关于

行为准则

这是非正式译文，仅为方便阅读。以英文原文为准。

CSIRT.global 的所有志愿者都遵守我们的行为准则：

CSIRT.global 是一个全球性的计算机安全事件响应团队。我们由志愿者带领，与志愿者一起工作，目标是让数字世界更安全。
CSIRT.global 致力于披露漏洞，并把发现报告给能够修复它们的人。
CSIRT.global 完成的是一个漫长流程的最后几步，这个流程由合作机构、独立研究人员和第三方共同推进。我们清楚这最后几步的分量，也非常认真地对待 CSIRT 流程。
CSIRT.global 使用第三方提供的信息。我们清楚这些信息来自以下这类活动：
- 在互联网上扫描漏洞，主要是通用漏洞披露（CVE），并把我们的发现和可能的解决办法报告给这些系统的所有者。
- 分析在线系统，寻找新的漏洞（零日漏洞），把发现报告给产品的开发者，并尝试帮助他们完成修复。
- 分析包含泄露凭据的数据库，通知受影响的机构或个人采取适当措施。
由于我们处理的是敏感数据，且这些数据的获取未经知情同意，我们制定了这份行为准则，为所做的工作提供伦理基础。
在开展事件响应时，我们既希望与可信的合作伙伴协作以扩大覆盖面，也希望通知尽可能多的机构和个人。
我们清楚自己使用的信息，取得方式处在法律允许的边缘，因此遵循漏洞披露相关司法案例中常用的三条标准：
- 社会必要性：我们进行漏洞披露，是为了让尽可能多的互联网用户免受损害，不服务于任何特定的经济、政治或个人利益。
- 相称原则：我们以适当的手段满足这一必要性。我们的研究应当提高而非降低在线系统的完整性与可用性。
- 辅助原则：如果有多种手段可以达成目的，我们选择影响最小的那一种。
在可以信任时，我们采信第三方的发现，必要时则自行验证。我们希望既不报告误报，也不遗漏漏报，因此有时需要确认漏洞是否确实存在。我们使用基于公开概念验证或非武器化利用代码自行编写的脚本，并小心避免损坏系统、下载过多个人数据或留下后门。
我们的发现通常是一份份清单，其中包含数个到数百万个 IP 地址、所发现漏洞的类型、联系方式以及元数据（例如时间戳、脚本、处理这些数据的研究人员）。这些是敏感数据，我们会采取一切必要的预防措施保护其机密性。
对于零日漏洞，我们先向厂商披露，然后申请 CVE 编号，并商定一个合理的期限，再向可信信息共享伙伴以及更广泛的公众披露。理想情况下，披露之前补丁已经就绪。如果厂商明显迟迟不提供补丁，而该漏洞又很可能被他人发现并滥用，我们可能会考虑披露，以提醒潜在受害者并建议缓解措施。
我们把发现的 CVE 报告给系统所有者，多数情况下是依据其域名生成邮箱地址，例如 info@、security@ 或 abuse@，以及 IP 持有者登记的滥用举报地址。如果无法通过自动方式找到所有者，我们可能会借助（公开）来源查找。
我们也可能通过可信信息共享伙伴把发现转达给他们，这些伙伴包括计算机应急响应团队、计算机安全事件响应团队、互联网服务提供商、政府机构或其他研究机构。
在开展工作时，我们专注于自己的使命：让互联网和互联世界更安全。我们不服务于政府、执法机关、企业、个人或任何其他方的需要。
CSIRT 流程中的尽职要求我们对披露进行跟进。因此我们需要保存数据并记录自己的活动。万一发生争议，我们也可能需要这些数据。我们把收集和保存的个人数据降到最低，并清楚 IP 地址也可能被视为与已识别或可识别的自然人相关的信息。我们认为，对这些数据的处理与我们让互联网和互联世界更安全的目标是相称的。
视事件情况，我们可能会把发现告知更广泛的安全社区和／或媒体。我们只使用汇总统计和／或趋势信息，不使用个人身份信息（PII）。
我们发布的所有内容都可以在我们的网站 https://csirt.global 上获取。
我们的报告依据知识共享许可协议提供。
我们报告存在漏洞的系统。虽然我们会尽力转达第三方的修复信息，但修复完全是系统所有者的责任。
CSIRT.global 负责让成员了解这些规则，每位成员则有责任遵守。若不遵守，理事会将采取相应措施，例如注销其账户。
我们清楚各地在文化、法律和习惯上存在差异。若因我们所处的多个地区之间的差异而产生冲突，我们提供上报渠道，并鼓励成员使用。
在人与人的层面上，我们是一个开放、包容、既学习也传授的机构。我们相信多元。
我们鼓励成员在认为他人行为不当时直接提出，同时也为不愿直接处理的人提供上报渠道。我们理解，不直接提出可能有非常充分的理由。
欢迎提出建议和意见。请联系我们的秘书 Vincent Thiele。