Раскрытие уязвимостей: этические принципы

[KL FC Bot]

При разработке любой комплексной IT-системы, программного или аппаратного продукта недочеты, ошибки и уязвимости становятся практически неизбежными. Эти ошибки часто обнаруживают не сами сотрудники компании-производителя решения, а внешние эксперты. Поиск ошибок и потенциальных уязвимостей в различных технологических продуктах является важным направлением современной индустрии кибербезопасности, в котором в том числе работают и наши исследователи. Таким образом, главный источник дефектов и сбоев — человек — является также и ключевым фактором для их своевременного обнаружения и исправления. При этом важно понимать, что процесс «работы над ошибками» потенциально может вместо решения проблемы создать новые риски.

Мы в «Лаборатории Касперского» придерживаемся четко сформулированных этических принципов ответственного раскрытия уязвимостей (Responsible Vulnerability Disclosure, RVD), обнаруженных в продуктах третьих сторон. Всего таких принципов пять, и отчасти при их разработке мы вдохновлялись кодексом этики «Форума групп реагирования на инциденты и обеспечения безопасности» (Forum of Incident Response and Security Teams, FIRST). Краеугольным камнем этих принципов является безопасность наших пользователей — людей и организаций, использующих наши решения. При этом мы бережно и внимательно относимся и к интересам третьих сторон — разработчиков решений, их клиентов и индустрии в целом.

Этические принципы помогают нам обеспечивать прозрачность, ответственность и последовательность наших действий. Для того чтобы такой ответственный подход работал в масштабах всей IT-индустрии, важно, чтобы аналогичными мотивами руководствовались не только мы, но и другие вендоры, их клиенты, независимые исследователи, регуляторы и прочие заинтересованные стороны вплоть до конечных пользователей. Поэтому наша компания одной из первых решила опубликовать свои принципы раскрытия найденных уязвимостей.

 

View the full article