Brezplačno orodje

Brezplačni generator pravilnika o razkritju ranljivosti

Generator pripravi politiko razkritja ranljivosti, ki vključuje obseg, določbe o varni obravnavi in odzivne čase, ter datoteko security.txt, ki raziskovalce usmerja k tej politiki.

Oblikujte svojo politiko Generator datoteke security.txt
  • Politika razkritja informacij
  • Varnostno pristanišče
  • datoteka security.txt
  • Seznam za preverjanje pred objavo

Oblikovajte svojo politiko o razkritju ranljivosti.

Opravite 3 korake in v 4. koraku prepišite rezultate.

Povejte nam kaj več o vaši organizaciji

Stran, na kateri boste objavili pravilnik. Datoteka security.txt vsebuje povezavo do te strani.

Eno na vrstico. Če polje pustite prazno, bo to veljalo za vašo spletno stran in njene poddomene.

Izberite, kako naj ljudje poročajo

Vnesite vsaj en način prijave. Datoteka security.txt jih navaja v tem vrstnem redu.

Vaša stran programa na platformi, kot je HackerOne, Bugcrowd, Intigriti ali YesWeHack.

Manj kot leto od danes. Datoteko posodobite pred tem datumom.

Povezava do vašega javnega ključa, ki ga raziskovalci uporabljajo za šifriranje svojih poročil. Datoteka vsebuje povezavo do ključa, samega ključa pa ne vsebuje.

Določite pravila

Nagrade
Preizkusne metode, ki niso dovoljene
security.txt

Datoteka na svojem naslovu na vaši spletni strani in pregled pravilnika.

Kopirajte datoteko policy in security.txt

Preberite besedilo, preden ga objavite. Sledi vašim odgovorom zgoraj.

Vnesite ime svoje organizacije, da si ogledate svojo politiko in datoteko security.txt.

Generator sestavi besedilo na podlagi vaših odgovorov, standarda RFC 9116 in običajnih predlog za politiko razkritja, kot je na primer tista, ki jo je pripravila ameriška Agencija za kibernetsko varnost in varnost infrastrukture (CISA). To ni pravno svetovanje. Pred objavo politiko preglejte in besedilo o varnem pristanu preverite pri odvetniku: zajema namreč le dejavnosti vaše organizacije, ne pa tudi dejavnosti drugih strank ali tožilcev.

Kje objaviti svoja pravila.

Raziskovalci iščejo stran o varnosti, datoteko security.txt ali e-poštno sporočilo o varnosti. Politiko objavite tam, kjer jo bodo iskali, in poskrbite, da bo nekdo odgovoril.

  1. Lastna stran. Objavite politiko prek kratke povezave, na primer /security ali /vulnerability-disclosure-policy.

  2. Spodnji del vaše spletne strani. V spodnjem delu strani vstavite povezavo do teh pravil, in sicer poleg vaše Politike zasebnosti in Splošnih pogojev.

  3. Datoteka security.txt. Datoteko naložite v mapo /.well-known/security.txt. V vrstici »Policy« je naveden povezava do strani.

  4. Prejemna mapa za poročila. Nastavite varnostni e-poštni naslov in poskrbite, da ga nekdo prebere vsak delovni dan.

  5. Vaši izdelki. V skladu z Zakonom EU o kibernetski odpornosti v informacijah za uporabnike vsakega izdelka navedite kontaktno osebo in povezavo do pravilnika.

  6. Poročilo o testiranju. Pošljite poročilo o testiranju po vsaki poti, preverite čas odziva in enkrat letno preglejte politiko.

Pravila

Kaj zahtevajo pravila.

V vsaki vrstici je naveden zakon, standard ali vladna direktiva, kdaj se uporablja ter kaj zahteva v zvezi z vašo politiko razkritja.

Zakonodaja in standardi za razkritje ranljivosti, kdaj se posamezni uporabljajo in kaj zahtevajo
Zakon ali standard Kdaj se uporablja Kaj se zahteva
RFC 9116 (security.txt) Katera koli spletna stran. Gre za prostovoljni internetni standard. Datoteka z navadnim besedilom v mapi /.well-known/security.txt, dostopna prek protokola HTTPS, ki vsebuje vsaj eno vrstico »Contact« in datum poteka veljavnosti, po možnosti manj kot eno leto v prihodnosti.
Zakon EU o kibernetski odpornosti (Uredba (EU) 2024/2847) Proizvajalci programske opreme in povezanih izdelkov, ki se prodajajo v EU. Obveznost poročanja velja od 11. septembra 2026, ostale zahteve pa od 11. decembra 2027. Usklajena politika razkritja ranljivosti in kontaktni naslov za prijave (Priloga I, del II), ena sama kontaktna točka, navedena v informacijah za uporabnike (Priloga II), ter prijave ranljivosti, ki se aktivno izkoriščajo, agenciji ENISA v roku 24 ur.
Direktiva NIS2 (EU) 2022/2555 Ključni in pomembni subjekti v EU, kot so ponudniki storitev v oblaku, gostovanja in digitalne infrastrukture. Obravnavanje in razkritje ranljivosti kot del varnostnih ukrepov (člen 21). Nacionalni CSIRT-i usklajujejo razkritje med raziskovalci in podjetji (člen 12).
Britanski sistem za varnost izdelkov in telekomunikacijsko infrastrukturo (PSTI) Proizvajalci povezanih potrošniških izdelkov, ki se prodajajo v Združenem kraljestvu od 29. aprila 2024. Javno objavljen postopek za prijavo varnostnih težav ter rok, v katerem prijavitelji prejmejo potrditev prejema in obvestila o stanju zadeve.
Zavezujoča operativna direktiva CISA 20-01, ZDA Zvezne civilne agencije ZDA. Njena predloga politike je splošni vzorec za podjetja. Objavljena politika, ki zajema zadevne sisteme, navodila za poročanje, zavezo, da se ne bodo sprožali pravni postopki zaradi raziskav, opravljenih v dobri veri, ter potrditev prejema poročil v roku 3 delovnih dni.
ISO/IEC 29147 in ISO/IEC 30111 Katera koli organizacija. Gre za mednarodne standarde, ki se pogosto zahtevajo v okviru varnostnih pregledov. Kako prejemati poročila in objavljati obvestila (29147) ter kako potrditi, odpraviti in spremljati vsako poročilo znotraj vaše organizacije (30111).

