Gratis verktøy

Gratis verktøy for å lage retningslinjer for offentliggjøring av sikkerhetsproblemer

Generatoren utarbeider retningslinjer for offentliggjøring av sikkerhetsproblemer, som omfatter gyldighetsområde, unntaksbestemmelser og responstider, samt security.txt-filen som henviser forskere til disse retningslinjene.

Lag din egen forsikring security.txt-generator
  • Retningslinjer for informasjonsformidling
  • Safe Harbor
  • filen security.txt
  • Sjekkliste for publisering

Utarbeid retningslinjene for rapportering av sikkerhetsproblemer.

Gjennomfør de tre trinnene og kopier resultatene i trinn 4.

Fortell oss om organisasjonen din

Siden der du skal publisere retningslinjene. Filen «security.txt» inneholder en lenke til denne siden.

Én per linje. La feltet stå tomt for å inkludere nettstedet ditt og dets underdomener.

Velg hvordan folk skal rapportere

Fyll ut minst én måte å rapportere på. Filen «security.txt» viser dem i denne rekkefølgen.

Programsiden din på en plattform som HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre enn ett år fra i dag. Oppdater filen før denne datoen.

En lenke til din offentlige nøkkel, som forskerne bruker til å kryptere rapportene sine. Filen inneholder en lenke til nøkkelen, men lagrer ikke selve nøkkelen.

Fastsett reglene

Belønninger
Testmetoder som ikke er tillatt
security.txt

Filen på sin adresse på nettstedet ditt, og en oversikt over retningslinjene.

Kopier policy-filen og security.txt-filen

Gå gjennom teksten før du publiserer den. Den følger etter svarene dine ovenfor.

Skriv inn navnet på organisasjonen din for å se retningslinjene og security.txt-filen.

Generatoren utarbeider tekst basert på dine svar, RFC 9116 og vanlige maler for retningslinjer for informasjonsutlevering, for eksempel den fra det amerikanske Cybersecurity and Infrastructure Security Agency (CISA). Dette utgjør ikke juridisk rådgivning. Gå gjennom retningslinjene før du publiserer dem, og sjekk «safe harbor»-formuleringen med en advokat: den dekker kun hva din organisasjon gjør, ikke hva andre parter eller påtalemyndigheter gjør.

Hvor skal du publisere retningslinjene dine?

Forskere leter etter en sikkerhetsside, en security.txt-fil eller en sikkerhets-e-post. Plasser retningslinjene der de leter, og sørg for at noen svarer.

  1. En egen side. Publiser retningslinjene via en kort lenke, for eksempel /security eller /vulnerability-disclosure-policy.

  2. Nederst på nettsiden din. Legg inn en lenke til retningslinjene nederst på siden, ved siden av personvernerklæringen og bruksvilkårene.

  3. Filen security.txt. Last opp filen til /.well-known/security.txt. Linjen «Policy» i filen inneholder en lenke til siden.

  4. Innboksen for rapportering. Konfigurer sikkerhets-e-posten, og sørg for at noen leser den hver arbeidsdag.

  5. Dine produkter. I henhold til EUs lov om cybersikkerhet må du oppgi kontaktperson og lenke til retningslinjene i brukerinformasjonen for hvert produkt.

  6. En testrapport. Send en testrapport via hver rute, sjekk svarstiden og gjennomgå retningslinjene én gang i året.

Reglene

Hva reglene krever.

Hver rad angir en lov, en standard eller et myndighetsdirektiv, når det gjelder, og hva det stiller krav til i din informasjonspolicy.

Lover og standarder for rapportering av sikkerhetsproblemer, når de gjelder, og hva de krever
Lov eller standard Når det gjelder Hva det spør om
RFC 9116 (security.txt) Hvilken som helst nettside. Det er en frivillig internettstandard. En ren tekstfil i /.well-known/security.txt, som serveres via HTTPS, med minst én «Contact»-linje og en utløpsdato, helst mindre enn ett år frem i tid.
EU-loven om cybersikkerhet (forordning (EU) 2024/2847) Produsenter av programvare og tilkoblede produkter som selges i EU. Rapporteringsplikten trer i kraft fra 11. september 2026, mens de øvrige kravene trer i kraft fra 11. desember 2027. En samordnet retningslinje for offentliggjøring av sårbarheter og en kontaktadresse for innrapportering (vedlegg I, del II), et enkelt kontaktpunkt som er angitt i brukerinformasjonen (vedlegg II), samt innrapportering av sårbarheter som utnyttes aktivt til ENISA innen 24 timer.
NIS2-direktivet (EU) 2022/2555 Sentrale og viktige aktører i EU, som leverandører av skytjenester, webhotell og digital infrastruktur. Håndtering og offentliggjøring av sårbarheter som en del av sikkerhetstiltakene (artikkel 21). Nasjonale CSIRT-er koordinerer informasjonsutvekslingen mellom forskere og bedrifter (artikkel 12).
Det britiske regelverket for produktsikkerhet og telekommunikasjonsinfrastruktur (PSTI) Produsenter av tilkoblingsbare forbrukerprodukter som selges i Storbritannia, fra og med 29. april 2024. En offentliggjort fremgangsmåte for å rapportere sikkerhetsproblemer, samt hvor lang tid det tar før de som rapporterer får en bekreftelse og statusoppdateringer.
CISA Bindende operativt direktiv 20-01, USA Sivile føderale etater i USA. Retningslinjemalen deres er en vanlig modell for bedrifter. En offentliggjort retningslinje som angir hvilke systemer som omfattes, hvordan man skal rapportere, en forpliktelse til ikke å iverksette rettslige tiltak mot forskning utført i god tro, samt en bekreftelse på mottak av rapporter innen tre virkedager.
ISO/IEC 29147 og ISO/IEC 30111 Enhver organisasjon. Det er internasjonale standarder som ofte kreves i sikkerhetsgjennomganger. Hvordan motta rapporter og publisere varsler (29147), og hvordan bekrefte, løse og følge opp hver enkelt rapport internt i organisasjonen (30111).

