Gratis verktyg

Gratis verktyg för att skapa riktlinjer för rapportering av säkerhetsbrister

Generatorn skapar en policy för offentliggörande av sårbarheter som anger tillämpningsområde, undantagsbestämmelser och svarstider, samt filen security.txt som hänvisar forskare till den.

Skapa din försäkring security.txt-generator
  • Informationspolicy
  • Safe Harbor
  • filen security.txt
  • Checklista för publicering

Utarbeta en policy för rapportering av sårbarheter.

Följ de tre stegen och kopiera resultaten i steg 4.

Berätta om er organisation

Sidan där du publicerar policyn. Filen security.txt länkar till den.

En per rad. Lämna fältet tomt om du vill inkludera din webbplats och dess underdomäner.

Välj hur användarna ska rapportera

Ange minst ett sätt att rapportera på. Filen security.txt listar dem i denna ordning.

Er programsida på en plattform som HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre än ett år från och med idag. Uppdatera filen innan detta datum.

En länk till din publika nyckel, som forskarna använder för att kryptera sina rapporter. Filen innehåller en länk till nyckeln, men lagrar inte själva nyckeln.

Fastställ reglerna

Belöningar
Testmetoder som inte är tillåtna
security.txt

Filen finns på sin adress på er webbplats, och här får ni en översikt över policyn.

Kopiera din policy och filen security.txt

Läs igenom texten innan du publicerar den. Den följer efter dina svar ovan.

Ange namnet på din organisation för att se din policy och filen security.txt.

Generatorn skapar text utifrån dina svar, RFC 9116 och vanliga mallar för informationspolicyer, till exempel den från den amerikanska myndigheten för cybersäkerhet och infrastruktursäkerhet (CISA). Detta utgör inte juridisk rådgivning. Granska policyn innan du publicerar den och kontrollera formuleringen av safe harbor-klausulen med en jurist: den täcker endast vad din organisation gör, inte vad andra parter eller åklagare gör.

Var ska du publicera din policy?

Forskare letar efter en säkerhetssida, en security.txt-fil eller ett säkerhetsmeddelande via e-post. Placera riktlinjerna där de letar och se till att någon svarar.

  1. En egen sida. Publicera policyn via en kort länk, till exempel /security eller /vulnerability-disclosure-policy.

  2. Sidfoten på din webbplats. Lägg in en länk till policyn i sidfoten, bredvid din integritetspolicy och dina användarvillkor.

  3. Filen security.txt. Ladda upp filen till /.well-known/security.txt. Raden ”Policy” i filen innehåller en länk till sidan.

  4. Inkorgen för rapportering. Konfigurera säkerhetsmejlet och se till att någon läser det varje arbetsdag.

  5. Dina produkter. Enligt EU:s lag om cyberresiliens ska du ange kontaktuppgifter och länken till policyn i användarinformationen för varje produkt.

  6. En testrapport. Skicka en testrapport via varje rutt, kontrollera svarstiden och se över riktlinjerna en gång om året.

Reglerna

Vad reglerna kräver.

I varje rad anges en lag, en standard eller ett myndighetsdirektiv, när det är tillämpligt, samt vilka krav det ställer på er informationspolicy.

Lagar och standarder för rapportering av sårbarheter, när de är tillämpliga och vad de kräver
Lag eller standard När det gäller Vad frågan handlar om
RFC 9116 (security.txt) Vilken webbplats som helst. Det är en frivillig internetstandard. En vanlig textfil i katalogen /.well-known/security.txt, som tillhandahålls via HTTPS, med minst en rad med kontaktuppgifter och ett utgångsdatum, helst mindre än ett år framåt i tiden.
EU:s lag om cyberresiliens (förordning (EU) 2024/2847) Tillverkare av programvara och uppkopplade produkter som säljs inom EU. Rapporteringsskyldigheten gäller från och med den 11 september 2026, medan övriga krav gäller från och med den 11 december 2027. En samordnad policy för rapportering av sårbarheter och en kontaktadress för anmälningar (bilaga I, del II), en enda kontaktperson som anges i användarinformationen (bilaga II) samt anmälningar till ENISA om sårbarheter som aktivt utnyttjas inom 24 timmar.
NIS2-direktivet (EU) 2022/2555 Viktiga och betydelsefulla aktörer inom EU, såsom leverantörer av molntjänster, webbhotell och digital infrastruktur. Hantering och offentliggörande av sårbarheter som en del av säkerhetsåtgärderna (artikel 21). Nationella CSIRT-enheter samordnar informationsutbytet mellan forskare och företag (artikel 12).
Det brittiska systemet för produktsäkerhet och telekommunikationsinfrastruktur (PSTI) Tillverkare av uppkopplingsbara konsumentprodukter som säljs i Storbritannien sedan den 29 april 2024. Ett offentliggjort förfarande för att rapportera säkerhetsproblem, samt inom vilken tid den som rapporterar får en bekräftelse och statusuppdateringar.
CISA:s bindande operativa direktiv 20-01, USA Amerikanska federala civila myndigheter. Dess policymall utgör en vanlig förebild för företag. En offentliggjord policy som anger vilka system som omfattas, hur man anmäler, ett åtagande att inte vidta rättsliga åtgärder mot forskning som bedrivs i god tro samt ett bekräftelsemeddelande om mottagna anmälningar inom tre arbetsdagar.
ISO/IEC 29147 och ISO/IEC 30111 Vilken organisation som helst. Det är internationella standarder som ofta efterfrågas vid säkerhetsgranskningar. Hur man tar emot rapporter och publicerar varningar (29147), samt hur man bekräftar, åtgärdar och följer upp varje rapport inom organisationen (30111).

