Meldora
Umów rozmowę

Zgłoszenie do ENISA krok po kroku

Zgłoszenie wysyła producent przez Single Reporting Platform. Meldora daje gotowe teksty i pilnuje terminów; poniżej jest cała procedura, także to, czego w portalu nie widać.

Zanim wydarzy się cokolwiek

  1. Zarejestruj firmę na SRP zawczasu. Konto EU Login z MFA dla osoby odpowiedzialnej (przedstawiciel główny) i zapasowej (do 20 dodatkowych). Rejestracja trwa, a przy wykrytej podatności masz 24 godziny. Zrób to w pierwszym tygodniu współpracy.
  2. Ustal, kto decyduje. Wyznacz osobę, która potwierdza „powzięcie wiedzy” i wysyła zgłoszenie. Wpisz ją jako kontakt awaryjny w Meldorze.
  3. Przygotuj dane produktu. Nazwa i wersje, państwa UE, w których produkt jest udostępniony, rodzaj produktu, okres wsparcia. Meldora wstawia je do tekstów automatycznie, jeśli są uzupełnione w produkcie.

Trzy etapy zgłoszenia

  1. Wczesne ostrzeżenie, do 24 godzin od powzięcia wiedzy. Zaloguj się na SRP, wybierz „Actively exploited vulnerability”, wklej pola z raportu (tytuł, streszczenie, państwa, produkt i wersja, data powzięcia wiedzy). Wyślij, nawet jeśli nie masz wszystkich szczegółów. Potwierdź wysłanie w raporcie i wpisz numer zgłoszenia.
  2. Powiadomienie o podatności, do 72 godzin od powzięcia wiedzy. Uzupełnij to samo zgłoszenie: ogólne informacje o produkcie, charakter wykorzystania, wstępną ocenę wagi i wpływu, podjęte środki, zalecenia dla użytkowników. Potwierdź wysłanie w raporcie.
  3. Raport końcowy, do 14 dni od udostępnienia poprawki. Po wydaniu aktualizacji: opis podatności, podmiot wykorzystujący (jeśli znany), opis aktualizacji i data jej udostępnienia. Po wysłaniu zgłoszenie jest zamknięte i nie da się go edytować. Potwierdź w raporcie.
  4. Poinformuj użytkowników. Bez zbędnej zwłoki po wysłaniu wczesnego ostrzeżenia: komunikat o podatności, zalecenia tymczasowe i dostępność aktualizacji. Gotowy tekst jest w raporcie.

Na co uważać

  • Termin 72 godzin liczy się od powzięcia wiedzy, nie od wysłania wczesnego ostrzeżenia. Licznik na platformie może pokazywać inny czas.
  • Jedno zgłoszenie dotyczy jednej podatności. Dwie podatności w jednym produkcie to dwa zgłoszenia.
  • Szkic zgłoszenia na SRP widzi tylko osoba, która go utworzyła. Jeśli ta osoba jest nieobecna, drugi przedstawiciel musi zacząć od nowa; miej teksty w Meldorze.
  • Po wysłaniu raportu końcowego nie da się nic poprawić. Sprawdź dane przed ostatnim etapem.
  • Platforma działa po angielsku; teksty z Meldory są domyślnie po angielsku.
  • Zachowaj numery zgłoszeń i potwierdzenia; wpisz je w raporcie, trafią do dziennika zlecenia.

Gdy platforma nie działa

  1. Sprawdź komunikaty na stronie ENISA i spróbuj ponownie po kilku minutach.
  2. Zadzwoń do CSIRT-u koordynatora wyznaczonego dla Polski (aktualne dane kontaktowe podaje ENISA na stronie SRP; dla większości producentów to CSIRT NASK, cert.pl) i przekaż treść wczesnego ostrzeżenia ustnie lub e-mailem, jeśli CSIRT to wskaże.
  3. Zanotuj w wiadomości do konsultanta godzinę próby, kto dzwonił i co ustalono; trafi to do dziennika zlecenia.
  4. Po przywróceniu platformy wyślij zgłoszenie i w polu opisu wspomnij o awarii i wcześniejszym kontakcie z CSIRT.

Źródła