Ansvarlig offentliggørelse

Ansvarlig Disclosure henviser til den bedste praksis, som de fleste sikkerhedsforskere følger, nemlig ikke at afsløre en kritisk sårbarhed i et softwareprodukt, indtil en leverandørpatch eller -fix er gjort let tilgængelig. Dette kommer ofte i spil, når teams som f.eks. Googles Projekt Zero, et team oprettet for at opdage og rette sikkerhedshuller, opdage en sårbarhed og ikke videregive oplysningerne til offentligheden. Grunden til, at sikkerhedsanalytikere og -forskere ikke kan dele oplysningerne offentligt, er, at hackere og cyberkriminelle er ofte meget hurtigere til at angribe og udnytte den annoncerede sårbarhed, end leverandører kan producere en patch, og kunder kan implementere den patch for at beskytte sig selv og deres netværk, data og systemer. Derfor kaldes dette ansvarlig offentliggørelse og betragtes som bedste praksis, selvom der ikke findes love, der tvinger sikkerhedsforskere til at følge dette. 

Relaterede vilkår: Bug Bounty-programmer,Sårbarhed, Zero Day-sårbarhed

Relateret læsning: Udfordringerne ved cyberforskning og afsløring af sårbarheder for forbundne sundhedsudstyr

Kilde: CSO Online

Bør SMV'er være bekendt med ansvarlig offentliggørelse?

Ja. Mange SMV'er udvikler software til online distribution og brug. Som ejer af en SMV bør du overveje at annoncere en Bug Bounty-program for dit produkt, der opfordrer til “ansvarlig afsløring" af sikkerhedsforskere. Dette er et lille økonomisk incitament for folk, der finder en kritisk fejl i din software, til at bringe den til dig i stedet for at sælge den på det mørke eller dybe web.

For det andet bør SMB'er have en proces til håndtering af sårbarheder (også kendt som VAMP), der beskriver tidsfristerne for at rette kritiske sårbarheder i den software og hardware, du bruger til at drive din virksomhed. For fejl af alvorlighedsgrad 1, der eksternt kan kompromittere dit netværk, data eller systemer, skal du rette dem hurtigst muligt.

CyberHoot har en VAMP-proces, der hjælper SMB'er med at udvikle deres egne bedste praksisser vedrørende zero-day-sårbarheder, patching og ansvarlig afsløring.

For mere information om ansvarlig offentliggørelse af sårbarheder hos hardware- og softwareleverandører, se venligst denne video:

https://youtube.com/watch?v=t5UKO4jjevw

Gør du nok for at beskytte din virksomhed?

Tilmeld dig CyberHoot i dag og sov bedre med din viden om din

Medarbejderne er cybertrænede og på vagt!

Tilmeld dig i dag!