Pakar Keamanan Memperingatkan Bahwa Aturan Pengungkapan Kerentanan UE Berisiko

Diterbitkan Ulang Oleh Plato

Followers: 0

Security Pros Warn That EU's Vulnerability Disclosure Rule Is Risky PlatoBlockchain Data Intelligence. Vertical Search. Ai.

Uni Eropa (UE) mungkin akan segera mewajibkan penerbit perangkat lunak untuk mengungkapkan kerentanan yang belum ditambal kepada lembaga pemerintah dalam waktu 24 jam setelah eksploitasi. Banyak profesional keamanan TI menginginkan peraturan baru ini, yang ditetapkan dalam Pasal 11 Undang-Undang Ketahanan Siber (Cyber Resilience Act/CRA) UE, dipertimbangkan kembali.

Aturan tersebut mengharuskan vendor untuk mengungkapkan bahwa mereka mengetahui kerentanan yang sedang dieksploitasi secara aktif dalam satu hari setelah mempelajarinya, apa pun status tambalannya. Beberapa profesional keamanan melihat potensi pemerintah menyalahgunakan persyaratan pengungkapan kerentanan untuk tujuan intelijen atau pengawasan.

Dalam surat terbuka yang ditandatangani oleh 50 profesional keamanan siber terkemuka di industri dan akademisi, di antaranya perwakilan dari Arm, Google, dan Trend Micro, para penandatangan berpendapat bahwa jangka waktu 24 jam bukanlah waktu yang cukup – dan juga akan membuka pintu bagi pihak-pihak yang tidak bertanggung jawab untuk ikut serta. kerentanan tanpa memberikan cukup waktu bagi organisasi untuk memperbaiki masalah tersebut.

“Meskipun kami mengapresiasi tujuan CRA untuk meningkatkan keamanan siber di Eropa dan sekitarnya, kami percaya bahwa ketentuan pengungkapan kerentanan yang ada saat ini bersifat kontraproduktif dan akan menciptakan ancaman baru yang melemahkan keamanan produk digital dan individu yang menggunakannya,” isi surat tersebut.

Gopi Ramamoorthy, direktur senior keamanan dan GRC di Symmetry Systems, mengatakan tidak ada perbedaan pendapat mengenai pentingnya menambal kerentanan. Kekhawatirannya berpusat pada publikasi kerentanan sebelum pembaruan tersedia, karena hal ini membuat organisasi berisiko terkena serangan dan tidak dapat melakukan apa pun untuk mencegahnya.

“Mempublikasikan informasi kerentanan sebelum melakukan patching telah menimbulkan kekhawatiran bahwa hal ini dapat memungkinkan eksploitasi lebih lanjut terhadap sistem atau perangkat yang belum dipatch dan menempatkan perusahaan swasta, dan masyarakat, pada risiko yang lebih besar,” kata Ramamoorthy.

Prioritaskan Patching Dibanding Pengawasan

Callie Guenther, manajer senior penelitian ancaman siber di Critical Start, mengatakan niat di balik Undang-Undang Ketahanan Siber UE patut dipuji, namun penting untuk mempertimbangkan implikasi yang lebih luas dan potensi konsekuensi yang tidak diinginkan dari pemerintah yang memiliki akses terhadap informasi kerentanan. sebelum pembaruan tersedia.

“Pemerintah mempunyai kepentingan yang sah dalam menjamin keamanan nasional,” katanya. “Namun, menggunakan kerentanan untuk tujuan intelijen atau kemampuan ofensif dapat membuat warga negara dan infrastruktur rentan terhadap ancaman.”

Dia mengatakan keseimbangan harus dicapai dimana pemerintah memprioritaskan penambalan dan perlindungan sistem dibandingkan mengeksploitasi kerentanan, dan mengusulkan beberapa pendekatan alternatif untuk pengungkapan kerentanan, dimulai dengan pengungkapan berjenjang.

“Tergantung pada tingkat keparahan dan dampak kerentanan, jangka waktu pengungkapan yang berbeda-beda dapat ditetapkan,” kata Guenther. “Kerentanan yang kritis mungkin memiliki jangka waktu yang lebih singkat, sementara masalah yang tidak terlalu parah dapat diberikan waktu yang lebih lama.”

