Bezpłatne narzędzie

Bezpłatny generator polityki ujawniania luk w zabezpieczeniach

Generator tworzy politykę ujawniania luk w zabezpieczeniach, określającą zakres, zasady „bezpiecznej przystani” i czasy reakcji, a także plik security.txt, który kieruje badaczy do tej polityki.

Stwórz swoją polisę Generator pliku security.txt
  • Polityka ujawniania informacji
  • Zasada „bezpiecznej przystani”
  • plik security.txt
  • Lista kontrolna dotycząca publikacji

Opracuj politykę dotyczącą ujawniania luk w zabezpieczeniach.

Wykonaj 3 kroki i skopiuj wyniki w kroku 4.

Opowiedz nam o swojej organizacji

Strona, na której opublikujesz zasady. Plik security.txt zawiera odnośnik do tej strony.

Jedno na wiersz. Pozostaw puste, aby objąć swoją witrynę i jej subdomeny.

Wybierz sposób zgłaszania problemów

Wprowadź co najmniej jeden sposób zgłaszania. Plik security.txt zawiera ich listę w tej kolejności.

Twoja strona programu na platformie takiej jak HackerOne, Bugcrowd, Intigriti lub YesWeHack.

Zostało mniej niż rok od dzisiaj. Zaktualizuj plik przed tą datą.

Link do Twojego klucza publicznego, którego badacze używają do szyfrowania swoich raportów. Plik zawiera link do klucza, ale sam go nie przechowuje.

Ustal zasady

Nagrody
Metody badawcze, które są niedozwolone
security.txt

Plik pod tym adresem na Państwa stronie internetowej oraz krótkie omówienie zasad.

Skopiuj plik policy oraz security.txt

Przed opublikowaniem tekstu sprawdź go. Znajduje się on poniżej twoich odpowiedzi.

Wpisz nazwę swojej organizacji, aby wyświetlić swoją politykę i plik security.txt.

Generator tworzy tekst na podstawie Twoich odpowiedzi, normy RFC 9116 oraz popularnych szablonów polityk ujawniania informacji, takich jak ten opracowany przez amerykańską Agencję ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA). Nie stanowi to porady prawnej. Przed opublikowaniem polityki należy ją przejrzeć, a sformułowania dotyczące zasady „bezpiecznej przystani” skonsultować z prawnikiem: obejmują one wyłącznie działania Twojej organizacji, a nie działania innych stron lub organów ścigania.

Gdzie opublikować swoją politykę.

Badacze szukają strony poświęconej bezpieczeństwu, pliku security.txt lub wiadomości e-mail dotyczącej bezpieczeństwa. Umieść zasady w miejscu, w którym będą ich szukać, i zadbaj o to, by ktoś udzielił odpowiedzi.

  1. Osobna strona. Opublikuj politykę pod krótkim linkiem, np. /security lub /vulnerability-disclosure-policy.

  2. Stopka Twojej strony internetowej. Umieść link do tej polityki w stopce, obok Polityki prywatności i Warunków korzystania z serwisu.

  3. Plik security.txt. Prześlij plik do katalogu /.well-known/security.txt. Wiersz „Policy” zawiera link do tej strony.

  4. Skrzynka odbiorcza zgłoszeń. Skonfiguruj adres e-mail służący do zgłaszania problemów i upewnij się, że ktoś sprawdza go każdego dnia roboczego.

  5. Wasze produkty. Zgodnie z unijną ustawą o cyberodporności należy podać dane osoby kontaktowej oraz link do polityki w sekcji informacji dla użytkownika każdego produktu.

  6. Raport z testów. Należy przesłać raport z testów każdą trasą, sprawdzić czas odpowiedzi oraz raz w roku dokonać przeglądu zasad.

Zasady

Czego wymagają przepisy.

W każdym wierszu podano nazwę ustawy, normy lub wytycznej rządowej, zakres jej zastosowania oraz wymagania dotyczące polityki ujawniania informacji.

