Gedragscode

Dit is een onofficiële vertaling, bedoeld om de tekst leesbaar te maken. De Engelse tekst is de geldende versie.

Alle vrijwilligers van CSIRT.global houden zich aan onze Gedragscode:

1. CSIRT.global is een wereldwijd Computer Security Incident Response Team. We worden geleid door vrijwilligers en werken met vrijwilligers die de digitale wereld veiliger willen maken.
2. CSIRT.global heeft als doel kwetsbaarheden openbaar te maken en bevindingen te melden bij degenen die ze kunnen verhelpen.
3. CSIRT.global voert de laatste stappen uit in een uitgebreid proces dat wordt doorlopen door aangesloten organisaties, individuele onderzoekers en derden. We zijn ons bewust van het belang van deze laatste stappen en nemen het CSIRT-proces zeer serieus.
4. CSIRT.global gebruikt informatie die door derden wordt aangeleverd. We zijn ons ervan bewust dat deze informatie voortkomt uit activiteiten zoals:
   • Het internet scannen op kwetsbaarheden, meestal Common Vulnerabilities and Exposures (CVE’s), en onze bevindingen en mogelijke oplossingen melden bij de eigenaren van die systemen.
   • Online systemen analyseren op nieuwe kwetsbaarheden (zerodays), onze bevindingen melden bij de makers en hen helpen de kwetsbaarheden te verhelpen.
   • Databases met gelekte inloggegevens analyseren en de getroffen organisaties of personen informeren zodat zij passende maatregelen kunnen nemen.
5. Omdat we werken met gevoelige gegevens die zijn verzameld zonder geïnformeerde toestemming, hebben we deze Gedragscode opgesteld als ethische basis voor het werk dat we doen.
6. Bij incidentrespons streven we ernaar zowel samen te werken met vertrouwde partners om ons bereik te vergroten, als zoveel mogelijk individuele organisaties en personen te informeren.
7. We zijn ons ervan bewust dat we werken met informatie die is verkregen aan de randen van wat juridisch is toegestaan. Daarom hanteren we de drie criteria die gebruikelijk zijn in rechtszaken over vulnerability disclosure:
   • Maatschappelijke noodzaak: we doen aan vulnerability disclosure om online schade bij zoveel mogelijk internetgebruikers te voorkomen en dienen geen enkel specifiek financieel, politiek of individueel belang.
   • Proportionaliteitsbeginsel: we dienen dit belang met passende middelen. Ons onderzoek moet de integriteit en beschikbaarheid van online systemen vergroten en niet verkleinen.
   • Subsidiariteitsbeginsel: zijn er meerdere middelen beschikbaar om het doel te bereiken, dan kiezen we het middel met de minste impact.
8. We vertrouwen bevindingen van derden waar dat kan, maar valideren ze waar nodig. We willen voorkomen dat we fout-positieven melden of fout-negatieven missen, en moeten daarom soms verifiëren of een kwetsbaarheid daadwerkelijk aanwezig is. We gebruiken zelfgemaakte scripts op basis van openbaar beschikbare proofs of concept of niet-bewapende exploitcode, en zorgen er goed voor dat we geen systemen beschadigen, niet te veel persoonsgegevens downloaden en geen achterdeuren aanleggen.
9. Onze bevindingen bestaan doorgaans uit lijsten met enkele tot miljoenen IP-adressen, het type gevonden kwetsbaarheid, contactgegevens en metadata (zoals tijdstempels, scripts en de onderzoekers die aan de gegevens werken). Dit zijn gevoelige gegevens, dus we nemen alle noodzakelijke voorzorgsmaatregelen om de vertrouwelijkheid ervan te beschermen.
10. Zerodaykwetsbaarheden maken we eerst bekend aan de leverancier, waarna we CVE-nummers aanvragen en een redelijke termijn afspreken om ze bekend te maken aan onze Trusted Information Sharing Partners en aan het bredere publiek. Idealiter gaat er een patch aan de bekendmaking vooraf. Blijft een leverancier duidelijk in gebreke bij het leveren van een patch en is het aannemelijk dat anderen de kwetsbaarheid ontdekken en misbruiken, dan kunnen we overwegen alsnog bekend te maken om potentiële slachtoffers te waarschuwen en te adviseren over maatregelen.
11. De CVE’s die we vinden melden we bij de eigenaren van de systemen, meestal door e-mailadressen af te leiden van hun domeinnaam, zoals info@, security@ of abuse@, en via de geregistreerde abuse-adressen van IP-eigenaren. Zijn eigenaren niet op geautomatiseerde wijze te vinden, dan zoeken we ze mogelijk via (open) bronnen.
12. We kunnen onze bevindingen ook sturen via onze Trusted Information Sharing Partners, zoals Computer Emergency Response Teams, Computer Security Incident Response Teams, internetproviders, overheidsorganisaties of andere onderzoeksinstellingen.
13. Bij ons werk richten we ons op onze missie: het internet en de verbonden wereld veiliger maken. We dienen niet de belangen van overheden, opsporingsdiensten, bedrijven, particulieren of wie dan ook.
14. Zorgvuldigheid in ons CSIRT-proces vraagt om opvolging van onze meldingen. Daarom moeten we gegevens bewaren en onze activiteiten vastleggen. We kunnen deze gegevens ook nodig hebben bij een geschil. We beperken de hoeveelheid persoonsgegevens die we verzamelen en bewaren tot een minimum en zijn ons ervan bewust dat ook een IP-adres kan gelden als informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Wij vinden dat onze verwerking van deze gegevens in verhouding staat tot ons doel: het internet en de verbonden wereld veiliger maken.
15. Afhankelijk van het incident informeren we mogelijk de bredere securitygemeenschap en/of de media over onze bevindingen. We gebruiken daarbij alleen geaggregeerde statistieken en/of trendinformatie. We gebruiken geen persoonlijk identificeerbare informatie (PII).
16. Alles wat we publiceren is beschikbaar via onze website https://csirt.global.
17. Onze rapportages zijn beschikbaar onder de Creative Commons-licentie.
18. Wij melden kwetsbare systemen. Hoewel we informatie van derden over herstel naar beste vermogen kunnen doorgeven, is herstel uitsluitend de verantwoordelijkheid van de eigenaar van het systeem.
19. CSIRT.global is verantwoordelijk voor het bekendmaken van deze regels aan de leden. Het is de verantwoordelijkheid van elk lid om zich eraan te houden. Doen zij dat niet, dan neemt het bestuur passende maatregelen, bijvoorbeeld door hun account in te trekken.
20. We zijn ons bewust van geografische verschillen op het gebied van cultuur, wetgeving en gewoonten. We bieden escalatiepaden als er conflicten ontstaan door de verschillen tussen de regio’s waarin we actief zijn. Leden worden aangemoedigd daarvan gebruik te maken.
21. Op persoonlijk vlak zijn we een open, gastvrije, lerende en onderwijzende organisatie. Wij geloven in diversiteit.
22. We moedigen leden aan elkaar aan te spreken op gedrag dat zij ongepast vinden, en bieden daarnaast escalatiepaden voor wie dat liever niet rechtstreeks doet. We begrijpen dat er heel goede redenen kunnen zijn om iets niet rechtstreeks aan te kaarten.
23. Suggesties en feedback zijn welkom. Neem contact op met onze secretaris Vincent Thiele.