В сряда Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) и четири съюзнически органи по киберсигурност публикуваха ръководство, което указва на софтуерните доставчици как да изградят програма за координирано разкриване на уязвимости (CVD).

Шест дни по-рано CISA публикува публикация в блога си, обясняваща как изследовател по сигурността се е опитал и е неуспял многократно да докладва сериозен проблем на самата CISA. Прочетени паралелно, двата документа подсказват, че моментът на публикуване е съвсем съзнателно избран.

Доставчиците трябва да проектират CVD програма, за да „си сътрудничат ефективно и прозрачно с изследователите по сигурността за докладване и отстраняване на уязвимости“, се казва в ръководството. Това може да бъде постигнато чрез публикуване на политика за разкриване на уязвимости на уебсайта на доставчиците и ясно заявяване, че докладването е отворено за обществеността.

Те трябва да използват файл security.txt – форматът, четим от машини и хора, дефиниран в RFC 9116, така че изследователите да могат да намират информация за контакт без допълнително търсене. Те трябва да определят възможно най-широк обхват за тестване, с аргумента, че произволните граници ограничават изследователите, но не и атакуващите.

Агенциите съветват да се потвърждава връзката с изследователя по сигурността в рамките на определен срок, в идеалния случай между два или три работни дни.

Една от препоръките е всъщност собственият неуспех на CISA, превърнат в съвет: отделете разкриването на уязвимости и техния предварителен анализ (triage) от съществуващите канали за поддръжка на клиенти, тъй като използването на съществуващите канали „може да доведе до пренебрегнати и недооценени доклади или случайно разкриване на информация“.

На 9 юли и.д. директор по информационните технологии на CISA Престън Вернтц и и.д. директор по информационна сигурност Брад Либи описаха инцидент, за който CISA разбира на 15 май 2026 г., когато разследващ журналист прави запитване относно вътрешни AWS GovCloud ключове на CISA и друга информация, намираща се в публично хранилище.

Журналистът е разполагал с информацията от изследовател по сигурността, чиято компания непрекъснато сканира публични хранилища за код.

Гийом Валадон, изследователят от GitGuardian, който открива данните, пише, че след девет безответни имейла с известия, неговият доклад е стигнал до CISA „през излишно сложен път“.

CISA призна, че нейните канали за докладване „не са били добре дефинирани“, което е накарало изследователя да опита множество пътища: изпращане на имейл до изпълнителя, изпращане чрез платформата за разкриване на уязвимости на CISA (предназначена за уязвимости, засягащи по-широката общност, а не самата CISA) и накрая – намесване на журналист.

Агенцията споделя, че усъвършенства тези канали и отбелязва, че въпреки че много изследователи разчитат на security.txt, организациите трябва да публикуват инструкции за докладване на множество видни места.

CISA също така призна, че е загубила време в началото, тъй като е нямала план за реагиране при инциденти (playbook) в GitHub или облака и се е наложило да напише такъв по средата на инцидента.

Ротацията на ключове е отнела повече време от предвиденото поради сложността на системите на CISA и нейните взаимовръзки с федерални и индустриални партньори. (Агенцията призова останалите да поддържат зрели, добре тествани възможности за управление на ключове.)

Почти всеки неуспех, който CISA описва, съответства на препоръка в ръководството от вторник, но има и други съвети:

  • Използвайте клаузи за защита (safe-harbor), уверяващи изследователите, че тяхната добросъвестна работа е разрешена съгласно законите срещу хакерството
  • Избягвайте общи споразумения за неразкриване на информация (NDA) и „тихи“ корекции
  • Присвоявайте CVE номера за вътрешно открити уязвимости, а не само за външни доклади
  • Публикувайте съвети, базирани на Общата рамка за съвети за сигурност (CSAF), и никога зад платена стена (paywall).

Зад съветите стои и регулаторна тежест: BOD 20-01 вече изисква от федералните граждански агенции да публикуват политики за разкриване, а Европейският акт за киберустойчивост разширява това задължение към доставчиците, опериращи в Европейския съюз.

Оценката на Валадон за анализа след инцидента е щедра: „Повечето организации погребват този тип инциденти. CISA го описа, обясни какво е проработило, какво не, и покани индустрията да се поучи от него.“

Той също така отбеляза, че доколкото му е известно, това е първият път, в който национална агенция за киберсигурност публично се застъпва за сканиране за тайни (secrets scanning) и за опростяване на отношенията с изследователите.