Haavoittuvuuksista ilmoittamisen käytäntö

Viimeksi päivitetty: 5.9.2019

Kraken Security Labs tutkii säännöllisesti yleisesti käytettyjen sovellusten, laitteistojen ja tuotteiden tietoturvallisuutta. Tutkimuksen tavoitteena on kouluttaa ja suojata kyseisten palveluiden ja tuotteiden loppukäyttäjiä. Tässä käytännössä kuvataan, miten Kraken Security Labs käsittelee vastuullista haavoittuvuuksien julkistamista, kun havaitsemme tietoturva-aukkoja kolmansien osapuolten tuotteissa ja palveluissa.

Kraken Security Labs ilmoittaa asianomaiselle toimittajalle tuotteessaan tai palvelussaan havaitusta tietoturvaviasta. Ensimmäinen yhteydenottoyritys tapahtuu toimittajan verkkosivustolla mainittujen asianmukaisten yhteystietojen tai virallisten kanavien kautta. Jos tällaisia yhteystietoja ei ole saatavilla, Kraken Security Labs pyrkii parhaansa mukaan löytämään sopivan yhteydenottokanavan. Kun sopiva yhteydenottokanava on löydetty, haavoittuvuutta koskevat olennaiset tiedot toimitetaan toimittajalle turvallisesti.

Jos toimittaja ei kuittaa alkuperäistä ilmoitusta viiden (5) työpäivän kuluessa, Kraken Security Labs ottaa toimittajaan yhteyttä toisen kerran. Jos kaikki edellä mainitut yhteydenottokeinot on käytetty tuloksetta, Kraken Security Labs voi julkaista julkisen tiedotteen havainnoistaan viidentoista (15) työpäivän kuluttua ensimmäisestä yhteydenottoyrityksestä.

Jos toimittaja vastaa edellä mainitun määräajan kuluessa, Kraken Security Labs pyytää toimittajaa ilmoittamaan toivomansa korjausaikataulun. Kraken Security Labs antaa toimittajalle enintään yhdeksänkymmentä (90) kalenteripäivää haavoittuvuuden korjaamiseen. Määräajan päättyessä tai sitä ennen (jos toimittaja on niin ilmoittanut), Kraken Security Labs julkaisee julkisen tiedotteen, joka sisältää lieventämissuosituksia loppukäyttäjien suojaamiseksi – edellyttäen, että haavoittuvuus on korjattu, tai jos toimittaja ei vastaa tai ei pysty esittämään perusteltua selvitystä siitä, miksi haavoittuvuutta ei ole korjattu.

Kraken Security Labs tekee kaikkensa yhteistyössä toimittajien kanssa varmistaakseen, että nämä ymmärtävät ilmoitetun tietoturvavian tekniset yksityiskohdat ja vakavuuden. Jos toimittaja ei pysty tai halua korjata tiettyä tietoturvaviaa, Kraken Security Labs voi tarjoutua toimimaan yhteistyössä toimittajan kanssa, jotta vika voidaan julkistaa ja samalla tarjota tehokkaita kiertokeinoja.

Jos Kraken Security katsoo tarpeelliseksi varoittaa yleisöä välittömästi haavoittuvuudesta tuotteen tai palvelun loppukäyttäjille aiheutuvan riskin tai turvallisuusuhan vuoksi, Kraken Security Labs tiedottaa havainnoistaan samanaikaisesti sekä toimittajalle että suurelle yleisölle. Toimittajalle lähettämässään viestissä Kraken Security Labs luettelee tekijät, jotka johtivat päätökseen julkaista havainnot välittömästi.