聯(lián)邦機構將很快建立平臺，讓黑客在機構網(wǎng)站上提交漏洞。（布萊恩A杰克遜）
美國國土安全部網(wǎng)絡安全局（Department of Homeland Security）公布的聯(lián)邦機構漏洞披露計劃草案的公開征求意見期已延長至2020年1月10日。
約束性操作指令（BOD）草案是網(wǎng)絡安全和基礎設施安全局強制實體采取行動的少數(shù)機構之一，要求聯(lián)邦機構建立一個VDP，安全研究人員可以在其中報告機構面向公眾的網(wǎng)站的漏洞。最初的評論期定在12月27日到期，但CISA在利益相關者的“驚人反應”后延長了最后期限。
到目前為止，CISA已經(jīng)收到了來自聯(lián)邦機構、行業(yè)和智囊團的利益相關者的評論，涉及從為提交漏洞的研究人員提供法律保護到強制補救時限等方方面面。一些評論表達了對資源機構最終致力于披露計劃的擔憂。
“在聯(lián)邦機構和部門中有效實施漏洞披露政策將需要足夠的資源、資金和訓練有素的勞動力，”信息技術產(chǎn)業(yè)理事會（ITI）政策高級副主席約翰·米勒（John Miller）寫道，ITI是一個代表信息和通信技術行業(yè)公司的行業(yè)協(xié)會。
利益相關者還建議各機構在VDP建立之前審查其系統(tǒng)。網(wǎng)絡安全聯(lián)盟執(zhí)行協(xié)調員阿里施瓦茨（Ari Schwartz）寫道：“為了準備實施，還應鼓勵各機構盡早主動掃描其內部資產(chǎn)，緩解高度優(yōu)先的漏洞，并確保其漏洞管理流程有效?！?/p>
美國住房和城市發(fā)展部監(jiān)察長辦公室（Office of Inspector General）員工亞當·伯恩斯坦（Adam Bernstein）在一份評論中寫道，機構內部的IT系統(tǒng)往往存在多個漏洞，應該被排除在披露計劃之外，因為它們資金不足，關鍵任務和機構沒有資金來減輕其脆弱性。
伯恩斯坦寫道：“這些遺留系統(tǒng)和資金不足的系統(tǒng)永遠不應該成為任何漏洞披露計劃的一部分，因為發(fā)現(xiàn)更多沒有補救能力的漏洞只會進一步削弱國家的IT系統(tǒng)。”
對此，一位人士回信稱，披露遺留系統(tǒng)中的漏洞將有助于說明IT系統(tǒng)的資金不足。
安全研究人員在調查系統(tǒng)漏洞時，也擔心對他們采取法律行動的潛在威脅。該指令稱，各機構承諾不對從事誠信工作的研究人員采取法律行動，但有人在CISA GitHub網(wǎng)頁上發(fā)表評論，建議各機構總法律顧問辦公室參與任何政策決定。
美國航天局網(wǎng)絡安全專業(yè)人士卡里姆說，這項政策需要“國家OGC已經(jīng)審查并同意任何關于采取法律行動的主張”的措辭，因為披露計劃可能在機構CIO辦公室之外執(zhí)行。
利益相關者還對VDP中建議的補救時間框架表示關注。CISA提出了建議，報告的漏洞在90天內得到緩解和補救，但利益集團寫道，CISA需要澄清，這些補救建議只是建議，而不是要求——認為VDP的國際標準沒有規(guī)定緩解時間。
施瓦茨寫道：“錯過一個人為的截止日期可能會導致未達到預期和對脆弱性報告者失去信任，并可能促使過早公開披露未經(jīng)緩解的脆弱性，從而造成額外的利用風險。”
為了讓各機構更好地了解VDP要求，一位匿名用戶評論說，DHS應舉辦一個行業(yè)日，讓IT人員、承包商、律師和其他機構工作人員更好地了解法律要求、簽約機會、處理的最佳做法，從而增加補救工作，為希望通過第三方的機構提供必要的勞動力培訓和市場調查。由國土安全部主辦的為期一天的行業(yè)日可能有助于減少機構誤解BOD要求的可能性，并幫助他們制定一個最適合自己機構的戰(zhàn)略。
聯(lián)系客服