Przepisy i standardy dotyczące ujawniania luk w zabezpieczeniach, kiedy mają zastosowanie oraz jakie wymagania zawierają
Przepis prawny lub norma Kiedy ma to zastosowanie O co w tym chodzi
RFC 9116 (security.txt) Dowolna strona internetowa. Jest to dobrowolny standard internetowy. Plik tekstowy w lokalizacji /.well-known/security.txt, udostępniany przez protokół HTTPS, zawierający co najmniej jedną linię „Contact” oraz datę wygaśnięcia, najlepiej nie późniejszą niż za rok.
Unijna ustawa o cyberodporności (rozporządzenie (UE) 2024/2847) Producenci oprogramowania i produktów połączonych z internetem sprzedawanych w UE. Obowiązek składania sprawozdań zaczyna obowiązywać od 11 września 2026 r., a pozostałe wymogi – od 11 grudnia 2027 r. Skoordynowana polityka ujawniania luk w zabezpieczeniach oraz adres kontaktowy do zgłaszania takich luk (załącznik I, część II), wyznaczony w informacjach dla użytkowników pojedynczy punkt kontaktowy (załącznik II) oraz zgłaszanie do agencji ENISA w ciągu 24 godzin informacji o lukach w zabezpieczeniach, które są aktywnie wykorzystywane.
Dyrektywa NIS2 (UE) 2022/2555 Kluczowe i istotne podmioty w UE, takie jak dostawcy usług w chmurze, usług hostingowych oraz infrastruktury cyfrowej. Postępowanie z lukami w zabezpieczeniach i ich ujawnianie w ramach środków bezpieczeństwa (art. 21). Krajowe zespoły CSIRT koordynują proces ujawniania informacji między badaczami a przedsiębiorstwami (art. 12).
Brytyjski system bezpieczeństwa produktów i infrastruktury telekomunikacyjnej (PSTI) Producenci produktów konsumenckich z funkcją łączności, sprzedawanych w Wielkiej Brytanii od 29 kwietnia 2024 r. Opisana procedura zgłaszania problemów związanych z bezpieczeństwem oraz termin, w którym zgłaszający otrzymują potwierdzenie odbioru i informacje o statusie zgłoszenia.
Wiążąca dyrektywa operacyjna CISA nr 20-01, USA Federalne agencje cywilne w Stanach Zjednoczonych. Ich wzór polityki stanowi powszechnie stosowany model dla przedsiębiorstw. Opublikowana polityka określająca zakres objętych nią systemów, sposób zgłaszania incydentów, zobowiązanie do niepodejmowania działań prawnych w przypadku badań prowadzonych w dobrej wierze oraz potwierdzenie otrzymania zgłoszenia w ciągu 3 dni roboczych.
ISO/IEC 29147 i ISO/IEC 30111 Każda organizacja. Są to normy międzynarodowe, o których spełnienie często prosi się podczas audytów bezpieczeństwa. Jak przyjmować zgłoszenia i publikować komunikaty (29147) oraz jak weryfikować, usuwać i śledzić poszczególne zgłoszenia w ramach organizacji (30111).

Generator zasad dopuszczalnego użytkowania

Twoja Polityka dopuszczalnego użytkowania określa zasady obowiązujące wszystkich pozostałych użytkowników.

Generator zasad dopuszczalnego użytkowania serwisu TermsFeed zabrania przeprowadzania testów lub analizy Twojej usługi bez pisemnej zgody oraz prosi użytkowników o zgłaszanie Ci luk w zabezpieczeniach. Twoja polityka ujawniania informacji udziela takiego zezwolenia badaczom, którzy się do niej stosują.

Wygeneruj zasady dopuszczalnego użytkowania

Najczęściej zadawane pytania.

Odpowiedzi na najczęściej zadawane pytania dotyczące zasad ujawniania luk w zabezpieczeniach.

Czym jest polityka ujawniania luk w zabezpieczeniach?

Polityka ujawniania luk w zabezpieczeniach określa, w jaki sposób badacze zajmujący się bezpieczeństwem powinni zgłaszać wykryte w systemach luki oraz jakie działania zostaną podjęte w związku z takim zgłoszeniem.

Polityka zazwyczaj obejmuje następujące kwestie.

