Koordineret sårbarhedsrapportering
Vulnerability Disclosure Program
Et Vulnerability Disclosure Program (VDP) etablerer en officiel kanal for koordineret – også kaldet ansvarlig – disclosure: sikkerhedsforskere rapporterer sårbarheder direkte til jer, får tid til at rette dem, før noget offentliggøres, og I undgår at stå uforberedt, hvis en sårbarhed ellers var blevet fundet og delt uden varsel.
Grundlaget
Hvad er en VDP?
Et Vulnerability Disclosure Program (VDP) etablerer en officiel kanal for koordineret – også kaldet ansvarlig – disclosure: sikkerhedsforskere rapporterer sårbarheder direkte til jer, får tid til at rette dem, før noget offentliggøres, og I undgår at stå uforberedt, hvis en sårbarhed ellers var blevet fundet og delt uden varsel.
Uden et VDP opdager forskere ofte sårbarheder uden at vide, hvordan de trygt kan rapportere dem – med risiko for at fundet enten aldrig når jer, eller offentliggøres uden koordinering. Et VDP er relevant for både myndigheder og virksomheder, der ønsker en officiel og sikker vej ind for eksterne fund.
Processen
Vejen fra fund til løsning
-
Opsætning af politik
Vi udformer disclosure- og safe harbor-politikken sammen med jer, tilpasset om I er en myndighed eller en virksomhed.
-
Offentliggørelse
Programmet gøres tilgængeligt, så forskere kan finde og bruge den sikre rapporteringskanal.
-
Modtagelse og triage
Indkomne rapporter modtages gennem rapporteringskanalen og valideres, enten af jer selv eller af vores team, afhængigt af planen.
-
Opfølgning
I lukker sårbarhederne inden for den aftalte tidsramme og kan vælge at anerkende forskeren for fundet.
Resultatet
En offentliggjort disclosure-politik og safe harbor-erklæring, en sikker rapporteringskanal, og en fast proces for modtagelse og håndtering af koordineret disclosure.
Kan tilkøbes som en del af en håndteret plan, hvis I ønsker verificering af udbedrede fund.
Ydelser
Det omfatter
Disclosure-politik
Vi hjælper med at formulere en klar politik for, hvad der må testes, hvordan fund rapporteres, og hvor lang tid I har til at rette dem, før koordineret offentliggørelse kan komme på tale.
Sikker rapporteringskanal
Et tydeligt kontaktpunkt, så forskere ved præcis hvor og hvordan de indsender et fund – i stedet for at gætte eller opgive.
Safe harbor
En juridisk ramme, der beskytter forskere, der rapporterer i god tro, og som beskytter jer mod uvarslet offentliggørelse.
Håndteret triage
Vi kan varetage den tekniske validering af indkomne rapporter, så I kun ser bekræftede fund.
Målgruppe
Hvem er det for?
Offentlige myndigheder
Borgere og sikkerhedsforskere får en officiel, tryg vej til at flage sårbarheder i offentlige systemer.
Virksomheder med udadvendte systemer
Websites, apps og API'er, der er tilgængelige udefra, får en formel kanal for eksterne fund frem for at gætte.
Organisationer uden bug bounty
I får en struktureret modtagelseskanal for frivillig rapportering, uden at skulle udbetale dusører.
Juridisk tryghed
En tryg kanal – beskyttet af Safe Harbor
En juridisk ramme, der beskytter forskere, der rapporterer i god tro, og som beskytter jer mod uvarslet offentliggørelse.
Understøtter
FAQ
Spørgsmål om VDP
Kom i gang med et VDP
Kontakt os for et uforpligtende tilbud tilpasset jeres behov.