Bezplatný nástroj

Bezplatný generátor zásad pro zveřejňování zranitelností

Generátor vytvoří zásady pro zveřejňování zranitelností, které obsahují rozsah, podmínky bezpečného zveřejnění a lhůty pro reakci, a soubor security.txt, který na ně výzkumníky odkazuje.

Vytvořte si pojistku Generátor souboru security.txt
  • Zásady zveřejňování informací
  • Bezpečné útočiště
  • soubor security.txt
  • Kontrolní seznam pro publikování

Vypracujte zásady pro oznamování zranitelností.

Proveďte 3 kroky a zkopírujte výsledky v kroku 4.

Povězte nám něco o vaší organizaci

Stránka, na které zveřejníte zásady. Soubor security.txt na ni odkazuje.

Jeden na řádek. Pokud pole ponecháte prázdné, bude se to vztahovat na váš web i jeho subdomény.

Vyberte, jakým způsobem mají lidé podávat hlášení

Zadejte alespoň jeden způsob, jak nahlásit problém. Soubor security.txt je uvádí v tomto pořadí.

Vaše stránka programu na platformě, jako je HackerOne, Bugcrowd, Intigriti nebo YesWeHack.

Zbývá méně než rok. Soubor aktualizujte ještě před tímto datem.

Odkaz na váš veřejný klíč, který výzkumníci používají k šifrování svých zpráv. Soubor pouze odkazuje na klíč, ale neobsahuje jej.

Stanovte pravidla

Odměny
Nepovolené zkušební metody
security.txt

Soubor na příslušné adrese na vašem webu a přehled zásad.

Zkopírujte soubor policy a security.txt

Než text zveřejníte, zkontrolujte si ho. Následuje po vašich odpovědích výše.

Zadejte název své organizace, abyste si mohli prohlédnout své zásady a soubor security.txt.

Generátor vytváří text na základě vašich odpovědí, normy RFC 9116 a běžných šablon zásad pro zveřejňování informací, jako je například šablona americké Agentury pro kyberbezpečnost a bezpečnost infrastruktury (CISA). Nejedná se o právní radu. Před zveřejněním zásady si ji pečlivě prostudujte a znění týkající se „safe harbor“ nechte zkontrolovat právníkem: vztahuje se pouze na činnost vaší organizace, nikoli na jednání jiných stran nebo státních zástupců.

Kde zveřejnit vaše zásady.

Výzkumníci hledají stránku věnovanou bezpečnosti, soubor security.txt nebo e-mail týkající se bezpečnosti. Umístěte zásady tam, kde je budou hledat, a zajistěte, aby na jejich dotazy někdo reagoval.

  1. Samostatná stránka. Zveřejněte zásady pod krátkým odkazem, například /security nebo /vulnerability-disclosure-policy.

  2. Zápatí vaší webové stránky. Umístěte odkaz na tyto zásady do zápatí vedle Zásad ochrany osobních údajů a Obchodních podmínek.

  3. Soubor security.txt. Nahrajte soubor do adresáře /.well-known/security.txt. Řádek „Policy“ v tomto souboru odkazuje na danou stránku.

  4. Schránka pro hlášení. Nastavte bezpečnostní e-mailovou adresu a zajistěte, aby ji někdo každý pracovní den kontroloval.

  5. Vaše produkty. V souladu se zákonem EU o kybernetické odolnosti uveďte v uživatelských informacích každého produktu jméno kontaktní osoby a odkaz na příslušné zásady.

  6. Zpráva o testu. Zašlete zprávu o testu po každé trase, zkontrolujte dobu odezvy a jednou ročně přezkoumejte příslušná pravidla.

Pravidla

Co pravidla vyžadují.

V každém řádku je uveden název zákona, normy nebo vládního nařízení, jeho platnost a požadavky, které klade na vaši politiku zveřejňování informací.

Zákony a normy týkající se oznamování zranitelností, kdy se jednotlivé předpisy uplatňují a co vyžadují
Zákon nebo norma Kdy se to vztahuje O co jde
RFC 9116 (security.txt) Jakýkoli web. Jedná se o dobrovolný internetový standard. Soubor ve formátu prostého textu v adresáři /.well-known/security.txt, poskytovaný přes protokol HTTPS, obsahující alespoň jeden řádek s kontaktními údaji a datum vypršení platnosti, ideálně v horizontu kratším než jeden rok.
Zákon EU o kybernetické odolnosti (nařízení (EU) 2024/2847) Výrobci softwaru a připojených výrobků prodávaných v EU. Povinnost podávat zprávy platí od 11. září 2026, ostatní požadavky od 11. prosince 2027. Koordinovaná politika zveřejňování zranitelností a kontaktní adresa pro hlášení (příloha I, část II), jediná kontaktní osoba uvedená v informacích pro uživatele (příloha II) a hlášení aktivně zneužívaných zranitelností agentuře ENISA do 24 hodin.
Směrnice NIS2 (EU) 2022/2555 Klíčové a významné subjekty v EU, jako jsou poskytovatelé cloudových služeb, hostingu a digitální infrastruktury. Řešení a zveřejňování zranitelností jako součást bezpečnostních opatření (článek 21). Národní týmy CSIRT koordinují zveřejňování informací mezi výzkumnými pracovníky a společnostmi (článek 12).
Britský systém zabezpečení produktů a telekomunikační infrastruktury (PSTI) Výrobci připojitelných spotřebitelských výrobků prodávaných ve Velké Británii od 29. dubna 2024. Zveřejněný postup pro hlášení bezpečnostních problémů a lhůta, ve které oznamovatelé obdrží potvrzení o přijetí a informace o stavu řešení.
Závazná provozní směrnice CISA č. 20-01, USA Federální civilní úřady USA. Šablona jejich zásad slouží jako běžný vzor pro firmy. Zveřejněná směrnice obsahující seznam dotčených systémů, postup pro podávání hlášení, závazek, že nebudou podniknuty právní kroky v případě výzkumu prováděného v dobré víře, a potvrzení přijetí hlášení do 3 pracovních dnů.
ISO/IEC 29147 a ISO/IEC 30111 Jakákoli organizace. Jedná se o mezinárodní standardy, které se často vyžadují při bezpečnostních prověrkách. Jak přijímat hlášení a zveřejňovat upozornění (29147) a jak jednotlivá hlášení potvrzovat, opravovat a sledovat v rámci vaší organizace (30111).

