Bezplatný nástroj

Bezplatný generátor zásad o zverejňovaní zraniteľností

Generátor vytvorí zásady zverejňovania zraniteľností, ktoré obsahujú rozsah pôsobnosti, podmienky bezpečného zverejnenia a lehoty na reakciu, ako aj súbor security.txt, ktorý na ne odkazuje výskumníkov.

Vytvorte si vlastnú poistnú zmluvu Generátor súboru security.txt
  • Zásady zverejňovania informácií
  • Bezpečné útočisko
  • súbor security.txt
  • Kontrolný zoznam pre publikovanie

Vytvorte si zásady týkajúce sa oznamovania zraniteľností.

Vykonajte 3 kroky a výsledky skopírujte v kroku 4.

Povedzte nám niečo o vašej organizácii

Stránka, na ktorej zverejníte zásady. Súbor security.txt na ňu odkazuje.

Jeden na riadok. Ak necháte riadok prázdny, bude sa to vzťahovať na vašu webovú stránku a jej subdomény.

Vyberte si, ako budú ľudia podávať hlásenia

Uveďte aspoň jeden spôsob nahlásenia. Súbor security.txt ich uvádza v tomto poradí.

Vaša stránka programu na platforme, ako je HackerOne, Bugcrowd, Intigriti alebo YesWeHack.

Menej ako rok od dnešného dňa. Aktualizujte súbor ešte pred týmto dátumom.

Odkaz na váš verejný kľúč, ktorý výskumníci používajú na šifrovanie svojich správ. Súbor obsahuje odkaz na kľúč, ale samotný kľúč v ňom nie je uložený.

Nastavte pravidlá

Odmeny
Nepovolené skúšobné metódy
security.txt

Súbor na príslušnej adrese na vašej webovej stránke a prehľad zásad.

Skopírujte súbor policy a security.txt

Pred zverejnením si text prečítajte. Nachádza sa pod vašimi odpoveďami uvedenými vyššie.

Zadajte názov vašej organizácie, aby ste si mohli prezrieť svoje zásady a súbor security.txt.

Generátor vytvára text na základe vašich odpovedí, normy RFC 9116 a bežných šablón zásad zverejňovania informácií, ako je napríklad šablóna od americkej Agentúry pre kyberbezpečnosť a bezpečnosť infraštruktúry (CISA). Nejedná sa o právne poradenstvo. Pred zverejnením si zásady preštudujte a formuláciu týkajúcu sa „safe harbor“ si nechajte skontrolovať právnikom: vzťahuje sa iba na činnosť vašej organizácie, nie na konanie iných strán alebo prokurátorov.

Kde zverejniť vaše zásady.

Výskumníci hľadajú stránku venovanú bezpečnosti, súbor security.txt alebo e-mail týkajúci sa bezpečnosti. Umiestnite zásady tam, kde ich budú hľadať, a postarajte sa, aby im niekto odpovedal.

  1. Samostatná stránka. Zverejnite zásady prostredníctvom krátkeho odkazu, napríklad /security alebo /vulnerability-disclosure-policy.

  2. Pätica vašej webovej stránky. Umiestnite odkaz na tieto zásady v pätici vedľa Zásad ochrany osobných údajov a Všeobecných obchodných podmienok.

  3. Súbor security.txt. Nahrajte tento súbor do adresára /.well-known/security.txt. Riadok „Policy“ v ňom obsahuje odkaz na túto stránku.

  4. Príjemná schránka pre hlásenia. Nastavte bezpečnostný e-mail a zabezpečte, aby ho niekto prečítal každý pracovný deň.

  5. Vaše produkty. V súlade so zákonom EÚ o kybernetickej odolnosti uveďte v informáciách pre používateľov každého produktu kontaktnú osobu a odkaz na zásady.

  6. Správa o testovaní. Pošlite správu o testovaní cez každú trasu, skontrolujte dobu odozvy a raz ročne prehodnoťte zásady.

