AUT-0776· Безпека та відповідність
Координація погодженого розкриття вразливості продукту
Власник продукту узгоджує із залученими сторонами опрацювання повідомленої вразливості, конфіденційний період і фактичне розкриття погодженої інформації.
Чернетка · Оцінка потребує перевірки
01 / Проблема
Повідомлення дослідника, технічне виправлення й дата публікації живуть у різних задачах. Готовність виправлення помилково вважають його розгортанням, а зміну дати не погоджують з учасниками.
02 / Результат
У справі видно підтверджені стани повідомлення, робіт і погодженого розкриття; приватні деталі не публікуються лише через загальний статус «готово».
03 / Процес
ТригерКоманда продукту отримала повідомлення про можливу вразливість, яке потребує погодженої координації з дослідником або іншими сторонами.
Зареєструвати повідомлення, продукт, версії й дозволені контакти; деталі та докази залишити в погодженій захищеній області.
Передати перевірку компетентному власнику; непідтверджене повідомлення, дублікат та підтверджену вразливість розрізняти без автоматичної публічної заяви.
Визначити залучені сторони та власників робіт; окремо зберігати факти обізнаності, готовності виправлення й доступності належного результату для споживачів.
Уповноважені сторони погоджують склад інформації й конфіденційний період до розкриття; пропозицію дати не видавати за прийняту домовленість.
Відстежувати підтверджені технічні результати й повідомлення сторін; зміну строків, новий продукт або порушення домовленості передати координатору на окреме рішення.
Перед розкриттям звірити чинне погодження, точну редакцію повідомлення та дозволених одержувачів; окремий технічний статус не запускає публікацію.
Зберегти підтвердження фактичного повідомлення й відкритий залишок робіт; публічна інформація не доводить виправлення всіх зачеплених інсталяцій.
04 / Реалізація1 варіант
Приклад · Контроль із підтвердженням результату
Команда завершила підготовку виправлення, але поширення ще не підтвердили, а нову дату розкриття прийняла лише одна сторона. Координатор залишив ці факти окремими й повернув повідомлення на погодження.
Спосіб реалізації
- Вести окремі підтвердження повідомлення, учасників, робіт, домовленості та дозволеної редакції розкриття.
- Зіставляти дозволені результати сторін із чинною справою; повідомлення й публікацію передавати уповноваженим виконавцям.
Що потрібно для реалізації
- Політика опрацювання повідомлень і дозволена конфіденційна комунікація.
- Власник продукту, компетентний перевіряльник і координатор сторін.
- Погоджені правила строків, перегляду домовленості та дозволу розкриття.
- Авторитетні факти стану виправлень і точні редакції повідомлень.
Обмеження
- SEI у публікації 2022 описує запропоновану модель координації, а не гарантовано реалізований протокол або універсальну правову вимогу.
- Технічне підтвердження, пріоритет і дозволене розкриття визначають уповноважені фахівці; універсального строку очікування немає.
- Публічна обізнаність, готовність виправлення та його фактичне розгортання — різні факти. Один статус задачі не підтверджує їх усі.
- Тестування вразливостей, експлуатацію, розробку виправлень, винагороди дослідникам, правову експертизу та реальні публічні заяви не включено.
- Права й можливості цільового середовища перевіряють на аудиті; години попередні.
Що потрібно уточнити (2)
- Чи потрібно погоджувати кілька сторін і змін конфіденційного періоду?
Надайте ролі, правила домовленості, допустимі контакти та маршрут зміни строків.
- Чи потрібна звірка окремих технічних станів і редакцій повідомлень?
Погодьте джерела фактів, область продуктів, критерії розкриття й докази передавання.