Information technology -- Security techniques -- Vulnerability disclosure

This document provides requirements and recommendations to vendors on the disclosure of vulnerabilities in products and services. Vulnerability disclosure enables users to perform technical vulnerability management as specified in ISO/IEC 27002:2013, 12.6.1[1]. Vulnerability disclosure helps users protect their systems and data, prioritize defensive investments, and better assess risk. The goal of vulnerability disclosure is to reduce the risk associated with exploiting vulnerabilities. Coordinated vulnerability disclosure is especially important when multiple vendors are affected. This document provides: — guidelines on receiving reports about potential vulnerabilities; — guidelines on disclosing vulnerability remediation information; — terms and definitions that are specific to vulnerability disclosure; — an overview of vulnerability disclosure concepts; — techniques and policy considerations for vulnerability disclosure; — examples of techniques, policies (Annex A), and communications (Annex B). Other related activities that take place between receiving and disclosing vulnerability reports are described in ISO/IEC 30111. This document is applicable to vendors who choose to practice vulnerability disclosure to reduce risk to users of vendors' products and services.

Technologies de l'information -- Techniques de sécurité -- Divulgation de vulnérabilité

Le présent document fournit des exigences et des recommandations ŕ l'attention de fournisseurs concernant la divulgation de vulnérabilités dans des produits et services. La divulgation de vulnérabilité permet aux utilisateurs d'effectuer une gestion des vulnérabilités techniques telle que spécifiée dans l'ISO/IEC 27002:2013, 12.6.1[1]. La divulgation de vulnérabilité aide les utilisateurs ŕ protéger leurs systčmes et données, ŕ prioriser les investissements défensifs et ŕ mieux apprécier le risque. L'objectif d'une divulgation de vulnérabilité est de réduire le risque associé ŕ l'exploitation de vulnérabilités. Une divulgation de vulnérabilité coordonnée est particuličrement importante lorsque plusieurs fournisseurs sont affectés. Le présent document fournit: — des lignes directrices sur la réception de signalements concernant des vulnérabilités potentielles; — des lignes directrices sur la divulgation d'informations concernant la remédiation de vulnérabilités; — des termes et définitions spécifiques ŕ la divulgation de vulnérabilités; — une vue d'ensemble des concepts associés ŕ la divulgation de vulnérabilité; — des considérations relatives aux techniques et politiques de divulgation de vulnérabilité; — des exemples de techniques, de politiques (Annexe A) et de communications (Annexe B). D'autres activités associées intervenant entre la réception et la divulgation de signalements de vulnérabilités sont décrites dans l'ISO/IEC 30111. Le présent document s'applique aux fournisseurs qui choisissent de pratiquer la divulgation de vulnérabilité pour réduire le risque pour les utilisateurs de produits et services de fournisseurs.

General Information

Status
Published
Publication Date
22-Oct-2018
Current Stage
6060 - International Standard published
Start Date
03-Oct-2018
Completion Date
23-Oct-2018
Ref Project

RELATIONS

Buy Standard

Standard
ISO/IEC 29147:2018 - Information technology -- Security techniques -- Vulnerability disclosure
English language
32 pages
sale 15% off
Preview
sale 15% off
Preview
Standard
ISO/IEC 29147:2018 - Technologies de l'information -- Techniques de sécurité -- Divulgation de vulnérabilité
French language
34 pages
sale 15% off
Preview
sale 15% off
Preview

Standards Content (sample)

INTERNATIONAL ISO/IEC
STANDARD 29147
Second edition
2018-10
Information technology — Security
techniques — Vulnerability disclosure
Technologies de l'information — Techniques de sécurité —
Divulgation de vulnérabilité
Reference number
ISO/IEC 29147:2018(E)
ISO/IEC 2018
---------------------- Page: 1 ----------------------
ISO/IEC 29147:2018(E)
COPYRIGHT PROTECTED DOCUMENT
© ISO/IEC 2018

