Vzpostavitev postopka poročanja o ranljivostih

Za aplikacijo Access, ki jo izdajate strankam, vzpostavite postopek, po katerem ranljivost ali varnostni incident evidentirate, ga pravočasno sporočite, odpravite in primer zaključite, kot to zahteva člen 14 Uredbe (EU) 2024/2847.

Od 11. septembra 2026 mora proizvajalec o aktivno izrabljeni ranljivosti ali resnem incidentu v 24 urah poslati zgodnje opozorilo, v 72 urah pa obvestilo o ranljivosti ali incidentu. Roki tečejo tudi ob koncih tedna. Kdor šele ob prvem primeru ugotavlja, kdo poroča in kako, jih ne bo ujel. Pravni okvir opisuje stran Obveznosti založnika po aktu o kibernetski odpornosti.

• Pred prvo izdajo določite vloge, kontaktno točko, dostop do platforme za poročanje in mesto hrambe spisov zadev.
• Vsak primer gre skozi devet korakov: prejem, ocena, zgodnje opozorilo, obvestilo, obveščanje uporabnikov, odprava, varnostno obvestilo, končno poročilo in zaključek.
• Za zgodnje opozorilo, obvestilo o ranljivosti ali incidentu, končno poročilo in obvestilo uporabnikom so spodaj pripravljene predloge.
• Popravek izdate kot novo različico; zaganjalnik jo vsakemu uporabniku namesti ob naslednjem zagonu.

graph TD
  E[Prejem] --> T[Evidentiranje in ocena]
  T -->|ni izrabljena| K[Odprava in izdaja]
  T -->|aktivno izrabljena ali resni incident| F[Zgodnje opozorilo, do 24 ur]
  F --> M[Obvestilo, do 72 ur]
  M --> N[Obveščanje uporabnikov]
  M --> K
  K --> V[Objava varnostnega obvestila]
  K -->|obvezno poročanje| A[Končno poročilo]
  V --> Z[Zaključek primera]
  A --> Z

Preden aplikacijo prvič izdate, postopek enkrat preizkusite na izmišljenem primeru.

1. Prejem. Takoj odprite spis zadeve in zapišite čas prejema. Obvestite vodjo primera in poročevalca. Vsebine prijave ne shranjujte v sisteme, ki jih lahko berejo drugi: ne v javne repozitorije, wikije ali delovne elemente in ne v sporočila commitov.
2. Ocena, najpozneje 4 ure po prejemu. Ugotovite, katere različice in države članice so prizadete, kako huda je ranljivost (na primer po lestvici CVSS) in ali obstajajo zanesljivi dokazi, da jo je izrabil zlonamerni akter, oziroma ali gre za resni incident (peti odstavek 14. člena). Če je vzrok v komponenti drugega proizvajalca, na primer v komponenti WKL, ranljivost sporočite tudi njemu. Ko primer ocenite kot obvezen za poročanje, roki tečejo od trenutka, ko ste se z njim seznanili. Če ste v dvomih, poročajte.
3. Zgodnje opozorilo, najpozneje 24 ur po seznanitvi. Prek platforme pošljite zgodnje opozorilo. Česar še ne veste, označite kot neznano.
4. Obvestilo, najpozneje 72 ur po seznanitvi. Pošljite obvestilo o ranljivosti ali incidentu. Če skupina CSIRT zahteva vmesno poročilo, uporabite isto predlogo.
5. Obveščanje uporabnikov. Prizadetim uporabnikom z obvestilom uporabnikom sporočite, kaj lahko storijo sami. Če bi zgodnja objava pomagala napadalcem, čas objave uskladite s skupino CSIRT.

6. Odprava in izdaja. Popravek zgradite kot samostojno različico, po možnosti brez novih funkcij, in ga izdajte brezplačno:

   wkl-office deliver Stranke.acproj --version 1.4.1

   Če izdaje podpisujete, različico nato podpišite s ključem za izdaje (ukaz zaganjalnika /publish /key). Vsaka varnostna posodobitev naj ostane na voljo najmanj deset let ali do konca obdobja podpore, kar je dlje.

7. Objava varnostnega obvestila. Ko je popravek na voljo, opišite ranljivost, prizadete in popravljene različice, posledice, resnost in korake za odpravo (4. točka II. dela Priloge I).
8. Končno poročilo. Pošljite končno poročilo: pri ranljivosti najpozneje 14 dni po tem, ko so na voljo popravni ali blažilni ukrepi, pri incidentu pa najpozneje en mesec po obvestilu.
9. Zaključek primera. Zaprite spis zadeve in zapišite, kaj boste v postopku izboljšali.

Proizvajalec:        <ime, naslov>
Kontakt:             <poročevalec, telefon, e-pošta>
Vrsta:               aktivno izrabljena ranljivost | resni incident
Izdelek:             <aplikacija>, različice <...>
Seznanitev:          <datum, ura, časovni pas>
Države članice:      <države, v katerih je aplikacija po vašem vedenju na voljo>
Samo pri incidentu:  sum protipravnega ali zlonamernega dejanja: da | ne | še ni znano
Povzetek:            <en do trije stavki, kolikor je znano>
Občutljivost:        <kako občutljivi so podatki>

Sklic:               zgodnje opozorilo z dne <datum>, oznaka platforme <...>
Izdelek:             <aplikacija>, prizadete različice <...>, neprizadete različice <...>
Vrsta:               <ranljivost ali incident, resnost; pri incidentu prva ocena>
Izkoriščanje:        <kaj je bilo opaženo, kolikor je znano>
Sprejeti ukrepi:     <popravek v pripravi, začasna omilitev, stranke obveščene>
Ukrepi uporabnikov:  <kaj lahko uporabniki storijo zdaj>
Občutljivost:        <kako občutljivi so podatki>

Sklic:               obvestilo z dne <datum>, oznaka platforme <...>
Opis:                <ranljivost ali incident, resnost, posledice>
Vzrok:               <pri incidentu: vrsta grožnje oziroma temeljni vzrok>
Akter:               <pri ranljivosti: podatki o zlonamernem akterju, če so na voljo>
Popravek:            <različica, datum razpoložljivosti, način pridobitve>
Nadaljnji ukrepi:    <izvedeni in tekoči ukrepi>

Zadeva: Varnostno obvestilo <oznaka> - <aplikacija> <različice>
 
Kaj je prizadeto:    <aplikacija in različice>
Kakšno je tveganje:  <razumljiv opis, resnost>
Kaj storite zdaj:    <koraki>
Popravek:            <različica in način pridobitve ali predvideni datum>
Kontakt:             <vaša kontaktna točka>

• Predloge navajajo, kaj naj obvestilo vsebuje. Če platforma zahteva drugačna polja, velja platforma.
• Ranljivosti, ki je ni nihče izrabil, ni treba sporočiti. Kljub temu jo odpravite in po popravku objavite varnostno obvestilo.
• Ta stran je predloga za vaš lastni postopek, ne pravni nasvet. Obveznosti nosite vi kot proizvajalec svoje aplikacije.

• Obveznosti založnika po aktu o kibernetski odpornosti – roki, obveznosti ter prispevek SDK in zaganjalnika
• Priprava izdaje aplikacije z WKL Office SDK – izdaja popravka kot nove različice