Kunden har sendt rapporten videre: hvad gør I?

I opdager, at jeres pentestrapport er havnet hos nogen, der ikke var nævnt i aftalen: en anden virksomhed i kundens koncern, en rådgiver, en anden leverandør eller måske en mulig kunde, der fik den fra en tredje part. Det første spørgsmål er ikke, hvem der har skylden, men hvad der faktisk er sket, og om det har betydning for sikkerheden i jeres produkt.

Svaret hviler på tre skridt i den rækkefølge: find ud af, hvilket dokument der er delt, med hvem og hvordan; vurder, om indholdet giver en reel risiko, særligt hvis der er åbne fund; tag det op med kunden sagligt og med henvisning til det, I har aftalt. Teksten er ikke juridisk rådgivning. Spørgsmål om brud på en aftale bør jeres egen rådgiver se på.

Først: hvad er der sket?

En del sager er mindre, end de ser ud. Kunden har måske sendt rapporten til sin egen rådgiver, som er en del af leverandørvurderingen, eller til en koncernvirksomhed, der også skal bruge produktet. Det kan være i strid med ordlyden af aftalen, men i tråd med formålet. Andre sager er alvorligere: rapporten er lagt et sted, hvor mange har adgang, eller sendt til en konkurrent.

Få derfor svar på følgende, før I reagerer:

Dokumentet · den fulde rapport, kundeversionen, et erklæringsbrev eller en statusoversigt.
Udgaven · hvilken version og hvilken udlevering, fx ud fra vandmærke og log.
Modtageren · hvem der har fået det, og i hvilken egenskab.
Vejen · direkte fra kunden, via en portal eller videre fra en mellemmand.
Aftalen · hvad fortrolighedsaftalen siger om videregivelse.

Vandmærke og log gør det muligt at svare på de to første punkter uden at gætte. → Vandmærke og sporbarhed · → Log over udleveringer

Vurder risikoen ved indholdet

Spørgsmålet om sikkerhed og spørgsmålet om aftale er to forskellige ting, og det første er det vigtigste. Et erklæringsbrev, der er delt videre, giver sjældent nogen risiko; det er skrevet til at blive vist. En kundeversion uden tekniske detaljer giver begrænset risiko. En fuld rapport med åbne fund og tekniske bilag er en anden sag, især hvis den er havnet et sted, hvor I ikke kender modtagerne.

Er der åbne fund i det delte dokument, så se på, om de kan rettes hurtigere, eller om andre beskyttelser kan styrkes, indtil rettelsen er klar. Er alle fund rettet og efterprøvet, er risikoen ved selve indholdet mindre, men rapporten kan stadig fortælle meget om produktets opbygning. → Åbne fund i kundens rapport

Tag det op med kunden

Kontakt den person hos kunden, der modtog rapporten, eller den sikkerhedsansvarlige. Beskriv sagligt, hvad I har set, og spørg, hvad der er sket. Mange gange er forklaringen en misforståelse af, hvad aftalen tillod, og kunden vil selv gerne have det rettet.

Bed konkret om tre ting: at kunden får dokumentet fjernet fra steder, hvor det ikke burde ligge, at kunden oplyser, hvem der har fået det, og at modtagerne bliver bedt om at slette det. Notér svaret. Hvis kunden ikke vil samarbejde, eller hvis sagen har karakter af bevidst misbrug, er det tid til at inddrage jeres rådgiver.

Mærkning, der gør reglerne tydelige

En del videregivelser sker, fordi modtageren ikke var klar over, hvad der måtte deles. Her kan en fælles mærkning hjælpe. FIRST har udgivet Traffic Light Protocol, en række mærker, der angiver, hvor bredt information må deles. Mærket TLP:AMBER betyder ifølge FIRST, at modtagere kun må dele på et need-to-know-grundlag i egen organisation og med dens kunder, mens TLP:AMBER+STRICT begrænser delingen til modtagerens egen organisation. TLP:RED er forbeholdt de enkelte modtagere.

Mange sikkerhedsfolk kender mærkerne, men de er ikke en aftale. Bruger I dem på rapporten, så sørg for, at fortrolighedsaftalen siger det samme, og at mærket passer til det, I faktisk har aftalt om rådgivere og koncernvirksomheder. → Kunden skal skrive under på fortrolighed

Et tænkt eksempel

Et softwarehus leverer et system til sagsbehandling i forsikringsbranchen. En ny kunde skriver, at de allerede har set softwarehusets pentestrapport, fordi deres rådgiver havde den fra en anden opgave. Vandmærket viser, at kopien stammer fra en eksisterende kunde, og loggen viser, at det var den fulde rapport fra sidste år, hvor alle fund siden er rettet og efterprøvet.

Softwarehuset kontakter den eksisterende kunde, som forklarer, at rapporten blev givet til rådgiveren som led i en vurdering, og at rådgiveren genbrugte den. Kunden beder rådgiveren slette den, og softwarehuset tilføjer en bestemmelse om rådgiveres genbrug i sin fortrolighedsaftale. Den nye kunde får sin egen udgave af den nyeste rapport på normale vilkår.

Forebyg næste gang

Når en sag er løst, er det tid til at se på, hvad der gjorde den mulig. Var det udleveringsformen, aftalens ordlyd, manglende mærkning eller simpelthen, at den fulde rapport blev udleveret, hvor en kundeversion kunne have dækket? Ret det, der var årsagen, ikke kun den enkelte sag. Overvej også, om andre kunder har fået rapporten på samme vilkår. Hvis aftalen var uklar for én, er den sandsynligvis uklar for flere, og en kort præcisering til dem alle kan være mere effektiv end at vente på næste sag. Brug anledningen til at se på, om udløbsdatoer for læseadgang og krav om sletning faktisk bliver fulgt op. → Læseadgang eller vedhæftet fil

Det skal I lade være med

Reagere, før I ved, hvad der er delt · Et erklæringsbrev er ikke det samme som den fulde rapport.
Overse risikoen ved åbne fund · Sikkerheden kommer før aftalespørgsmålet.
Gå direkte til trusler · Mange sager skyldes en misforståelse, kunden gerne retter.
Glemme at notere forløbet · I får brug for det, hvis sagen vender tilbage.
Lade mærket sige noget andet end aftalen · Modtageren følger mærket.
Nøjes med at løse den enkelte sag · Find årsagen og ret den.

Hvad kan og ikke kan konkluderes

Vandmærke, log og aftale gør det muligt at se, hvor en kopi kommer fra, og at tage det op på et sagligt grundlag. De kan ikke trække en kopi tilbage, og I kan ikke vide med sikkerhed, at alle kopier er slettet. Om der er tale om et brud på aftalen, og hvad det i givet fald betyder, er et juridisk spørgsmål.