All rights reserved. Unless otherwise specified, or required in the context of its implementation, no part of this publication may

be reproduced or utilized otherwise in any form or by any means, electronic or mechanical, including photocopying, or posting

on the internet or an intranet, without prior written permission. Permission can be requested from either ISO at the address

below or ISO’s member body in the country of the requester.
ISO copyright office
CP 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Geneva
Phone: +41 22 749 01 11
Fax: +41 22 749 09 47
Email: copyright@iso.org
Website: www.iso.org
Published in Switzerland
ii © ISO/IEC 2018 – All rights reserved
---------------------- Page: 2 ----------------------
ISO/IEC 29147:2018(E)
Contents Page

Foreword ........................................................................................................................................................................................................................................vi

Introduction ..............................................................................................................................................................................................................................vii

1 Scope ................................................................................................................................................................................................................................. 1

2 Normative references ...................................................................................................................................................................................... 1

3 Terms and definitions ..................................................................................................................................................................................... 1

4 Abbreviated terms .............................................................................................................................................................................................. 3

5 Concepts ........................................................................................................................................................................................................................ 3

5.1 General ........................................................................................................................................................................................................... 3

5.2 Structure of this document ........................................................................................................................................................... 3

5.3 Relationships to other International Standards ......................................................................................................... 4

5.3.1 ISO/IEC 30111 ................................................................................................................................................................... 4

5.3.2 ISO/IEC 27002 ................................................................................................................................................................... 5

5.3.3 ISO/IEC 27034 series ........................................................................................................................................... ........ 6

5.3.4 ISO/IEC 27036-3 .............................................................................................................................................................. 6

5.3.5 ISO/IEC 27017 ................................................................................................................................................................... 6

5.3.6 ISO/IEC 27035 series ........................................................................................................................................... ........ 6

5.3.7 Security evaluation, testing and specification ........................................................................................ 6

5.4 Systems, components, and services ...................................................................................................................................... 6

5.4.1 Systems .................................................................................................................................................................................... 6

5.4.2 Components ......................................................................................................................................................................... 6

5.4.3 Products .................................................................................................................................................................................. 6

5.4.4 Services .................................................................................................................................................................................... 7

5.4.5 Vulnerability ........................................................................................................................................................................ 7

5.4.6 Product interdependency......................................................................................................................................... 7

5.5 Stakeholder roles .................................................................................................................................................................................. 8

5.5.1 General...................................................................................................................................................................................... 8

5.5.2 User ............................................................................................................................................................................................. 8

5.5.3 Vendor ....................................................................................................................................................................................... 8

5.5.4 Reporter .................................................................................................................................................................................. 8

5.5.5 Coordinator .......................................................................................................................................................................... 9

5.6 Vulnerability handling process summary ........................................................................................................................ 9

5.6.1 General...................................................................................................................................................................................... 9

5.6.2 Preparation ........................................................................................................................................................................10

5.6.3 Receipt ...................................................................................................................................................................................10

5.6.4 Verification .........................................................................................................................................................................11

5.6.5 Remediation development ...................................................................................................................................11

5.6.6 Release ...................................................................................................................................................................................11

5.6.7 Post-release .......................................................................................................................................................................12

5.6.8 Embargo period .............................................................................................................................................................12

5.7 Information exchange during vulnerability disclosure.....................................................................................12

5.8 Confidentiality of exchanged information ....................................................................................................................13

5.8.1 General...................................................................................................................................................................................13

5.8.2 Secure communications ..........................................................................................................................................13

5.9 Vulnerability advisories ...............................................................................................................................................................13

5.10 Vulnerability exploitation ...........................................................................................................................................................14

5.11 Vulnerabilities and risk .................................................................................................................................................................14

6 Receiving vulnerability reports .........................................................................................................................................................14

6.1 General ........................................................................................................................................................................................................14

6.2 Vulnerability reports .......................................................................................................................................................................14

6.2.1 General...................................................................................................................................................................................14

6.2.2 Capability to receive reports ..............................................................................................................................14

6.2.3 Monitoring ..........................................................................................................................................................................15

© ISO/IEC 2018 – All rights reserved iii
---------------------- Page: 3 ----------------------
ISO/IEC 29147:2018(E)

6.2.4 Report tracking ..............................................................................................................................................................15

6.2.5 Report acknowledgement .....................................................................................................................................15

6.3 Initial assessment ..............................................................................................................................................................................16

6.4 Further investigation ......................................................................................................................................................................16

