Julkinen kanava ja toimiva prosessi ulkopuolelta tuleville haavoittuvuusraporteille: käytäntö, security.txt, vastaanotto, käsittely ja koordinoitu julkistaminen.
Ennemmin tai myöhemmin joku yrityksen ulkopuolinen löytää tuotteestasi haavoittuvuuden. Se, mitä sen jälkeen tapahtuu, riippuu siitä, löytääkö hän osoitteen, johon kirjoittaa, ja vastaako kukaan. Jos kanavaa ei ole, raportti päätyy asiakastuen postilaatikkoon, sosiaaliseen mediaan tai ei minnekään.
Ilmoitusohjelma on vähimmäistaso: julkaistu käytäntö, joka kertoo, miten raportoidaan ja mitä raportoija voi odottaa, postilaatikko, jota luetaan, ja prosessi, joka vie raportin vastaanotosta korjaukseen. Se ei maksa palkkioita eikä tarvitse alustaa. EU:n kyberresilienssisäädös tekee koordinoidun julkistamisen käytännöstä pakollisen digitaalisia elementtejä sisältävien tuotteiden valmistajille: aktiivisesti hyödynnettyjen haavoittuvuuksien ilmoittamista sovelletaan 11. syyskuuta 2026 alkaen ja kaikkia velvoitteita 11. joulukuuta 2027 alkaen.
Sisäinen käsittely ISO/IEC 30111:n mukaisesti: vastuut, määräajat, eskalointi
Viestintä raportoijien kanssa ja koordinoitu julkistaminen
Tietoturvatiedotteet ja CVE-tunnisteet tuotteidesi haavoittuvuuksille
Kyberresilienssisäädöksen ja NIS2:n mukaiset ilmoitusvelvollisuudet, jos niitä sovelletaan
02Toimintatapa
Miten työ tehdään
01
Käytäntö
Laadimme käytännön yhdessä lakiasiain tiimisi kanssa. Safe harbour -lauseke noudattaa tutkijayhteisön tunnustamaa tekstiä, jonka juristisi sovittavat oikeusjärjestykseesi.
02
Kanava
Vastaanottokanava ja security.txt otetaan käyttöön ja testataan ulkopuolelta samalla tavalla kuin tutkija ne löytäisi.
03
Prosessi
Roolit, määräajat ja eskalointi kirjataan ja harjoitellaan testiraportilla, ennen kuin käytäntö julkaistaan.
Joku on lähettänyt meille haavoittuvuusraportin ja pyytää rahaa. Mitä teemme?
Älä maksa painostuksen alla äläkä uhkaile. Kuittaa vastaanotto, pyydä tekniset yksityiskohdat ja tarkista väite. Useimmat pyytämättä lähetetyt raportit tulevat vilpittömässä mielessä toimivilta tutkijoilta, osa on automaattista kohinaa ja muutama on kiristystä. Tarkistamme raportin, arvioimme sen vakavuuden ja autamme sinua vastaamaan; pyydä tätä palvelua tämän sivuston lomakkeella ja mainitse, että raportti odottaa vastausta.
Mitä eroa on ilmoitusohjelmalla ja bug bountylla?
Ilmoitusohjelma vastaanottaa raportteja ja lupaa reilun kohtelun. Bug bounty lisää siihen maksun ja kutsuu siten aktiiviseen etsintään. Ensimmäinen on perustaso jokaiselle yritykselle, jolla on tuote verkossa, jälkimmäinen on päätös budjetista ja valmiudesta.
Altistaako safe harbour -lauseke meidät riskille?
Se sitouttaa sinut olemaan ryhtymättä toimiin niitä vastaan, jotka noudattavat sääntöjäsi. Se ei salli mitään näiden sääntöjen ulkopuolella eikä sido kolmansia osapuolia tai syyttäjiä. Juristisi käyvät tekstin läpi ennen julkaisua.