Alternatif kedua adalah pemberitahuan awal, dimana vendor dapat diberikan pemberitahuan awal, dengan masa tenggang singkat sebelum rincian kerentanan diungkapkan kepada khalayak yang lebih luas.

Cara ketiga berfokus pada pengungkapan kerentanan yang terkoordinasi, yang mendorong sistem di mana peneliti, vendor, dan pemerintah bekerja sama untuk menilai, menambal, dan mengungkapkan kerentanan secara bertanggung jawab.

Dia menambahkan aturan apa pun harus menyertakan klausul eksplisit untuk melarang penyalahgunaan kerentanan yang diungkapkan untuk tujuan pengawasan atau ofensif.

“Selain itu, hanya personel terpilih dengan izin dan pelatihan yang memadai yang boleh memiliki akses ke database, sehingga mengurangi risiko kebocoran atau penyalahgunaan,” katanya. “Bahkan dengan klausul dan pembatasan yang jelas, terdapat banyak tantangan dan risiko yang dapat muncul.”

Kapan, Bagaimana, dan Berapa Banyak yang Harus Diungkapkan

John A. Smith, CEO di Conversant Group, mencatat bahwa pengungkapan kerentanan yang bertanggung jawab adalah proses yang, secara tradisional, mencakup pendekatan bijaksana yang memungkinkan organisasi dan peneliti keamanan memahami risiko dan mengembangkan perbaikan sebelum memaparkan kerentanan kepada pelaku ancaman potensial.

“Meskipun CRA mungkin tidak memerlukan rincian mendalam tentang kerentanan tersebut, fakta bahwa kerentanan tersebut diketahui sudah cukup untuk membuat pelaku ancaman menyelidiki, menguji, dan berupaya menemukan eksploitasi aktif,” dia memperingatkan.

Dari sudut pandangnya, kerentanan ini juga tidak boleh dilaporkan kepada pemerintah mana pun atau Uni Eropa – karena hal ini akan mengurangi kepercayaan konsumen dan merusak perdagangan karena adanya risiko mata-mata dari suatu negara.

“Pengungkapan itu penting – tentu saja. Namun kita harus mempertimbangkan pro dan kontra mengenai kapan, bagaimana, dan seberapa banyak detail yang diberikan selama penelitian dan penemuan untuk memitigasi risiko,” katanya.

Smith mencatat bahwa alternatif dari “pendekatan yang bisa dibilang spontan” ini adalah dengan mewajibkan perusahaan perangkat lunak untuk mengakui kerentanan yang dilaporkan dalam jangka waktu tertentu namun dipercepat, dan kemudian meminta mereka untuk melaporkan kembali kemajuannya kepada entitas yang menemukan secara teratur, yang pada akhirnya memberikan perbaikan publik dalam waktu singkat. maksimal 90 hari.

Pedoman tentang cara melakukannya menerima dan mengungkapkan informasi kerentanan, serta teknik dan pertimbangan kebijakan pelaporan, telah diuraikan dalam ISO / IEC 29147.

Dampak di Luar UE

Guenther menambahkan bahwa AS memiliki kesempatan untuk mengamati, mempelajari, dan kemudian mengembangkan kebijakan keamanan siber yang terinformasi dengan baik, serta secara proaktif mempersiapkan segala potensi konsekuensi jika Eropa bergerak terlalu cepat.

“Bagi perusahaan-perusahaan AS, perkembangan ini sangat penting,” katanya. “Banyak perusahaan Amerika beroperasi dalam skala global, dan perubahan peraturan di UE dapat mempengaruhi operasi global mereka.”

Dia menunjukkan bahwa efek riak dari keputusan peraturan UE, sebagaimana dibuktikan oleh pengaruh GDPR terhadap CCPA dan undang-undang privasi AS lainnya, menunjukkan bahwa keputusan di Eropa dapat menunjukkan pertimbangan peraturan serupa di AS.

“Kerentanan apa pun yang diungkapkan secara tergesa-gesa karena peraturan UE tidak membatasi risikonya hanya di Eropa,” Guenther memperingatkan. “Sistem AS yang menggunakan perangkat lunak yang sama juga akan terekspos.”