NCSC: responsible disclosure beleid werkt
Het Nationaal Cyber Security Center (NCSC) van de overheid heeft sinds begin dit jaar negen meldingen van lekken ontvangen die op verantwoorde wijze waren gerapporteerd, wat volgens de organisatie aangeeft dat het nieuwe responsible disclosure beleid werkt.
Acht meldingen betroffen kwetsbaarheden in de infrastructuur van het NCSC zelf. Deze kwetsbaarheden zijn, in nauw contact met de melder, opgelost, zo laat de organisatie weten. Sinds 2013 hanteert het NCSC een responsible disclosure beleid. Dit beleid gaat in op welke manier kwetsbaarheden in de ICT-systemen van het NCSC kunnen worden gemeld. Conform het resposible disclosure beleid ontvangen melders van beveiligingslekken een beloning in de vorm van een speciaal NCSC T-shirt.
"Het NCSC is verheugd dat kwetsbaarheden op verantwoorde wijze worden gemeld. Het benadrukt ook dat deze benadering van responsible disclosure werkt", aldus het NCSC. Ronald Prins van Fox-IT was één van de melders die een T-shirt ontving, zo laat hij op Twitter weten.
Dit is geen stimulans voor melders.
Hoezo, moet de stimulans financieel zijn ? Het is gewoon een leuke aardigheid.
Zie je wel, het beleid werkt. QED.
Een soort van kip-ei verhaal. Waar ligt de grens?
Wat geef je dan en wat is een bepaald lek waard? Is een XSS meer waard dan een SQL injectie, of juist anderson?
op basis van 9 responsible disclosures een persbericht versturen 'Ja he hoor eens even, het responsible disclosure beleid werkt!' vind ik nogal een grote aanname als je er vanuit gaat dat er iedere maand tientallen tot hondertallen full-disclosures/datadumps verschijnen (al dan niet binnen afgeschermde communities).
ncsc en dat nieuwe joint cybercrime gaan op deze manier niet werken, wanneer gaan ze dat zelf doorhebben? ooh wacht... onderdeel van een niet functionele regering... nevermind!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
