Tysklands føderale cybersikkerhetsmyndighet oppfordrer bedrifter, offentlige organer og nettstedadministratorer til å publisere en security.txt-fil på nettstedene sine.
Bundesamt für Sicherheit in der Informationstechnik, bedre kjent som BSI, sier at det enkle tiltaket kan gjøre ansvarlig rapportering av sårbarheter mye raskere. Det gir også organisasjoner mer tid til å reagere før angripere oppdager og utnytter den samme svakheten.
Til tross for den lave innsatsen som kreves for implementering, sier myndigheten at bare 1,8 % av tyske nettstedoperatører for øyeblikket tilbyr en security.txt-fil.
Hva en security.txt-fil gjør
En security.txt-fil er et standardisert dokument som plasseres på en nettstedserver. Den gir sikkerhetsforskere, hendelseshåndteringsteam og etiske hackere klare instruksjoner for hvordan de skal rapportere en sårbarhet.
Forskere sliter ofte med å finne riktig person eller team å kontakte etter å ha identifisert et sikkerhetsproblem. De kan måtte lete gjennom bedrifters nettsteder, supportportaler og kontoer på sosiale medier før de finner en passende kontaktadresse.
Denne forsinkelsen kan skape reell risiko. En sårbarhet kan forbli urapportert eller uløst mens cyberkriminelle leter etter måter å utnytte den på.
Ved å publisere en egen fil fjernes mye av denne usikkerheten. Den kan inneholde en e-postadresse til en sikkerhetskontakt, retningslinjer for rapportering, krypteringsdetaljer og annen relevant informasjon.
En enkel vei for rapportering av sårbarheter
BSI sier at operatører bare trenger å oppgi kontaktinformasjon og en utløpsdato for å komme i gang. Filen må være tilgjengelig på:
/.well-known/security.txt
Når den er på plass, kan forskere raskt finne organisasjonens foretrukne kanal for rapportering. Sikkerhetsteam kan deretter undersøke problemet og implementere en løsning raskere.
Tilnærmingen hjelper bedrifter, offentlige organer og andre organisasjoner med å håndtere rapporter på en mer strukturert måte. Den støtter også Computer Emergency Response Teams, kjent som CERT-er, når de trenger å kontakte en berørt organisasjon.
Ifølge BSI kan den lille arbeidsmengden som kreves, gi betydelige sikkerhetsfordeler.
Tyskland ønsker bredere bruk
BSI og Alliance for Cybersecurity oppfordrer nå webmastere, administratorer og nettstedseiere over hele Tyskland til å ta i bruk standarden.
Bredere bruk av security.txt-filen kan styrke landets cybermotstandsdyktighet ved å redusere tiden mellom oppdagelse og utbedring. Det kan også gjøre ansvarlig rapportering enklere for forskere som ønsker å rapportere problemer på en trygg måte.
Enkelte EU-land har allerede valgt en strengere tilnærming. I Nederland må flere offentlige organer, inkludert kommuner, provinser og vannforvaltningsorganisasjoner, bruke security.txt. Andre offentlige institusjoner anbefales å gjøre det samme.
Tyskland har ikke innført en tilsvarende obligatorisk regel. BSIs nye oppfordring signaliserer imidlertid at myndigheten ser på security.txt som et praktisk grunnleggende sikkerhetstiltak for organisasjoner som driver nettsteder.
0 responses to “Tyskland oppfordrer nettstedoperatører til å publisere security.txt-filer”