Responsible disclosure (CVD): zo richt u het in

Responsible disclosure is de afspraak dat iemand die een kwetsbaarheid in uw systemen ontdekt, die eerst bij u meldt. U krijgt de tijd om het probleem op te lossen, en pas daarna wordt het eventueel openbaar. Tegenwoordig heet dit meestal coordinated vulnerability disclosure, kortweg CVD.

Een CVD-beleid is de publieke uitnodiging daarvoor. Het vertelt melders waar ze terechtkunnen, welke spelregels gelden en wat ze van u mogen verwachten. Zo krijgt u informatie over zwakke plekken van mensen met goede bedoelingen, via een route die u zelf bepaalt.

Hieronder leest u hoe u zo’n beleid opstelt en hoe security.txt werkt. Ook komt aan bod wat u intern regelt na een melding, en wat de Cyber Resilience Act en de Cyberbeveiligingswet ervan vragen.

Van responsible disclosure naar CVD

Het NCSC publiceerde in 2013 een leidraad om te komen tot een praktijk van responsible disclosure. In 2018 volgde een herziene leidraad onder de naam coordinated vulnerability disclosure.

De nieuwe naam heeft een inhoudelijke reden. Volgens het NCSC legde de oude term te veel nadruk op de verantwoordelijkheid van de melder. Het uitgangspunt is juist een gelijkwaardig gesprek tussen melder en organisatie. CVD is ook de term uit de internationale normen voor dit proces, ISO/IEC 29147 en ISO/IEC 30111.

In de praktijk worden beide termen nog door elkaar gebruikt, ook op overheidswebsites, en ze bedoelen hetzelfde. Op deze pagina zijn responsible disclosure en CVD daarom synoniemen.

De alternatieven zijn full disclosure, waarbij iemand een lek direct openbaar maakt, en non-disclosure, waarbij een lek wordt verzwegen, verkocht of zelf gebruikt. Het NCSC geeft nadrukkelijk de voorkeur aan CVD.

Wat een responsible disclosure-beleid u oplevert

Onderzoekers en ethische hackers vinden kwetsbaarheden, soms gericht en soms bij toeval. De vraag is of ze weten waar ze ermee terechtkunnen. Zonder beleid zoeken ze een algemeen contactadres, of laten ze het erbij.

Een beleid levert drie dingen op. U hoort eerder van een zwakke plek, via een vaste route. U houdt regie over het moment van openbaarmaking. En melders weten wat ze van u kunnen verwachten, wat de samenwerking prettiger maakt.

Er is ook een juridische kant. Binnendringen in andermans systeem is in Nederland strafbaar als computervredebreuk. Een CVD-beleid geeft melders houvast, met de belofte dat u geen aangifte doet als zij zich aan de spelregels houden. Volgens de leidraad stellen politie en Openbaar Ministerie in principe geen onderzoek in als een melder zich duidelijk aan het beleid heeft gehouden.

Wat er in een goed CVD-beleid staat

Een goed beleid is kort, concreet en makkelijk te vinden. Het beantwoordt vijf vragen.

• Waar gaat het over? Welke systemen, domeinen en producten vallen binnen de scope, en welke niet.
• Hoe meldt iemand? Via een vast e-mailadres of formulier, bij voorkeur met een mogelijkheid om versleuteld te melden, bijvoorbeeld met PGP.
• Wat zijn de spelregels? Niet verder gaan dan nodig om het lek aan te tonen, en geen gegevens kopiëren of wijzigen. Geen aanvallen die systemen platleggen, geen social engineering (mensen misleiden om binnen te komen), en niets delen voordat het probleem is opgelost.
• Wat belooft u? Een ontvangstbevestiging, een inhoudelijke reactie binnen een vaste termijn, vertrouwelijke behandeling, geen aangifte als de regels zijn gevolgd, en naamsvermelding als de melder dat wil.
• Wanneer wordt het openbaar? Als richtlijn noemt het NCSC ongeveer 60 dagen voor software en zes maanden voor hardware, in overleg aan te passen.

Een beloning is niet verplicht. De leidraad raadt wel aan om melders die zich aan de regels houden te bedanken, van een vermelding op een erelijst tot een cadeaubon. Een melder mag zijn melding niet afhankelijk maken van een beloning.

Plan ook capaciteit in, want na het publiceren van een beleid komen er volgens het NCSC vaak meer meldingen binnen. Het NCSC heeft een praktisch stappenplan voor een CVD-beleid.

Security.txt: laat zien waar melders terechtkunnen

Security.txt is een klein tekstbestand op uw website dat vertelt hoe iemand een kwetsbaarheid bij u meldt. Het formaat staat beschreven in RFC 9116 uit 2022. Omdat de plek vastligt, weten melders waar ze moeten kijken: /.well-known/security.txt op uw domein.

Twee velden zijn verplicht, de rest is optioneel. De belangrijkste velden op een rij:

Let vooral op het veld Expires. Een verlopen bestand wekt de indruk dat niemand het bijhoudt. Zet het bijwerken daarom in uw jaarplanning, samen met een test of het contactadres nog werkt.