  • Systemy objęte polityką oraz te, które nie są nią objęte.
  • Metody testowania, które są niedozwolone, takie jak ataki typu „odmowa usługi” (DoS).
  • Sposób zgłaszania oraz informacje, które należy zawrzeć w zgłoszeniu.
  • Jak szybko udzielacie odpowiedzi oraz kiedy szczegóły zostaną upublicznione.
  • Zobowiązanie do niepodejmowania działań prawnych wobec badań prowadzonych w dobrej wierze, znane jako „bezpieczna przystań”.

Czy potrzebuję polityki dotyczącej ujawniania luk w zabezpieczeniach?

Niektóre przepisy tego wymagają, a każda strona internetowa czerpie z tego korzyści.

  • Unijna ustawa o cyberodporności nakłada na producentów oprogramowania i produktów podłączonych do sieci sprzedawanych w UE obowiązek wprowadzenia skoordynowanej polityki ujawniania luk w zabezpieczeniach, począwszy od 11 grudnia 2027 r.
  • Brytyjski system PSTI nakłada na producentów produktów konsumenckich z możliwością podłączenia do sieci obowiązek opublikowania informacji o tym, w jaki sposób zgłaszać problemy związane z bezpieczeństwem.
  • Dyrektywa UE NIS2 zalicza ujawnianie luk w zabezpieczeniach do środków bezpieczeństwa stosowanych przez podmioty o znaczeniu krytycznym i ważnych.

Bez takiej polityki badacz, który wykryje lukę w zabezpieczeniach, nie wie, komu o tym poinformować, i czasami ujawnia ją publicznie bez uprzedzenia.

Czy polityka ujawniania luk w zabezpieczeniach to to samo, co program nagród za wykrycie błędów?

Nie. Polityka ujawniania luk w zabezpieczeniach zachęca do zgłaszania problemów. Program nagród za wykrycie błędów zachęca do zgłaszania problemów i zapewnia za to wynagrodzenie.

  • Politykę można opublikować bezpłatnie i działa ona samodzielnie.
  • Program nagród za wykrycie błędów przewiduje nagrody i często jest realizowany na platformach takich jak HackerOne lub Bugcrowd, zgodnie z zasadami ustalonymi przez daną platformę.

Większość organizacji zaczyna od polityki, a nagrody wprowadza w późniejszym czasie.

Co oznacza pojęcie „safe harbor” w polityce ujawniania informacji?

Zasada bezpiecznej przystani oznacza, że gwarantujesz, iż badania zgodne z niniejszą polityką są dozwolone i że nie podejmiesz żadnych działań prawnych w związku z nimi.

  • Obejmuje to działania Twojej organizacji.
  • Nie uniemożliwia to jednak podjęcia działań przez inne podmioty, takie jak dostawca usług hostingowych czy prokuratura.
  • Badania muszą być zgodne z niniejszą polityką: co do zakresu, metod testowania oraz zasad ujawniania wyników.

Przed opublikowaniem treści skonsultuj jej brzmienie z prawnikiem.

Jak szybko powinniśmy odpowiedzieć na zgłoszenie?

Wiele polityk potwierdza, że otrzymano zgłoszenie w ciągu 3 dni roboczych, zgodnie z szablonem CISA.

  • Wybierz czasy odpowiedzi, które Twój zespół jest w stanie dotrzymać za każdym razem: brak odpowiedzi jest najczęstszą przyczyną przedwczesnej publikacji przez badaczy.
  • Brytyjski system PSTI wymaga opublikowania przez Państwa własnych terminów udzielenia odpowiedzi, a nie przestrzegania ustalonej liczby dni.
  • Powszechnie stosowanym terminem jest 90 dni przed upublicznieniem szczegółów.

Czy generator zasad ujawniania luk w zabezpieczeniach jest bezpłatny?

Tak, generator polityki ujawniania luk w zabezpieczeniach jest bezpłatny.

  • Generator nie wymaga zakładania konta.
  • Generator tworzy również plik security.txt.

Stwórz swoją politykę za pomocą powyższego generatora.