Tietoturvakäytännön sivu ei ole paljastusprosessi
Julkaistu käytäntö on lupaus. Vastaava yhteystieto, sopiva laajuus ja korjatut versiot nimeävät tiedotteet ovat todiste siitä, että se toimii.
Jokaisella vakavalla projektilla on tietoturvasivu, ja sivu on halpa. Hyödyllinen kysymys on, tuottaako dokumentoitua kanavaa pitkin lähetetty raportti korjatun julkaisun, jonka tavalliset käyttäjät voivat asentaa. Se vaatii neljä todistetta yhden väitteen sijaan, ja kaikki ovat ulkopuolelta tarkistettavissa ilman mitään luotausta. Mikään niistä ei vaadi testiä jonkun toisen palvelinta vastaan. Kaikki mahtuvat yhdelle sivulle muistiinpanoja.
Etsi kanava ja varmista, että se on olemassa
Aloita dokumentoidusta reitistä: tietoturvakäytännön sivu, oma osoite tai tiedosto /.well-known/security.txt, jonka Contact-kenttä on määritelty standardissa RFC 9116.
Lue sitten laajuutta käsittelevä kappale, älä ystävällistä johdantoa. Mitkä tuotteet katetaan, mitkä versiot ja millaista kohtelua projekti pyytää?
Kanava, joka kuuluu toiselle projektille tai hosting-palvelulle ylläpitäjän sijaan, ei ole paljastusprosessi arvioimallesi ohjelmistolle.
Julkinen seuranta vai yksityinen kanava
Tavalliset viat kuuluvat julkiseen seurantaan ja hyötyvät siitä. Raportti, jossa on hyödynnettävä yksityiskohta, ei, ja sen julkinen jättäminen altistaa käyttäjät, kun ylläpitäjä vielä lukee sitä.
Projekti, joka tarjoaa vain julkisen seurannan, ei ole tarjonnut paljastuskanavaa, mitä sen dokumentaatio sanoo tahansa.
Mikään tästä ei oikeuta testaamaan järjestelmiä, joita et omista. Raportointiosoite on kutsu lähettää tietoja, ei lupa luodata asiaankuulumattomia julkisia palvelimia.
Seuraa yhtä korjausta alusta loppuun
Valitse aiempi tiedote ja seuraa sitä: nimeääkö se vaikutetut versiot ja julkaisun, joka korjaa ne, ja voiko käyttäjä todella asentaa sen julkaisun?
Tuo jälki on ero kuittauksen ja korjauksen välillä. Kohtelias vastaus, joka ei koskaan tuota julkaisua, on viestintätulos. Lyhyt tiedote, jossa on versionumero ja latauslinkki, on toimiva prosessi. Hyvä tiedote vastaa nopeasti neljään asiaan: mikä on vaikutettu, mikä on vaikutus, mikä versio korjaa sen ja mistä sen saa.
Julkaisuhistoria täyttää loput. Säännölliset selkein merkinnöin varustetut julkaisut viittaavat projektiin, joka pystyy toimittamaan korjauksen, ja se merkitsee enemmän kuin kaunopuheinen käytäntö.
Asiakkaan ylläpitäjä vai palvelun operaattori
VPN:n kohdalla asiakkaan kirjoittajat ja yhdyskäytävää ylläpitävät ovat usein eri organisaatioita. Asiakaskoodin ongelma ja palvelimen käyttöönoton virhe tarvitsevat eri vastaanottajat.
Päätä ennen lähettämistä, kumpaa löydöksesi koskee, sillä väärälle osapuolelle ohjaaminen päättyy yleensä hiljaisuuteen eikä hylkäykseen.
Mitä poissaolo todistaa ja mitä ei
Tyhjä tiedotelista ei todista, että tuote on vapaa vioista. Se voi tarkoittaa nuorta projektia, pientä pintaa tai sitä, ettei kukaan katso.
Yhtä lailla puuttuva käytäntösivu ei ole todiste pahasta tahdosta. Se on todiste siitä, ettet voi varmistaa prosessia, ja se on rehellinen johtopäätös kirjattavaksi.
Mitä kirjoittaa muistiin
Kirjaa neljä tosiasiaa: yhteystieto, jonka voit varmistaa, laajuus, joka kattaa versionsi, tiedotteet, jotka nimeävät korjatut julkaisut, ja julkaisuhistoria, joka osoittaa, että korjaukset lähtevät.
Merkitse sitten, mikä jää tuntemattomaksi. Katsaus, joka sanoo sen, on hyödyllisempi kuin sellainen, joka muuttaa puuttuvan käytännön turvallisuusväitteeksi.