6.5 On-going communication ...........................................................................................................................................................16

6.6 Coordinator involvement ............................................................................................................................................................16

6.7 Operational security ........................................................................................................................................................................17

7 Publishing vulnerability advisories ..............................................................................................................................................17

7.1 General ........................................................................................................................................................................................................17

7.2 Advisory .....................................................................................................................................................................................................17

7.3 Advisory publication timing .....................................................................................................................................................17

7.4 Advisory elements ............................................................................................................................................................................18

7.4.1 General...................................................................................................................................................................................18

7.4.2 Identifiers ............................................................................................................................................................................18

7.4.3 Date and time ...................................................................................................................................................................18

7.4.4 Title ..........................................................................................................................................................................................19

7.4.5 Overview ..............................................................................................................................................................................19

7.4.6 Affected products .........................................................................................................................................................19

7.4.7 Intended audience .......................................................................................................................................................19

7.4.8 Localization .......................................................................................................................................................................19

7.4.9 Description .................. .................................................... ...................................................................................................19

7.4.10 Impact ....................................................................................................................................................................................19

7.4.11 Severity .................................................................................................................................................................................20

7.4.12 Remediation ......................................................................................................................................................................20

7.4.13 References ..........................................................................................................................................................................20

7.4.14 Credit ...................................................................... .................................................................................................................20

7.4.15 Contact information ...................................................................................................................................................20

7.4.16 Revision history .............................................................................................................................................................20

7.4.17 Terms of use ......................................................................................................................................................................20

7.5 Advisory communication ............................................................................................................................................................20

7.6 Advisory format ..................................................................................................................................................................................21

7.7 Advisory authenticity .....................................................................................................................................................................21

7.8 Remediations .........................................................................................................................................................................................21

7.8.1 General...................................................................................................................................................................................21

7.8.2 Remediation authenticity ......................................................................................................................................21

7.8.3 Remediation deployment ......................................................................................................................................21

8 Coordination ..........................................................................................................................................................................................................21

8.1 General ........................................................................................................................................................................................................21

8.2 Vendors playing multiple roles ..............................................................................................................................................22

8.2.1 General...................................................................................................................................................................................22

8.2.2 Vulnerability reporting among vendors ...................................................................................................22

8.2.3 Reporting vulnerability information to other vendors ................................................................22

9 Vulnerability disclosure policy ...........................................................................................................................................................22

9.1 General ........................................................................................................................................................................................................22

9.2 Required policy elements ...........................................................................................................................................................23

9.2.1 General...................................................................................................................................................................................23

9.2.2 Preferred contact mechanism ...........................................................................................................................23

9.3 Recommended policy elements.............................................................................................................................................23

9.3.1 General...................................................................................................................................................................................23

9.3.2 Vulnerability report contents .................. ...........................................................................................................23

9.3.3 Secure communication options ........................................................................................................................24

9.3.4 Setting communication expectations ..........................................................................................................24

9.3.5 Scope .......................................................................................................................................................................................24

9.3.6 Publication .........................................................................................................................................................................24

9.3.7 Recognition ........................................................................................................................................................................24

9.4 Optional policy elements .............................................................................................................................................................24

9.4.1 General...................................................................................................................................................................................24

iv © ISO/IEC 2018 – All rights reserved
---------------------- Page: 4 ----------------------
ISO/IEC 29147:2018(E)

9.4.2 Legal considerations ..................................................................................................................................................24

9.4.3 Disclosure timeline .....................................................................................................................................................24

Annex A (informative) Example vulnerability disclosure policies .....................................................................................25

Annex B (informative) Information to request in a report .........................................................................................................26

Annex C (informative) Example advisories .................................................................................................................................................27

Annex D (informative) Summary of normative elements ............................................................................................................30

Bibliography .............................................................................................................................................................................................................................32

© ISO/IEC 2018 – All rights reserved v
---------------------- Page: 5 ----------------------
ISO/IEC 29147:2018(E)
Foreword

ISO (the International Organization for Standardization) and IEC (the International Electrotechnical

Commission) form the specialized system for worldwide standardization. National bodies that

are members of ISO or IEC participate in the development of International Standards through

technical committees established by the respective organization to deal with particular fields of

technical activity. ISO and IEC technical committees collaborate in fields of mutual interest. Other

international organizations, governmental and non-governmental, in liaison with ISO and IEC, also

take part in the work.

