Tạo chính sách công bố lỗ hổng bảo mật

Chính sách công bố lỗ hổng có tác dụng gì

Chính sách công bố lỗ hổng bảo mật có phối hợp cho người bên ngoài biết phải làm gì khi phát hiện điểm yếu trong phần mềm của bạn, và bạn sẽ làm gì đáp lại. Không có chính sách, nhà nghiên cứu phải tự đoán nên viết thư cho ai, mình có bị kiện hay không, và bạn cần bao lâu. Đoán sai thì kết quả là một bài đăng công khai mà chưa có bản vá, hoặc không có báo cáo nào cả. Một chính sách ngắn gọn, dễ đọc sẽ xóa bỏ sự phỏng đoán đó.

Với các nhà cung cấp tại EU, đây cũng là một phần của việc chuẩn bị cho Đạo luật Khả năng chống chịu không gian mạng (Cyber Resilience Act, CRA): nhà sản xuất được kỳ vọng có chính sách như vậy và một đầu mối liên hệ được công bố. Hướng dẫn báo cáo cho nhà cung cấp nhỏ liệt kê phần còn lại, kể cả đồng hồ báo cáo đối với các lỗ hổng đang bị khai thác tích cực.

Chính sách được tạo nói những gì

Chính sách nêu các sản phẩm thuộc phạm vi và những gì bị loại trừ, cho biết gửi báo cáo ở đâu và nên đưa gì vào đó, và nêu bạn sẽ xác nhận, đánh giá và khắc phục nhanh đến mức nào. Chính sách đặt ra quy tắc khi kiểm thử, dành safe harbour cho các nhà nghiên cứu tuân thủ quy tắc, ấn định mốc thời gian công bố, và giải thích rằng một số lỗ hổng phải được báo cáo cho cơ quan chức năng. Mọi cam kết trong đó là của bạn: chỉ hứa những thời hạn phản hồi mà đội của bạn thực sự đáp ứng được.

Mẹo

• Đăng chính sách ở một địa chỉ ổn định và liên kết tới nó từ security.txt bằng trường Policy.
• Hãy bảo đảm có người đọc hộp thư nhận báo cáo vào mỗi ngày làm việc, và thống nhất trước ai là người quyết định một cuộc khai thác là có thật trước khi đồng hồ 24 giờ bắt đầu chạy. Đồng hồ sự cố CRA cho biết các hạn chót.
• Cần chuyển Markdown thành trang web? Công cụ chuyển Markdown sang HTML làm được việc đó, dù trang này đã tự tạo ra HTML.