Verktyg för att skapa riktlinjer för godtagbar användning

Er policy för godtagbar användning fastställer reglerna för alla andra.

TermsFeeds verktyg för att skapa riktlinjer för godtagbar användning förbjuder sondering eller testning av din tjänst utan skriftligt tillstånd och uppmanar användare att rapportera sårbarheter till dig. Din policy för informationsdelning ger detta tillstånd till forskare som följer den.

Skapa riktlinjer för godtagbar användning

Vanliga frågor.

Svar på vanliga frågor om riktlinjerna för rapportering av sårbarheter.

Vad är en policy för rapportering av säkerhetsbrister?

En policy för rapportering av säkerhetsbrister anger för säkerhetsforskare hur de ska rapportera en säkerhetsbrist som de upptäcker i era system, samt hur ni kommer att hantera rapporten.

En policy omfattar vanligtvis följande.

  • Vilka system som omfattas av policyn och vilka som inte gör det.
  • De testmetoder som inte är tillåtna, till exempel överbelastningsattacker (denial of service).
  • Hur man rapporterar och vad som ska ingå i rapporten.
  • Hur snabbt ni svarar och när detaljerna offentliggörs.
  • Ett löfte om att inte vidta rättsliga åtgärder mot forskning som bedrivs i god tro, så kallad safe harbor.

Behöver jag en policy för rapportering av säkerhetsbrister?

Vissa lagar kräver en sådan, och alla webbplatser har nytta av en.

  • EU:s lag om cyberresiliens kräver att tillverkare av programvara och uppkopplade produkter som säljs inom EU inför en samordnad policy för rapportering av sårbarheter från och med den 11 december 2027.
  • Det brittiska PSTI-systemet kräver att tillverkare av uppkopplingsbara konsumentprodukter offentliggör hur säkerhetsproblem ska rapporteras.
  • EU:s NIS2-direktiv räknar offentliggörande av sårbarheter som en av säkerhetsåtgärderna för väsentliga och viktiga enheter.

Utan en sådan policy vet en forskare som upptäcker en sårbarhet inte vem hen ska vända sig till, och ibland offentliggör hen den utan att informera er.

Är en policy för rapportering av säkerhetsbrister samma sak som ett bug bounty-program?

Nej. En policy för rapportering av sårbarheter uppmuntrar till rapporter. Ett bug bounty-program uppmuntrar till rapporter och betalar för dem.

  • En policy kan publiceras kostnadsfritt och fungerar på egen hand.
  • Ett bug bounty-program lägger till belöningar och drivs ofta på en plattform som HackerOne eller Bugcrowd, enligt de regler som plattformen fastställer.

De flesta organisationer börjar med en policy och lägger till belöningar senare.

Vad innebär begreppet ”safe harbor” i en informationspolicy?

”Safe harbor” innebär att ni garanterar att forskning som följer riktlinjerna är godkänd och att ni inte kommer att vidta några rättsliga åtgärder mot den.

  • Det omfattar vad din organisation gör.
  • Det hindrar inte andra parter, såsom en webbhotellleverantör eller åklagare, från att agera.
  • Forskningen måste följa riktlinjerna: omfattningen, testmetoderna och reglerna för offentliggörande.

Kontrollera formuleringen med en jurist innan du publicerar den.

Hur snabbt ska vi svara på en anmälan?

Många riktlinjer anger att man bekräftar mottagandet av en anmälan inom tre arbetsdagar, precis som i CISA:s mall.

  • Välj svarstider som ditt team kan uppfylla varje gång: ett uteblivet svar är den vanligaste orsaken till att forskare publicerar sina resultat i förtid.
  • Det brittiska PSTI-systemet kräver att du offentliggör dina svarstider, inte att du håller dig till ett fast antal dagar.
  • En tidsfrist på 90 dagar innan uppgifterna offentliggörs är vanligt.

Är verktyget för att skapa riktlinjer för rapportering av säkerhetsbrister gratis?

Ja, verktyget för att skapa en policy för rapportering av sårbarheter är gratis.

  • Generatorn kräver inget konto.
  • Generatorn skapar även filen security.txt.

Skapa din policy med hjälp av generatorn ovan.