NÚKIB představil Národní politiku CVD pro bezpečné hlášení zranitelností

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) zveřejnil Národní politiku koordinovaného zveřejňování zranitelností (pdf), jejímž cílem je nejen zvyšování bezpečnosti produktů informačních a komunikačních technologií (ICT), ale také ochrana objevitelů zranitelností před negativními právními dopady. Součástí je rovněž vytvoření „koordinátora pro účely CVD“, jímž je podle nového zákona o kybernetické bezpečnosti vládní CERT.

Pojem koordinované zveřejňování zranitelností (dále jen CVD z anglického Coordinated Vulnerability Disclosure) představuje proces, kdy nálezci zranitelností spolupracují a sdílejí informace s příslušnými zúčastněnými stranami, jako jsou dodavatelé a vlastníci infrastruktury ICT. Cílem CVD je zajistit, aby byly zranitelnosti zveřejněny až ve chvíli, kdy se dodavateli podaří vyvinout záplatu nebo najít jiné řešení k minimalizaci jejich dopadů. Součástí procesu je typicky nalezení zranitelnosti, její nahlášení a následné odstranění. Celý proces CVD je upraven tzv. politikou CVD, tedy veřejným svolením vlastníka či správce produktu ICT k nalézání zranitelností.

NÚKIB zároveň zveřejnil svou politiku CVD ve spolupráci s ACTIVE 24, s. r. o., která objevitelům zranitelností umožňuje testovat webovou aplikaci nukib.gov.cz. Tato konkrétní politika uvádí zejména zakázané způsoby nalézání zranitelností a definuje postup, jak správně nahlásit zranitelnost prostřednictvím formuláře.

dnes 12:44 | Ladislav Hagara | IT novinky

Komentáře

[dnes 13:39 Xerces]

A když se to normálně zveřejní, tak se to dozví taky, ne? Ty s tím nadělaj.

[PetebLazar]

Tato konkrétní politika uvádí zejména zakázané způsoby nalézání zranitelností ...

Snad se tím budou řídit i Black Hats.