NCSC: responsible disclosure beleid werkt
Het Nationaal Cyber Security Center (NCSC) van de overheid heeft sinds begin dit jaar negen meldingen van lekken ontvangen die op verantwoorde wijze waren gerapporteerd, wat volgens de organisatie aangeeft dat het nieuwe responsible disclosure beleid werkt.
Acht meldingen betroffen kwetsbaarheden in de infrastructuur van het NCSC zelf. Deze kwetsbaarheden zijn, in nauw contact met de melder, opgelost, zo laat de organisatie weten. Sinds 2013 hanteert het NCSC een responsible disclosure beleid. Dit beleid gaat in op welke manier kwetsbaarheden in de ICT-systemen van het NCSC kunnen worden gemeld. Conform het resposible disclosure beleid ontvangen melders van beveiligingslekken een beloning in de vorm van een speciaal NCSC T-shirt.
"Het NCSC is verheugd dat kwetsbaarheden op verantwoorde wijze worden gemeld. Het benadrukt ook dat deze benadering van responsible disclosure werkt", aldus het NCSC. Ronald Prins van Fox-IT was één van de melders die een T-shirt ontving, zo laat hij op Twitter weten.
Dit is geen stimulans voor melders.
Hoezo, moet de stimulans financieel zijn ? Het is gewoon een leuke aardigheid.
Zie je wel, het beleid werkt. QED.
Een soort van kip-ei verhaal. Waar ligt de grens?
Wat geef je dan en wat is een bepaald lek waard? Is een XSS meer waard dan een SQL injectie, of juist anderson?
op basis van 9 responsible disclosures een persbericht versturen 'Ja he hoor eens even, het responsible disclosure beleid werkt!' vind ik nogal een grote aanname als je er vanuit gaat dat er iedere maand tientallen tot hondertallen full-disclosures/datadumps verschijnen (al dan niet binnen afgeschermde communities).
ncsc en dat nieuwe joint cybercrime gaan op deze manier niet werken, wanneer gaan ze dat zelf doorhebben? ooh wacht... onderdeel van een niet functionele regering... nevermind!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
