Multi party disclosure, hoe zit het precies?

De afgelopen weken heeft het NCSC een aantal berichten uitgebracht over een multi party disclosure traject. In dit blog zal ik uitleggen wat het verschil is tussen gewoon coordinated vulnerability disclosure en multi party disclosure processen. Sta ik stil bij wat de verschillende rollen zijn binnen zo n disclosure traject en welke rol het NCSC daar dan in vervult. Ik sluit af met de moeilijkheden die in zo n traject naar boven komen.

Coordinated Vulnerability Disclosure

Het gewone traject van het onthullen van kwetsbaarheden gaat om het gecoordineerd onthullen van een kwetsbaarheid in product of dienst die bij slechts een organisatie in gebruik is, ofwel Coordinated Vulnerability Disclosure (CVD). In het kort bevat dit proces een aantal stappen: Het begint met een melder die een kwetsbaarheid in een product of dienst ontdekt. Daarna neemt de melder contact op met de eigenaar van dit product of dienst om de kwetsbaarheid toe te lichten. De eigenaar gaat aan de slag om het probleem op te lossen of weg te nemen. Ten slotte spreken de melder en de eigenaar met elkaar af hoe ze de kwetsbaarheid zullen onthullen. Dit proces en alle randvoorwaarden hierbij staat verder toegelicht in de leidraad CVD.  In het verleden werd dit proces ook wel Responsible Disclosure genoemd.

Het NCSC raadt organisaties aan om een beleid te publiceren voor CVD met daarin een contactpunt en randvoorwaarden. Op deze manier is voor melders duidelijk dat organisaties ontvankelijk zijn. Het gepubliceerde beleid geeft bovendien houvast voor de melders en onderzoekers over de randvoorwaarden die gelden bij het zoeken naar kwetsbaarheden. 

In het gewone CVD proces speelt het NCSC alleen een rol als het gaat om kwetsbaarheden in systemen van het NCSC, of als contactpunt voor Rijksoverheidsorganisaties (als die dat niet zelf hebben). Soms kan het NCSC als mediator optreden voor andere partijen als de melder en de ontvangende organisatie er  samen niet uit komen.

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De rol van de OR bij privacy op de werkvloer
De ondernemingsraad (OR) speelt een belangrijke rol in een organisatie, ook op het gebied van privacy op de werkvloer.
Het belang van patchmanagement
Als we het hebben over informatiebeveiliging, komen de termen patches en patchmanagementproces vaak voorbij. Maar wat betekenen deze termen nu eigenlijk? Waarom is patchmanagement zo belangrijk? En hoe richt je zo’n proces dan in? In deze blog lees je hoe je hier zelf mee aan de slag kan.
De AVG versus de Wet politiegegevens (Wpg)
: Naast de AVG hebben politie en justitie te maken met de Wet politiegegevens (Wpg). Maar ook als gemeente heb je te maken met de Wpg, namelijk bij het werk van Buitengewoon opsporingsambtenaren (Boa’s). In deze blog leggen we uit hoe de AVG en Wpg van toepassing zijn op het werk van Boa’s en waar je als gemeente aan moet voldoen bij het verwerken van gegevens.

Meer recente berichten

BoF: Gemeenten hebben AVG basis nog steeds niet op orde
Verder lezen
Incidentresponsplan Ransomware
Verder lezen
Nederlandse datacenters en DNS providers krijgen zorg en meldplicht
Verder lezen
Nederlandse gemeenten sturen onbewust data naar VS
Verder lezen
Overheden kunnen elkaar straks waarschuwen over criminele praktijken
Verder lezen
Wat hebben we geleerd van cyberaanvallen op kritieke infrastructuur?
Verder lezen
NCTV: Risico op ontwrichting groter door scheefgroei dreiging en weerbaarheid
Verder lezen
Een op de vijf IT beslissers heeft weinig vertrouwen in databescherming en privacy van de cloud
Verder lezen
Beschermt de Autoriteit Persoonsgegevens privacy, of verstoort ze de vrije markt?
Verder lezen
Het is geen keuze, beveilig die digitale ramen
Verder lezen