Orodje za pripravo pravilnika o sprejemljivi rabi

Vaša politika sprejemljive rabe določa pravila za vse ostale.

Generator pravilnikov o sprejemljivi rabi TermsFeed prepoveduje preizkušanje ali testiranje vaše storitve brez pisnega dovoljenja ter uporabnike poziva, naj vam prijavijo ranljivosti. Vaš pravilnik o razkritju to dovoljenje podeljuje raziskovalcem, ki ga upoštevajo.

Ustvarjanje pravilnika o sprejemljivi rabi

Pogosta vprašanja.

Odgovori na pogosta vprašanja o pravilih za prijavo ranljivosti.

Kaj je politika razkritja ranljivosti?

Politika obveščanja o ranljivostih varnostnim raziskovalcem pojasnjuje, kako naj poročajo o ranljivostih, ki jih odkrijejo v vaših sistemih, in kako boste vi ravnali s tem poročilom.

Politika običajno zajema naslednje.

  • Sisteme, ki so vključeni v obseg politike, in tiste, ki niso.
  • Testne metode, ki niso dovoljene, kot je na primer napad z zavrnitvijo storitve.
  • Kako poročati in kaj vključiti v poročilo.
  • Kako hitro odgovorite in kdaj se podrobnosti objavijo javno.
  • Zavezo, da ne bodo sprožili pravnih ukrepov proti raziskavam v dobri veri, znano kot »safe harbor«.

Ali potrebujem politiko o razkritju ranljivosti?

Nekateri zakoni to zahtevajo, vsaka spletna stran pa ima od tega koristi.

  • Zakon EU o kibernetski odpornosti od proizvajalcev programske opreme in povezanih izdelkov, ki se prodajajo v EU, zahteva usklajeno politiko razkritja ranljivosti, in sicer od 11. decembra 2027.
  • Britanski sistem PSTI od proizvajalcev povezanih potrošniških izdelkov zahteva, da objavijo navodila za poročanje o varnostnih težavah.
  • Direktiva EU NIS2 uvršča razkritje ranljivosti med varnostne ukrepe ključnih in pomembnih subjektov.

Brez takšne politike raziskovalec, ki odkrije ranljivost, ne ve, komu naj to sporoči, in jo včasih objavi, ne da bi vas o tem obvestil.

Ali je politika razkritja ranljivosti enaka programu nagrajevanja za odkritje napak?

Ne. Politika razkritja ranljivosti spodbuja poročanje. Program nagrajevanja za odkritje napak spodbuja poročanje in za to tudi plača.

  • Politiko je mogoče objaviti brezplačno in deluje samostojno.
  • Program nagrajevanja za odkritje napak dodaja nagrade in pogosto poteka na platformah, kot sta HackerOne ali Bugcrowd, v skladu s pravili, ki jih določi platforma.

Večina organizacij začne s politiko in nagrade doda kasneje.

Kaj pomeni izraz »safe harbor« v politiki razkritja podatkov?

Safe harbor je vaša zagotovitev, da so raziskave, ki upoštevajo to politiko, odobrene in da proti njim ne boste sprožili nobenih pravnih ukrepov.

  • Zajema dejavnosti vaše organizacije.
  • Ne preprečuje ukrepanja drugih strani, kot so ponudniki gostovanja ali tožilci.
  • Raziskava mora upoštevati politiko: obseg, testne metode in pravila razkritja.

Preden jo objavite, besedilo preverite pri odvetniku.

Kako hitro naj odgovorimo na prijavo?

Mnoge politike potrjujejo, da so prejele poročilo v roku 3 delovnih dni, kot je navedeno v predlogi agencije CISA.

  • Izberite odzivne čase, ki jih vaša ekipa vedno upošteva: zamujeno odgovor je najpogostejši razlog, da raziskovalci objavijo rezultate predčasno.
  • Britanski sistem PSTI od vas zahteva, da objavite svoje roke za odgovor, ne pa da upoštevate določeno število dni.
  • Običajen rok je 90 dni, preden se podrobnosti objavijo javno.

Ali je generator pravilnika o razkritju ranljivosti brezplačen?

Da, generator pravilnika o razkritju ranljivosti je brezplačen.

  • Za uporabo generatorja ni potreben račun.
  • Generator ustvari tudi datoteko security.txt.

Sestavite svojo politiko z zgornjim generatorjem.