Verantwoordelijke openbaarmaking

24 februari 2020 | cyber

Verantwoordelijk openbaring verwijst naar de beste praktijk die door de meeste beveiligingsonderzoekers wordt gevolgd, namelijk het niet openbaar maken van een kritieke kwetsbaarheid in een softwareproduct totdat een patch of fix van de leverancier direct beschikbaar is. Dit speelt vaak een rol wanneer teams zoals Project Zero van Google, een team dat is opgericht om beveiligingslekken te ontdekken en te verhelpen, een kwetsbaarheid te ontdekken en de informatie niet openbaar te maken. De reden dat de beveiligingsanalisten en onderzoekers de informatie niet openbaar kunnen maken, is dat Hackers en cybercriminelen zijn vaak veel sneller in staat om de aangekondigde kwetsbaarheid aan te vallen en te misbruiken dan leveranciers een patch kunnen produceren, en klanten kunnen die patch implementeren om zichzelf en hun netwerken, gegevens en systemen te beschermen. Daarom wordt dit Responsible Disclosure genoemd en wordt het beschouwd als een best practice, hoewel er geen wetgeving bestaat die beveiligingsonderzoekers verplicht dit te volgen.

Gerelateerde termen: Bug Bounty-programma's,Kwetsbaarheid, Zero Day-kwetsbaarheid

Gerelateerd lezen: De uitdagingen van cyberonderzoek en het openbaar maken van kwetsbaarheden voor verbonden zorgapparaten

Bron: CSO online

Moeten MKB'ers bekend zijn met Responsible Disclosure?

Ja. Veel MKB-bedrijven ontwikkelen software voor online distributie en gebruik. Als eigenaar van een MKB-bedrijf kunt u overwegen om reclame te maken voor een Bug Bounty-programma voor uw product dat ““verantwoordelijke openbaarmaking” door beveiligingsonderzoekers. Dit is een kleine financiële stimulans voor mensen die een kritieke fout in uw software vinden, om deze naar u te brengen in plaats van deze te verkopen op het dark web of deep web.

Ten tweede zouden MKB's een Vulnerability Alert Management Process (ook bekend als: VAMP) moeten hebben dat de tijdlijnen beschrijft voor het oplossen van kritieke kwetsbaarheden in de software en hardware die u gebruikt om uw bedrijf te runnen. Bij bugs van ernstgraad 1 die uw netwerk, gegevens of systemen op afstand in gevaar kunnen brengen, moet u zo snel mogelijk een patch uitvoeren.

CyberHoot hanteert een VAMP-proces waarmee MKB's hun eigen best practices kunnen ontwikkelen met betrekking tot Zero-Day-kwetsbaarheden, patching en verantwoorde openbaarmaking.