Generátor zásad přijatelného používání

Vaše zásady přijatelného používání stanovují pravidla pro všechny ostatní.

Generátor zásad přijatelného používání TermsFeed zakazuje zkoumání nebo testování vaší služby bez písemného souhlasu a žádá uživatele, aby vám nahlásili zjištěné zranitelnosti. Vaše zásady pro zveřejňování informací udělují tento souhlas výzkumníkům, kteří se jimi řídí.

Vytvořit zásady přijatelného používání

Často kladené otázky.

Odpovědi na časté dotazy týkající se zásad pro oznamování zranitelností.

Co je to politika zveřejňování zranitelností?

Zásady pro oznamování zranitelností stanovují bezpečnostním výzkumníkům, jak mají nahlásit zranitelnost, kterou objeví ve vašich systémech, a jak s tímto hlášením naložíte.

Zásady obvykle zahrnují následující body.

  • Systémy, na které se politika vztahuje, a ty, na které se nevztahuje.
  • Testovací metody, které nejsou povoleny, jako například útoky typu „denial of service“.
  • Jak nahlásit zranitelnost a co je třeba uvést.
  • Jak rychle odpovíte a kdy budou podrobnosti zveřejněny.
  • Závazek nepodniknout právní kroky proti výzkumu prováděnému v dobré víře, známý jako „safe harbor“.

Potřebuji zásady pro oznamování zranitelností?

Některé zákony to vyžadují a každá webová stránka z toho má prospěch.

  • Zákon EU o kybernetické odolnosti (Cyber Resilience Act) vyžaduje od výrobců softwaru a připojených produktů prodávaných v EU, aby od 11. prosince 2027 zavedli koordinovanou politiku zveřejňování zranitelností.
  • Britský režim PSTI vyžaduje, aby výrobci připojitelných spotřebitelských produktů zveřejnili informace o tom, jak nahlásit bezpečnostní problémy.
  • Směrnice EU NIS2 řadí zveřejňování zranitelností mezi bezpečnostní opatření pro klíčové a důležité subjekty.

Bez takové politiky výzkumník, který objeví zranitelnost, neví, komu to nahlásit, a někdy ji zveřejní, aniž by vás o tom informoval.

Je politika zveřejňování zranitelností totéž jako program odměn za nalezení chyb?

Ne. Zásady pro oznamování zranitelností vybízejí k podávání hlášení. Program odměn za nalezení chyb vybízí k podávání hlášení a za ně vyplácí odměny.

  • Zásady lze zveřejnit zdarma a fungují samy o sobě.
  • Program odměn za nalezení chyb přidává odměny a často běží na platformách, jako jsou HackerOne nebo Bugcrowd, podle pravidel stanovených danou platformou.

Většina organizací začíná se zásadami a odměny přidává až později.

Co znamená pojem „safe harbor“ v zásadách zveřejňování informací?

Safe harbor je váš závazek, že výzkum, který je v souladu s touto politikou, je povolen a že proti němu nepodniknete žádné právní kroky.

  • Vztahuje se na činnost vaší organizace.
  • Nezabraňuje však jiným stranám, jako jsou poskytovatelé hostingu nebo státní zástupci, v jejich jednání.
  • Výzkum musí být v souladu s těmito zásadami: co se týče rozsahu, testovacích metod a pravidel pro zveřejňování.

Před zveřejněním si znění nechte zkontrolovat právníkem.

Jak rychle bychom měli reagovat na nahlášení?

Mnohé směrnice potvrzují, že obdržely hlášení do 3 pracovních dnů, jak je uvedeno ve vzoru CISA.

  • Zvolte lhůty pro odpověď, které váš tým vždy dodrží: zmeškaná odpověď je nejčastějším důvodem, proč výzkumníci zveřejňují své zjištění předčasně.
  • Britský režim PSTI vyžaduje, abyste zveřejnili své lhůty pro odpověď, nikoli dodržování stanoveného počtu dnů.
  • Běžná je lhůta 90 dnů před zveřejněním podrobností.

Je generátor zásad pro zveřejňování zranitelností zdarma?

Ano, generátor zásad pro zveřejňování zranitelností je zdarma.

  • Generátor nevyžaduje žádné účty.
  • Generátor také vytvoří soubor security.txt.

Vytvořte si své zásady pomocí výše uvedeného generátoru.