The procedures used to develop this document and those intended for its further maintenance are

described in the ISO/IEC Directives, Part 1. In particular, the different approval criteria needed for

the different types of document should be noted. This document was drafted in accordance with the

editorial rules of the ISO/IEC Directives, Part 2 (see www .iso .org/directives).

Attention is drawn to the possibility that some of the elements of this document may be the subject

of patent rights. ISO and IEC shall not be held responsible for identifying any or all such patent

rights. Details of any patent rights identified during the development of the document will be in the

Introduction and/or on the ISO list of patent declarations received (see www .iso .org/patents) or the IEC

list of patent declarations received (see http: //patents .iec .ch).

Any trade name used in this document is information given for the convenience of users and does not

constitute an endorsement.

For an explanation of the voluntary nature of standards, the meaning of ISO specific terms and

expressions related to conformity assessment, as well as information about ISO's adherence to the

World Trade Organization (WTO) principles in the Technical Barriers to Trade (TBT) see www .iso

.org/iso/foreword .html.

This document was prepared by Joint Technical Committee ISO/IEC JTC 1, Information technology,

Subcommittee SC 27, Security techniques.

This second edition cancels and replaces the first edition (ISO/IEC 29147:2014), which has been

technically revised.
The main changes compared to the previous edition are as follows:
— a number of normative provisions have been added (summarized in Annex D);
— numerous organizational and editorial changes have been made for clarity.

Any feedback or questions on this document should be directed to the user’s national standards body. A

complete listing of these bodies can be found at www .iso .org/members .html.
This document is intended to be used with ISO/IEC 30111.
vi © ISO/IEC 2018 – All rights reserved
---------------------- Page: 6 ----------------------
ISO/IEC 29147:2018(E)
Introduction

In the contexts of information technology and cybersecurity, a vulnerability is a behaviour or set of

conditions present in a system, product, component, or service that violates an implicit or explicit

security policy. A vulnerability can be thought of as a weakness or exposure that allows a security

impact or consequence. Attackers exploit vulnerabilities to compromise confidentiality, integrity,

availability, operation, or some other security property.

Vulnerabilities often result from failures of a program or system to securely handle untrusted or

unexpected input. Causes that lead to vulnerabilities include errors in coding or configuration,

oversights in design choices, and insecure protocol and format specifications.

Despite significant efforts to improve software security, modern software and systems are so complex

that it is impractical to produce them without vulnerabilities. Risk factors of vulnerabilities include:

— operating and relying on systems that have known vulnerabilities;
— not having sufficient information about vulnerabilities;
— not knowing that vulnerabilities exist.

This document describes vulnerability disclosure: techniques and policies for vendors to receive

vulnerability reports and publish remediation information. Vulnerability disclosure enables both the

remediation of vulnerabilities and better-informed risk decisions. Vulnerability disclosure is a critical

element of the support, maintenance, and operation of any product or service that is exposed to active

threats. This includes practically any product or service that uses open networks such as the Internet.

A vulnerability disclosure capability is an essential part of the development, acquisition, operation, and

support of all products and services. Operating without vulnerability disclosure capability puts users

at increased risk.

The term “vulnerability disclosure” is used to describe the overall activities associated with

receiving vulnerability reports and providing remediation information. Additional activities such as

investigating and prioritizing reports, developing, testing, and deploying remediations, and improving

secure development are called “vulnerability handling” and are described in ISO/IEC 30111. The term

“disclosure” is also used more narrowly to mean the act of informing a party about a vulnerability for

the first time (see 3.2).
Major goals of vulnerability disclosure include:
— reducing risk by remediating vulnerabilities and informing users;
— minimizing harm and cost associated with the disclosure;

— providing users with sufficient information to evaluate risk due to vulnerabilities;

— setting expectations to facilitate cooperative interaction and coordination among stakeholders.

The processes described in this document aim to minimize risk, cost, and harm to all stakeholders. Due

to the volume of reported vulnerabilities, lack of accurate and complete information, and other factors

involved, it is not possible to create a single, fixed process that applies to every disclosure event.