Wat u intern regelt na een melding

Het beleid is de buitenkant. Minstens zo belangrijk is wat er binnen gebeurt als er een melding binnenkomt.

Wijs een eigenaar aan, met een vervanger. Die persoon zorgt dat een melding snel bij het team komt dat het probleem kan beoordelen. Het maakt daarbij niet uit of de melding van buiten komt of van een eigen medewerker.

Blijkt een kwetsbaarheid al te zijn misbruikt, dan is het geen gewone melding meer maar een incident. U volgt dan uw incident response plan. Zijn er persoonsgegevens ingezien, beoordeel dan ook of er sprake is van een meldplichtig datalek.

Zit de kwetsbaarheid in software van een leverancier, informeer die dan en spreek af wie wat communiceert. Raakt een lek meerdere organisaties, dan kan het NCSC helpen coördineren. Gebruik meldingen ook om te leren: ze laten zien welke soort zwakke plek u zelf over het hoofd ziet. Een periodieke vulnerability scan vangt de bekende gevallen eerder af.

Wat de CRA en de Cyberbeveiligingswet vragen

Voor twee groepen staat het omgaan met kwetsbaarheden in de wet. De eerste groep zijn fabrikanten van producten met digitale elementen. Onder de Cyber Resilience Act moeten zij een beleid voor gecoördineerde openbaarmaking van kwetsbaarheden hebben en handhaven. Die eis geldt voor producten die vanaf 11 december 2027 op de markt komen.

Die fabrikanten bieden ook een contactadres waar iedereen kwetsbaarheden kan melden, en vermelden in de gebruikersinformatie waar het beleid te vinden is. Hoe dat samenhangt met de meldplicht, staat in de CRA-eisen. De verordening zelf staat uitgelegd in wat is de CRA.

De tweede groep zijn organisaties onder NIS2, in Nederland de Cyberbeveiligingswet. De Cyberbeveiligingswet is van kracht, en het omgaan met en bekendmaken van kwetsbaarheden hoort bij de zorgplicht. Zie de NIS2 zorgplicht.

NIS2 regelt daarnaast dat elke lidstaat een coördinator voor CVD aanwijst, die bemiddelt tussen melder en fabrikant. In Nederland is dat de minister van Justitie en Veiligheid, en het NCSC voert de coördinatie uit. ENISA houdt bovendien een Europese kwetsbaarheidsdatabase bij.

Bug bounty, pentest en CVD: het verschil

Deze drie worden vaak door elkaar gehaald, maar ze vullen elkaar aan.

• CVD. Een open uitnodiging om ongevraagd gevonden kwetsbaarheden te melden, met spelregels. Een beloning kan, maar is niet het doel.
• Bug bounty. Een programma waarin u onderzoekers actief uitnodigt om binnen een afgebakende scope te zoeken, en per gevonden kwetsbaarheid betaalt. De beloning hangt meestal af van de ernst.
• Pentest. Een opdracht aan een tester om binnen een vaste periode en scope gericht naar zwakke plekken te zoeken, met een rapport als resultaat.

Een CVD-beleid is de basis die elke organisatie kan hebben. Een bug bounty past bij organisaties die hun basis op orde hebben en meldingen al soepel afhandelen. Anders levert het vooral veel werk op. Hoe CVD past in het geheel van normen en wetten, leest u in het overzicht informatiebeveiliging.

Veelgestelde vragen over responsible disclosure

Is een responsible disclosure-beleid verplicht?

Voor fabrikanten van producten met digitale elementen wordt het verplicht onder de Cyber Resilience Act. Dat geldt voor producten die vanaf 11 december 2027 op de markt komen. Voor organisaties onder de Cyberbeveiligingswet hoort het omgaan met kwetsbaarheden bij de zorgplicht. Voor anderen is het niet verplicht, maar wel eenvoudig in te richten.

Is ethisch hacken strafbaar?

Binnendringen in een systeem zonder toestemming is in Nederland strafbaar, ook met goede bedoelingen. Een CVD-beleid met duidelijke spelregels geeft melders wel houvast. Het Openbaar Ministerie weegt onder meer mee of de melder een zwaarwegend algemeen belang diende en niet verder ging dan nodig.

Moet ik een melder belonen?

Nee, dat is niet verplicht. Het NCSC raadt wel aan melders te bedanken die zich aan de regels houden, bijvoorbeeld met een vermelding, een T-shirt of een cadeaubon. Een melder mag zijn melding niet afhankelijk maken van een beloning.

Hoe snel moet ik reageren op een melding?

Daar is geen vaste wettelijke termijn voor; u legt die zelf vast in uw beleid. Het NCSC stuurt bij meldingen zelf binnen één werkdag een ontvangstbevestiging en geeft binnen drie werkdagen een beoordeling. Dat is een bruikbare maatstaf.

Wat als de kwetsbaarheid in software van een leverancier zit?

Informeer de leverancier en spreek af wie de melder op de hoogte houdt. Reageert de leverancier niet goed, dan kunnen u of de melder het NCSC vragen om te coördineren. Fabrikanten onder de CRA melden kwetsbaarheden in gebruikte componenten bovendien aan de maker van die component.