Gratis værktøj

Gratis generator til politik for offentliggørelse af sårbarheder

Generatoren udarbejder en politik for offentliggørelse af sårbarheder, der omfatter anvendelsesområde, undtagelsesbestemmelser og svartider, samt filen security.txt, der henviser forskere til denne politik.

Udarbejd din politik security.txt-generator
  • Politik for offentliggørelse af oplysninger
  • Safe Harbor
  • filen security.txt
  • Tjekliste for udgivelse

Udarbejd jeres politik for rapportering af sårbarheder.

Udfør de 3 trin, og kopier resultaterne i trin 4.

Fortæl os om jeres organisation

Den side, hvor du vil offentliggøre politikken. Filen »security.txt« henviser til den.

Én pr. linje. Lad feltet stå tomt, hvis du vil omfatte din hjemmeside og dens underdomæner.

Vælg, hvordan folk skal indberette

Udfyld mindst én måde at indberette på. Filen »security.txt« angiver dem i denne rækkefølge.

Din programside på en platform som f.eks. HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre end et år fra i dag. Sørg for at opdatere filen inden denne dato.

Et link til din offentlige nøgle, som forskerne bruger til at kryptere deres rapporter. Filen indeholder et link til nøglen, men indeholder ikke selve nøglen.

Fastlæg reglerne

Belønninger
Testmetoder, der ikke er tilladt
security.txt

Filen på sin adresse på din hjemmeside og en oversigt over politikken.

Kopier din policy-fil og security.txt-filen

Gennemgå teksten, før du offentliggør den. Den følger efter dine svar ovenfor.

Indtast navnet på din organisation for at se din politik og security.txt-filen.

Generatoren udarbejder tekst på baggrund af dine svar, RFC 9116 og almindelige skabeloner til politikker om oplysningspligt, såsom den fra det amerikanske Cybersecurity and Infrastructure Security Agency (CISA). Det udgør ikke juridisk rådgivning. Gennemgå politikken, inden du offentliggør den, og få en advokat til at gennemgå formuleringen vedrørende »safe harbor«: Den dækker kun, hvad din organisation gør, ikke hvad andre parter eller anklagemyndigheder gør.

Hvor skal du offentliggøre din politik?

Forskere leder efter en sikkerhedsside, en security.txt-fil eller en e-mail om sikkerhed. Placer politikken der, hvor de leder, og sørg for, at der er nogen, der svarer.

  1. En egen side. Offentliggør politikken via et kort link, f.eks. /security eller /vulnerability-disclosure-policy.

  2. Fodnoten på din hjemmeside. Indsæt et link til politikken i fodnoten, ved siden af din privatlivspolitik og dine brugsbetingelser.

  3. Filen security.txt. Upload filen til /.well-known/security.txt. Linjen »Policy« i filen indeholder et link til siden.

  4. Indbakken til indberetninger. Opret en sikkerheds-e-mail, og sørg for, at nogen læser den hver arbejdsdag.

  5. Dine produkter. I henhold til EU’s lov om cybermodstandsdygtighed skal du angive kontaktoplysningerne og linket til politikken i brugeroplysningerne for hvert produkt.

  6. En testrapport. Send en testrapport via hver rute, kontroller svartiden og gennemgå retningslinjerne en gang om året.

Reglerne

Hvad reglerne kræver.

Hver række angiver en lov, en standard eller et regeringsdirektiv, hvornår det finder anvendelse, og hvilke krav det stiller til din politik for offentliggørelse.

Love og standarder for offentliggørelse af sårbarheder, hvornår de finder anvendelse, og hvad de kræver
Lov eller standard Hvornår det finder anvendelse Hvad der forventes
RFC 9116 (security.txt) Enhver hjemmeside. Det er en frivillig internetstandard. En almindelig tekstfil i mappen /.well-known/security.txt, der serveres via HTTPS, med mindst én »Contact«-linje og en udløbsdato, helst mindre end et år frem i tiden.
EU-lov om cybermodstandsdygtighed (forordning (EU) 2024/2847) Producenter af software og forbundne produkter, der sælges i EU. Indberetningspligten træder i kraft den 11. september 2026, mens de øvrige krav træder i kraft den 11. december 2027. En samordnet politik for offentliggørelse af sårbarheder og en kontaktadresse til indberetninger (bilag I, del II), en enkelt kontaktperson, der er angivet i brugeroplysningerne (bilag II), samt indberetning af sårbarheder, der aktivt udnyttes, til ENISA inden for 24 timer.
NIS2-direktivet (EU) 2022/2555 Væsentlige og vigtige enheder i EU, såsom udbydere af cloud-tjenester, hosting og digital infrastruktur. Håndtering og offentliggørelse af sårbarheder som led i sikkerhedsforanstaltningerne (artikel 21). De nationale CSIRT-enheder koordinerer udvekslingen af oplysninger mellem forskere og virksomheder (artikel 12).
Den britiske ordning for produktsikkerhed og telekommunikationsinfrastruktur (PSTI) Producenter af forbrugerprodukter med internetforbindelse, der sælges i Storbritannien, fra den 29. april 2024. En offentliggjort fremgangsmåde til indberetning af sikkerhedsproblemer samt den tidsramme, inden for hvilken indberetterne modtager en bekræftelse og statusopdateringer.
CISA’s bindende operative direktiv 20-01, USA Amerikanske føderale civile myndigheder. Dens politikskabelon fungerer som en almindelig model for virksomheder. En offentliggjort politik, der angiver, hvilke systemer der er omfattet, hvordan man indberetter, en forpligtelse til ikke at indlede retslige skridt i forbindelse med forskning udført i god tro samt en bekræftelse af modtagelsen af indberetninger inden for 3 arbejdsdage.
ISO/IEC 29147 og ISO/IEC 30111 Enhver organisation. Det er internationale standarder, som ofte kræves i forbindelse med sikkerhedsvurderinger. Sådan modtager du rapporter og offentliggør advarsler (29147), og sådan bekræfter, løser og sporer du hver enkelt rapport internt i din organisation (30111).

