Coordinated vulnerability disclosure (CVD) policy: čo má obsahovať a šablóna

Keď máte nahlasovací kanál a security.txt, chýba k nim ešte jedna vec: politika, ktorá povie, čo sa s hlásením stane. Cyber Resilience Act ju vyžaduje v Prílohe I, časť II ako politiku koordinovaného zverejňovania zraniteľností (CVD). Znie to veľkolepo, ale je to krátka verejná stránka. Poďme si prejsť, z čoho sa skladá.

Načo CVD policy je

CVD policy je dohoda medzi vami a tým, kto vám chce nahlásiť dieru. Nahlasovateľovi odpovedá na tri otázky: kam to poslať, čo sa potom stane, a či ho za slušné nahlásenie nebudete žalovať. Bez nej výskumníci často mlčia (boja sa reakcie) alebo zverejnia zraniteľnosť rovno — a to je pre vás horšie než keby vám ju povedali priamo.

Osem bodov, z ktorých sa skladá

Nasledujúca kostra pokrýva to, čo dobrá CVD policy obsahuje. Berte to ako štruktúru bodov na prispôsobenie, nie ako hotové právne znenie:

1. Rozsah. Ktorých produktov a služieb sa politika týka (a čoho sa netýka).
2. Kontakt a spôsob. Kam a ako nahlasovať (e-mail security@, formulár), aké informácie priložiť (verzia, kroky na reprodukciu, dopad).
3. Čo môže nahlasovateľ čakať. Že prijatie potvrdíte v definovanej lehote (napr. do 3 pracovných dní) a budete ho informovať o priebehu.
4. Vaše lehoty. Orientačný čas na posúdenie a nápravu — a to, že závisí od závažnosti. Netreba prisľubovať nemožné, len byť predvídateľný.
5. Koordinované zverejnenie. Že zraniteľnosť zverejníte až po vydaní opravy (alebo po dohodnutom čase) a že to spravíte spoločne, nie proti sebe.
6. „Safe harbour" vyhlásenie. Uistenie, že proti nahlasovateľovi, ktorý koná v dobrej viere a dodrží pravidlá (neexfiltruje dáta, nepoškodí prevádzku), nepodniknete právne kroky. Toto je pre výskumníkov najdôležitejší bod.
7. Čo od nahlasovateľa čakáte. Nezverejniť pred opravou, netestovať na cudzích dátach, neškodiť dostupnosti — férové pravidlá hry.
8. Uznanie (voliteľné). Či a ako nahlasovateľa spomeniete v advisory alebo poďakovaní.

Čo do nej nepatrí

Rovnako dôležité je vedieť, čo vynechať. CVD policy nie je miesto na osobné údaje nahlasovateľov, na interné bezpečnostné detaily vašej infraštruktúry ani na sľuby odmien, ktoré neviete dodržať (bug bounty je samostatná vec). A nie je to zmluva — je to verejné, čitateľné vyhlásenie zámeru. Držte ju krátku; dlhá policy, ktorú nikto neprečíta, odrádza rovnako ako žiadna.

Príklad: ako môže hlásenie prejsť procesom

Aby body neboli len abstraktné, predstavte si cestu jedného hlásenia:

1. Deň 0 — príde hlásenie na security@ alebo cez formulár. Nahlasovateľ opísal problém a verziu.
2. Do 3 pracovných dní — potvrdenie. Odpíšete, že hlásenie máte a začínate ho posudzovať (presne to, čo sľubuje policy).
3. Posúdenie. Overíte, či sa problém týka, akú má závažnosť a ktoré verzie zasahuje — nález dostane stav „posúdený".
4. Oprava. Vydáte opravenú verziu; s nahlasovateľom sa dohodnete, kedy sa smie zverejniť.
5. Advisory. Po dostupnosti opravy zverejníte advisory a, ak ste sa tak dohodli, poďakujete nahlasovateľovi.

Policy navonok sľubuje kroky 2 a 5 a safe harbour; interný postup (kto ktorý krok robí) si držíte u seba. Dôležité je, aby sľub a realita sedeli — policy, ktorú v praxi nedodržíte, je horšia než skromnejšia, ktorú áno.

Ako ju napojiť na proces

Politika je len sľub — hodnotu má, keď za ňou stojí reálny postup. Prijaté hlásenie by malo mať jasný životný cyklus: nový → posúdený → opravený → zverejnený advisory. Kto ktorý krok robí a v akej lehote, si stanovte interne (stačí jedna strana) a navonok komunikujte len to, čo z toho patrí do policy. Poslednému kroku — zverejneniu opravenej zraniteľnosti — sa venuje článok o advisories.

Časté otázky

1. Musí byť CVD policy dlhá? Práve naopak — krátka a čitateľná. Dlhý dokument, ktorý nikto neprečíta, odrádza rovnako ako žiadny.
2. Potrebujeme bug bounty? Nie. CVD policy nie je odmeňovací program; odmeny sú samostatná, dobrovoľná vec.
3. Prečo je safe harbour taký dôležitý? Bez uistenia, že im nehrozia právne kroky, mnohí výskumníci radšej mlčia alebo zverejnia dieru priamo — čo je pre vás horšie.
4. Kde policy zverejniť? Na verejnej stránke, na ktorú odkazuje pole Policy: v security.txt.

Prečo sa vyplatí ju mať dobre

CVD policy je lacná poistka: hodina práce, ktorá premení náhodné, vystrašené alebo nahnevané nahlásenie na usporiadaný proces. Výskumníkovi dáva istotu, vám predvídateľnosť a odberateľovi signál, že beriete bezpečnosť vážne. A keďže je súčasťou vulnerability handling procesu (Príloha I časť II), potrebujete ju aj do technickej dokumentácie — takže ju nepíšete „navyše", ale ako súčasť toho, čo od vás CRA aj tak žiada.

Kľúčový bod

CVD policy je krátka verejná stránka, ktorá nahlasovateľovi povie, kam písať, čo sa potom stane a či ho za slušné nahlásenie nebudete žalovať. Vyžaduje ju Príloha I časť II ako politiku koordinovaného zverejňovania zraniteľností. Dobrá policy pokrýva osem bodov — rozsah, kontakt a spôsob, čo nahlasovateľ môže čakať, vaše orientačné lehoty, koordinované zverejnenie, safe harbour vyhlásenie, čo čakáte od nahlasovateľa a prípadné uznanie. Safe harbour je pritom pre výskumníkov najdôležitejší: bez uistenia, že im nehrozia právne kroky, radšej mlčia alebo zverejnia dieru priamo. Držte policy krátku a čitateľnú a podložte ju reálnym postupom (nový → posúdený → opravený → advisory). Keďže je súčasťou vulnerability handling procesu, potrebujete ju aj do technickej dokumentácie — takže ju nepíšete „navyše", ale ako súčasť toho, čo od vás CRA aj tak žiada.

Ako pomáha CRAguard

CRAguard dodáva CVD policy ako súčasť hostovaného nahlasovacieho kanála: verejná stránka s vašou politikou (vrátane safe harbour textu a lehoty na potvrdenie), naviazaná na formulár a na životný cyklus nálezu, takže z prijatia hlásenia až po advisory je to jeden tok s audit trailom. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II) a usmernenia Európskej komisie zo dňa 27. 7. 2026. Uvedená kostra je štruktúra bodov, nie schválené právne znenie — konkrétne formulácie (najmä safe harbour) konzultujte.