Политика раскрытия уязвимостей | Банк Латвии

Опубликовано: 23.02.2024.

Банк Латвии участвует в инициативе, координируемой Институтом предотвращения инцидентов безопасности информационных технологий CERT.LV, в рамках которой учреждения государственного управления предоставляют исследователям безопасности информационных технологий (кибербезопасности) возможность выявлять пробелы и уязвимости в публичной системе. доступные веб-сайты этих учреждений.

Банк Латвии поддерживает хорошую практику обнаружения уязвимостей и пробелов в безопасности и предоставляет возможность исследователям кибербезопасности выявлять пробелы и уязвимости на официальном сайте Банка Латвии www.bank.lv.

Политика раскрытия уязвимостей Банка Латвии устанавливает правила раскрытия уязвимостей и недостатков безопасности веб-сайта www.bank.lv и подачи отчетов о них.

Политика раскрытия уязвимостей распространяется только на официальный сайт Банка Латвии www.bank.lv. В рамках данной инициативы не допускается тестирование других веб-сайтов, ресурсов и систем Банка Латвии.

Если у вас есть вопросы перед началом тестирования, пожалуйста, свяжитесь с Банком Латвии., написав на адрес электронной почты. Этот адрес электронной почты защищен от спам-ботов. Для просмотра в вашем браузере должен быть включен JavaScript.

Запрещены следующие виды тестирования:

• проводить атаки социальной инженерии;
• использовать уязвимость для доступа к информации (за исключением минимально возможной степени, чтобы продемонстрировать наличие уязвимости);
• использовать уязвимость для удаления, изменения или удаления информации;
• попытка повлиять на доступность услуг посредством атаки типа «отказ в обслуживании» (DoS, DDoS);
• роботизированный подбор/сопоставление паролей.

Прекратите тестирование и немедленно свяжитесь с Банком Латвии указанным выше способом, если во время тестирования вы встретите любую из следующих типов информации::

• личная информация;
• финансовая информация, такая как номера банковских счетов или кредитных карт;
• коммерческую тайну или конфиденциальную информацию.

Банк Латвии обязуется не предпринимать юридических действий против добросовестных исследователей кибербезопасности и лиц, которые:

• следуйте этой политике во время тестирования;
• занимается тестированием, не нанося вреда работе Банка Латвии и его услуг и/или его клиентов;
• воздержаться от раскрытия каких-либо подробностей обнаруженных уязвимостей безопасности до истечения взаимно согласованного срока;
• соблюдает законы Латвии и страны своего местонахождения.

Подача отчета в Банк Латвии

Отчет об обнаруженных уязвимостях и бреши в безопасности можно отправить в Банк Латвии, написав на адрес электронной почты. Этот адрес электронной почты защищен от спам-ботов. Для просмотра в вашем браузере должна быть включена поддержка JavaScript. или используя платформу отчетов об уязвимостях CERT cvd.cert.lv.

Чтобы Банк Латвии мог успешно рассмотреть отчет и внести необходимые улучшения, отчет должен быть прозрачным и структурированным. Его необходимо подготовить на латышском или английском языке. Отчет должен включать указание местоположения каждой обнаруженной уязвимости и ее воздействия, а также описание потенциального устранения уязвимости.

Отчет должен включать подробное описание последовательности действий, позволяющих тиражировать уязвимость. Если возможно, добавьте концептуальные сценарии, снимки экрана или другие графические элементы для более подробной информации.

Информация об обнаруженной уязвимости не должна публиковаться до тех пор, пока уязвимость не будет устранена. Прежде чем обнародовать информацию, участвующие стороны договариваются о том, когда и в какой степени она должна быть обнародована.

Банк Латвии обязуется дать ответ на представленный отчет в течение четырех рабочих дней. Для решения ситуации в более сложных случаях есть возможность начать диалог с отправителем отчета для предотвращения уязвимости.

Latvijas Banka оставляет за собой право передать полученную информацию нейтральной третьей стороне, например CERT.LV, для получения помощи в устранении выявленной уязвимости.

Банк Латвии благодарит исследователей кибербезопасности за потраченное время и отчеты, которые помогают улучшить безопасность официального сайта Банка Латвии, но не предоставляют финансовой компенсации.

Дополнительная информация

О действиях в случае обнаружения недостатков безопасности информационных технологий – части вторая и третья основной статьи Закона о безопасности информационных технологий.

О скоординированном процессе обнаружения уязвимостей в органах государственного управления – Информационный доклад «О реализации скоординированного процесса обнаружения уязвимостей в органах государственного управления».

Платформа отчетности об уязвимостях, предназначенная для сообщения об уязвимостях, выявленных в ресурсах органов государственного управления, и обработки отчетов (

2024-02-23 12:45:00


1708739554
#Политика #раскрытия #уязвимостей #Банк #Латвии