheid in een product of dienst ontdekt. Daarna neemt de melder contact op met de eigenaar van dit product of dienst om de kwetsbaarheid toe te lichten. De eigenaar gaat aan de slag om het probleem op te lossen of weg te nemen. Ten slotte spreken de melder en de eigenaar met elkaar af hoe ze de kwetsbaarheid zullen onthullen. Dit proces en alle randvoorwaarden hierbij staat verder toegelicht in de leidraad CVD.  In het verleden werd dit proces ook wel Responsible Disclosure genoemd.

Het NCSC raadt organisaties aan om een beleid te publiceren voor CVD met daarin een contactpunt en randvoorwaarden. Op deze manier is voor melders duidelijk dat organisaties ontvankelijk zijn. Het gepubliceerde beleid geeft bovendien houvast voor de melders en onderzoekers over de randvoorwaarden die gelden bij het zoeken naar kwetsbaarheden. 

In het gewone CVD proces speelt het NCSC alleen een rol als het gaat om kwetsbaarheden in systemen van het NCSC, of als contactpunt voor Rijksoverheidsorganisaties (als die dat niet zelf hebben). Soms kan het NCSC als mediator optreden voor andere partijen als de melder en de ontvangende organisatie er  samen niet uit komen.

Deze versturen we 3-4x per jaar.