Pravidlá

Čo sa vyžaduje podľa pravidiel.

V každom riadku je uvedený názov zákona, normy alebo vládnej smernice, jej platnosť a požiadavky, ktoré kladie na vašu politiku zverejňovania informácií.

Zákony a normy týkajúce sa zverejňovania zraniteľností, kedy sa ktoré uplatňujú a čo vyžadujú
Zákon alebo norma Kedy sa to uplatňuje Čo sa v ňom požaduje
RFC 9116 (security.txt) Akákoľvek webová stránka. Ide o dobrovoľný internetový štandard. Textový súbor v adresári /.well-known/security.txt, sprístupnený cez protokol HTTPS, obsahujúci aspoň jeden riadok „Contact“ a dátum vypršania platnosti („Expires“), ideálne v horizonte kratšom ako jeden rok.
Zákon EÚ o kybernetickej odolnosti (nariadenie (EÚ) 2024/2847) Výrobcovia softvéru a prepojených výrobkov predávaných v EÚ. Povinnosť podávať správy platí od 11. septembra 2026, ostatné požiadavky od 11. decembra 2027. Koordinovaná politika zverejňovania zraniteľností a kontaktná adresa na podávanie hlásení (príloha I, časť II), jediná kontaktná osoba uvedená v informáciách pre používateľov (príloha II) a hlásenia o aktívne zneužívaných zraniteľnostiach agentúre ENISA do 24 hodín.
Smernica NIS2 (EÚ) 2022/2555 Kľúčové a dôležité subjekty v EÚ, ako sú poskytovatelia cloudových služieb, hostingových služieb a digitálnej infraštruktúry. Riešenie a zverejňovanie zraniteľností ako súčasť bezpečnostných opatrení (článok 21). Národné tímy CSIRT koordinujú zverejňovanie informácií medzi výskumníkmi a spoločnosťami (článok 12).
Systém zabezpečenia produktov a telekomunikačnej infraštruktúry (PSTI) vo Veľkej Británii Výrobcovia spotrebných výrobkov s možnosťou pripojenia, ktoré sa predávajú vo Veľkej Británii, od 29. apríla 2024. Zverejnený postup na hlásenie bezpečnostných problémov a lehota, v rámci ktorej hlásitelia dostanú potvrdenie o prijatí a informácie o stave riešenia.
Záväzná prevádzková smernica CISA č. 20-01, USA Federálne civilné agentúry USA. Šablóna ich politiky slúži ako bežný vzor pre firmy. Zverejnená smernica, v ktorej sú uvedené príslušné systémy, postup podávania hlásení, záväzok nepodniknúť právne kroky v prípade výskumu vykonávaného v dobrej viere a potvrdenie prijatia hlásenia do 3 pracovných dní.
ISO/IEC 29147 a ISO/IEC 30111 Akákoľvek organizácia. Ide o medzinárodné normy, ktoré sa často vyžadujú pri bezpečnostných kontrolách. Ako prijímať hlásenia a zverejňovať upozornenia (29147) a ako potvrdzovať, riešiť a sledovať každé hlásenie vo vašej organizácii (30111).

Generátor zásad prijateľného používania

Vaše zásady prijateľného používania stanovujú pravidlá pre všetkých ostatných.

Generátor zásad prijateľného používania TermsFeed zakazuje skúmanie alebo testovanie vašej služby bez písomného povolenia a žiada používateľov, aby vám nahlásili zistené zraniteľnosti. Vaše zásady zverejňovania udeľujú toto povolenie výskumníkom, ktorí sa nimi riadia.

Vytvoriť zásady prijateľného používania

Najčastejšie kladené otázky.

Odpovede na bežné otázky týkajúce sa zásad oznamovania zraniteľností.

Čo je to politika zverejňovania zraniteľností?

Politika oznamovania zraniteľností stanovuje bezpečnostným výskumníkom, ako majú nahlásiť zraniteľnosť, ktorú objavia vo vašich systémoch, a ako budete s týmto hlásením ďalej postupovať.

