Rapportering av sårbarheter

Trafikklysprotokollen (TLP)

JustisCERT benytter Traffic Light Protocol (TLP) i henhold til FIRST sine retningslinjer for deling av informasjon. TLP er en felles standard som legger til rette for deling av potensielt sensitiv informasjon og et mer effektivt og tryggere samarbeid. Standarden benyttes av blant annet Computer Emergency Response Team (CERT), Computer Security Incident Response Team (CSIRT), Sektorvise Responsmiljøer (SRM) og selvfølgelig nasjonale myndigheter som Nasjonal sikkerhetsmyndighet (NSM) og Cybersecurity and Infrastructure Security Agency (CISA).

Trafikklysprotokollen (TLP) oppsummert:

• All skriftlig kommunikasjon kan påføres TLP-merking etter behov
• All skriftlig og muntlig kommunikasjon skal følge TLP-merking angitt av informasjonseier

Krav til deg som mottar informasjon fra/kommuniserer med JustisCERT:

• Gjør deg kjent med trafikklysprotokollen (TLP), se https://www.first.org/tlp/
• Følg trafikklysprotokollen (TLP) når du mottar informasjon
• Vurder om du bør benytte trafikklysprotokollen (TLP) når du er informasjonseier og deler informasjon

Retningslinje for ansvarlig rapportering av sårbarheter (Responsible disclosure)

Hvis du oppdager sårbarheter i JustisCERT sine IT-systemer/IT-systemer til virksomheter som JutisCERT er ansvarlig for å følge opp, ønsker vi å vite om det slik at vi kan få rettet disse så raskt som mulig.

JustisCERT ber om at du:

• Rapporterer funn til post@justiscert.no. Krypter helst eposten med vår PGP-nøkkel slik at informasjonen ikke kan leses av andre.
• Inkluderer nok informasjon til at vi kan verifisere/gjenskape dine funn
• Gir oss tid til å rette dine funn og ikke deler informasjon om sårbarhetene med andre før de er blitt lukket
• Følger prinsippet «Do no harm» og ikke utnytter sårbarheten. Du skal f.eks. ikke hente ut mer informasjon enn det som er nødvendig for å demonstrere sårbarheten eller endre sårbare systemer/data i sårbare systemer.

JustisCERT vil:

• Følge opp dine funn og holde deg orientert om status frem til saken er løst
• Kreditere deg for dine funn der det er mulig
• Ikke rettsforfølge noen som oppdager og rapporterer sårbarheter i henhold til angitte retningslinjer og prinsippene «Do no harm»
• Beskytte dine personopplysninger etter gjeldende lover og regler

Varsler fra JustisCERT

Sårbarheter som JustisCERT varsler på følger standarden Common Vulnerability Scoring System (CVSS) fra FIRST. JustisCERT prioriterer varsler som faller i kategorien "Kritisk" og "Alvorlig".