Generator for retningslinjer for akseptabel bruk

Retningslinjene for akseptabel bruk fastsetter reglene for alle andre.

TermsFeeds verktøy for å lage retningslinjer for akseptabel bruk forbyr sondering eller testing av tjenesten din uten skriftlig tillatelse, og ber brukerne om å rapportere sårbarheter til deg. Retningslinjene dine for offentliggjøring gir denne tillatelsen til forskere som følger dem.

Opprett retningslinjer for akseptabel bruk

Ofte stilte spørsmål.

Svar på vanlige spørsmål om retningslinjer for rapportering av sikkerhetsproblemer.

Hva er en retningslinje for rapportering av sikkerhetsproblemer?

En retningslinje for rapportering av sikkerhetshull beskriver hvordan sikkerhetsforskere skal rapportere sikkerhetshull de oppdager i systemene dine, og hvordan du vil håndtere rapporten.

En retningslinje omfatter vanligvis følgende.

  • Hvilke systemer som omfattes, og hvilke som ikke gjør det.
  • Testmetoder som ikke er tillatt, for eksempel tjenestenektangrep.
  • Hvordan man skal rapportere, og hva som skal inkluderes.
  • Hvor raskt dere svarer, og når detaljene blir offentliggjort.
  • Et løfte om ikke å iverksette rettslige tiltak mot forskning utført i god tro, kjent som «safe harbor».

Trenger jeg retningslinjer for rapportering av sikkerhetshull?

Noen lover krever det, og alle nettsteder har nytte av det.

  • EU-loven om cyberresiliens (Cyber Resilience Act) krever at produsenter av programvare og tilkoblede produkter som selges i EU, innfører en koordinert policy for offentliggjøring av sårbarheter fra og med 11. desember 2027.
  • Det britiske PSTI-regimet krever at produsenter av tilkoblingsbare forbrukerprodukter offentliggjør hvordan sikkerhetsproblemer skal rapporteres.
  • EU-direktivet NIS2 regner offentliggjøring av sårbarheter som et av sikkerhetstiltakene for essensielle og viktige enheter.

Uten en slik policy vet ikke en forsker som oppdager en sårbarhet hvem han eller hun skal informere, og noen ganger offentliggjør vedkommende den uten å gi dere beskjed.

Er en retningslinje for rapportering av sikkerhetshull det samme som et bug bounty-program?

Nei. Retningslinjer for rapportering av sikkerhetshull oppfordrer til å melde fra. Et bug bounty-program oppfordrer til å melde fra og betaler for det.

  • En retningslinje kan publiseres gratis og fungerer av seg selv.
  • Et bug bounty-program gir belønninger og drives ofte på en plattform som HackerOne eller Bugcrowd, i henhold til reglene plattformen fastsetter.

De fleste organisasjoner starter med en retningslinje og legger til belønninger senere.

Hva betyr «safe harbor» i en retningslinje for informasjonsplikt?

Safe harbor er deres løfte om at forskning som følger retningslinjene, er godkjent, og at dere ikke vil iverksette rettslige tiltak mot den.

  • Det omfatter det din organisasjon gjør.
  • Det hindrer ikke andre parter, for eksempel en hostingleverandør eller påtalemyndigheten, fra å handle.
  • Forskningen må følge retningslinjene: omfanget, testmetodene og reglene for offentliggjøring.

Sjekk ordlyden med en advokat før du publiserer den.

Hvor raskt bør vi svare på en melding?

Mange retningslinjer bekrefter at de har mottatt en rapport innen tre virkedager, slik det fremgår av CISA-malen.

  • Velg svarfrister som teamet ditt alltid kan overholde: manglende svar er den vanligste årsaken til at forskere publiserer for tidlig.
  • Det britiske PSTI-regimet ber deg om å offentliggjøre svarfristene dine, ikke om å overholde et fast antall dager.
  • En frist på 90 dager før detaljene offentliggjøres er vanlig.

Er verktøyet for å lage retningslinjer for offentliggjøring av sikkerhetsproblemer gratis?

Ja, verktøyet for å generere retningslinjer for offentliggjøring av sikkerhetsproblemer er gratis.

  • Generatoren krever ingen konto.
  • Generatoren oppretter også security.txt-filen.

Lag din egen policy med generatoren ovenfor.