Tieto zásady zvyčajne zahŕňajú nasledujúce body.

  • Systémy, na ktoré sa politika vzťahuje, a tie, na ktoré sa nevzťahuje.
  • Testovacie metódy, ktoré nie sú povolené, napríklad útoky typu „odmietnutie služby“ (DoS).
  • Ako nahlásiť zraniteľnosť a čo je potrebné uviesť.
  • Ako rýchlo odpoviete a kedy budú podrobnosti zverejnené.
  • Sľub, že nebudú podniknuté žiadne právne kroky proti výskumu vykonávanému v dobrej viere, známy ako „safe harbor“.

Potrebujem smernicu o oznamovaní zraniteľností?

Niektoré zákony to vyžadujú a každá webová stránka z toho má prospech.

  • Zákon EÚ o kybernetickej odolnosti vyžaduje od výrobcov softvéru a pripojených produktov predávaných v EÚ, aby od 11. decembra 2027 zaviedli koordinovanú politiku zverejňovania zraniteľností.
  • Britský režim PSTI vyžaduje od výrobcov pripojiteľných spotrebiteľských výrobkov, aby zverejnili postupy hlásenia bezpečnostných problémov.
  • Smernica EÚ NIS2 zaraďuje zverejňovanie zraniteľností medzi bezpečnostné opatrenia kľúčových a dôležitých subjektov.

Bez takejto politiky výskumník, ktorý zistí zraniteľnosť, nevie, komu to má oznámiť, a niekedy ju zverejní bez toho, aby vás o tom informoval.

Je politika zverejňovania zraniteľností to isté ako program odmeňovania za nájdenie chýb?

Nie. Zásady zverejňovania zraniteľností vyzývajú k podávaniu hlásení. Program odmeňovania za nájdenie chýb vyzýva k podávaniu hlásení a za ne vypláca odmenu.

  • Politiku možno zverejniť bezplatne a funguje sama o sebe.
  • Program odmeňovania za nájdenie chýb pridáva odmeny a často beží na platforme, ako je HackerOne alebo Bugcrowd, podľa pravidiel, ktoré táto platforma stanovuje.

Väčšina organizácií začína so zásadami a odmeny pridáva až neskôr.

Čo znamená pojem „safe harbor“ v zásadách zverejňovania informácií?

Safe harbor je váš prísľub, že výskum, ktorý je v súlade s touto politikou, je povolený a že proti nemu nepodniknete žiadne právne kroky.

  • Vzťahuje sa na činnosť vašej organizácie.
  • Nezabraňuje to však konaniu iných strán, ako sú napríklad poskytovatelia hostingových služieb alebo prokurátori.
  • Výskum musí byť v súlade s týmito zásadami: rozsah, testovacie metódy a pravidlá zverejňovania.

Pred zverejnením si nechajte znenie skontrolovať právnikom.

Ako rýchlo by sme mali reagovať na nahlásenie?

Mnohé smernice potvrdzujú, že správu prijali do 3 pracovných dní, tak ako je to uvedené v šablóne CISA.

  • Zvoľte si lehoty na odpoveď, ktoré váš tím vždy dodrží: zmeškaná odpoveď je najčastejším dôvodom, prečo výskumníci zverejňujú svoje zistenia skôr.
  • Britský režim PSTI od vás vyžaduje zverejnenie vašich lehôt na odpoveď, nie dodržanie stanoveného počtu dní.
  • Bežnou lehotou je 90 dní pred zverejnením podrobností.

Je generátor zásad zverejňovania zraniteľností zadarmo?

Áno, generátor zásad zverejňovania zraniteľností je zadarmo.

  • Generátor nevyžaduje žiadny účet.
  • Generátor tiež vytvorí súbor security.txt.

Vytvorte si svoje zásady pomocou vyššie uvedeného generátora.