Generator til retningslinjer for acceptabel brug

Jeres retningslinjer for acceptabel brug fastlægger reglerne for alle andre.

TermsFeeds generator til retningslinjer for acceptabel brug forbyder sondering eller test af din tjeneste uden skriftlig tilladelse og opfordrer brugerne til at indberette sårbarheder til dig. Din politik for offentliggørelse giver denne tilladelse til forskere, der overholder den.

Udarbejd retningslinjer for acceptabel brug

Ofte stillede spørgsmål.

Svar på ofte stillede spørgsmål om retningslinjer for offentliggørelse af sårbarheder.

Hvad er en politik for offentliggørelse af sårbarheder?

En politik for indberetning af sårbarheder beskriver for sikkerhedsforskere, hvordan de skal indberette en sårbarhed, de finder i jeres systemer, og hvordan I vil håndtere indberetningen.

En politik omfatter normalt følgende.

  • Hvilke systemer der er omfattet, og hvilke der ikke er.
  • De testmetoder, der ikke er tilladt, f.eks. denial-of-service-angreb.
  • Hvordan man indberetter, og hvad der skal medtages.
  • Hvor hurtigt I svarer, og hvornår detaljerne offentliggøres.
  • Et løfte om ikke at anlægge sag mod forskning udført i god tro, også kaldet safe harbor.

Har jeg brug for en politik for offentliggørelse af sårbarheder?

Nogle love kræver det, og alle hjemmesider har gavn af det.

  • EU's lov om cybermodstandsdygtighed kræver, at producenter af software og forbundne produkter, der sælges i EU, indfører en koordineret politik for offentliggørelse af sårbarheder fra den 11. december 2027.
  • Det britiske PSTI-regime kræver, at producenter af forbrugerprodukter, der kan tilsluttes, offentliggør, hvordan sikkerhedsproblemer skal indberettes.
  • EU's NIS2-direktiv regner offentliggørelse af sårbarheder med blandt sikkerhedsforanstaltningerne for væsentlige og vigtige enheder.

Uden en politik ved en forsker, der finder en sårbarhed, ikke, hvem han skal underrette, og offentliggør den undertiden uden at informere jer.

Er en politik for offentliggørelse af sårbarheder det samme som et bug bounty-program?

Nej. En politik for offentliggørelse af sårbarheder opfordrer til indberetninger. Et bug-bounty-program opfordrer til indberetninger og betaler for dem.

  • En politik kan offentliggøres gratis og fungerer af sig selv.
  • Et bug bounty-program tilføjer belønninger og kører ofte på en platform som HackerOne eller Bugcrowd i henhold til de regler, platformen fastsætter.

De fleste organisationer starter med en politik og tilføjer belønninger senere.

Hvad betyder »safe harbor« i en politik om offentliggørelse af oplysninger?

Safe harbor er jeres løfte om, at forskning, der overholder retningslinjerne, er godkendt, og at I ikke vil iværksætte retslige skridt imod den.

  • Det dækker din organisations aktiviteter.
  • Det forhindrer ikke andre parter, såsom en hostingudbyder eller anklagemyndigheder, i at handle.
  • Forskningen skal følge politikken: omfanget, testmetoderne og reglerne for offentliggørelse.

Få en advokat til at gennemgå ordlyden, inden du offentliggør den.

Hvor hurtigt skal vi svare på en anmeldelse?

Mange retningslinjer bekræfter, at de har modtaget en indberetning inden for 3 arbejdsdage, som det fremgår af CISA-skabelonen.

  • Vælg svartider, som dit team kan overholde hver gang: en manglende svar er den mest almindelige årsag til, at forskere offentliggør deres resultater før tid.
  • Det britiske PSTI-system beder dig om at offentliggøre dine svartider, ikke om at overholde et bestemt antal dage.
  • En frist på 90 dage, inden detaljerne offentliggøres, er almindelig.

Er generatoren til politikker om offentliggørelse af sårbarheder gratis?

Ja, generatoren til politikker om offentliggørelse af sårbarheder er gratis.

  • Generatoren kræver ingen konto.
  • Generatoren opretter også security.txt-filen.

Udarbejd din politik med generatoren ovenfor.