The normative elements in this document provide minimum requirements to create a functional

vulnerability disclosure capability. Vendors should adapt the additional informative guidance in this

document to fit their particular needs and those of users and other stakeholders.

© ISO/IEC 2018 – All rights reserved vii
---------------------- Page: 7 ----------------------
INTERNATIONAL STANDARD ISO/IEC 29147:2018(E)
Information technology — Security techniques —
Vulnerability disclosure
1 Scope

This document provides requirements and recommendations to vendors on the disclosure of

vulnerabilities in products and services. Vulnerability disclosure enables users to perform technical

[1]
vulnera
...

NORME ISO/IEC
INTERNATIONALE 29147
Deuxième édition
2018-10
Technologies de l'information —
Techniques de sécurité — Divulgation
de vulnérabilité
Information technology — Security techniques — Vulnerability
disclosure
Numéro de référence
ISO/IEC 29147:2018(F)
ISO/IEC 2018
---------------------- Page: 1 ----------------------
ISO/IEC 29147:2018(F)
DOCUMENT PROTÉGÉ PAR COPYRIGHT
© ISO/IEC 2018

Tous droits réservés. Sauf prescription différente ou nécessité dans le contexte de sa mise en œuvre, aucune partie de cette

publication ne peut être reproduite ni utilisée sous quelque forme que ce soit et par aucun procédé, électronique ou mécanique,

y compris la photocopie, ou la diffusion sur l’internet ou sur un intranet, sans autorisation écrite préalable. Une autorisation peut

être demandée à l’ISO à l’adresse ci-après ou au comité membre de l’ISO dans le pays du demandeur.

ISO copyright office
Case postale 401 • Ch. de Blandonnet 8
CH-1214 Vernier, Genève
Tél.: +41 22 749 01 11
Fax: +41 22 749 09 47
E-mail: copyright@iso.org
Web: www.iso.org
Publié en Suisse
ii © ISO/IEC 2018 – Tous droits réservés
---------------------- Page: 2 ----------------------
ISO/IEC 29147:2018(F)
Sommaire Page

Avant-propos ..............................................................................................................................................................................................................................vi

Introduction ..............................................................................................................................................................................................................................vii

1 Domaine d'application ................................................................................................................................................................................... 1

2 Références normatives ................................................................................................................................................................................... 1

3 Termes et définitions ....................................................................................................................................................................................... 1

4 Abréviations .............................................................................................................................................................................................................. 3

5 Concepts ........................................................................................................................................................................................................................ 3

5.1 Généralités .................................................................................................................................................................................................. 3

5.2 Structure du présent document ............................................................................................................................................... 4

5.3 Relations aux autres Normes internationales .............................................................................................................. 4

5.3.1 ISO/IEC 30111 ................................................................................................................................................................... 4

5.3.2 ISO/IEC 27002 ................................................................................................................................................................... 5

5.3.3 Série ISO/IEC 27034 ..................................................................................................................................................... 6

5.3.4 ISO/IEC 27036-3 .............................................................................................................................................................. 6

5.3.5 ISO/IEC 27017 ................................................................................................................................................................... 6

5.3.6 Série ISO/IEC 27035 ..................................................................................................................................................... 6

5.3.7 Évaluation, test et spécification de sécurité ............................................................................................. 6

5.4 Systèmes, composants et services .......................................................................................................................................... 6

5.4.1 Systèmes .................. .................................................... ............................................................................................................ 6

5.4.2 Composants .......................................................................................................................................................................... 6

5.4.3 Produits ................................................................................................................................................................................... 7

5.4.4 Services .................................................................................................................................................................................... 7

5.4.5 Vulnérabilité ........................................................................................................................................................................ 7

5.4.6 Interdépendance des produits ............................................................................................................................. 8

5.5 Rôles des parties prenantes ......................................................................................................................................................... 8

5.5.1 Généralités ............................................................................................................................................................................ 8

5.5.2 Utilisateur .............................................................................................................................................................................. 8

5.5.3 Fournisseur........................................................................................................................................................................... 8

5.5.4 Déclarant ...................................................................... ........................................................................................................... 9

5.5.5 Coordinateur ....................................................................................................................................................................... 9

5.6 Résumé du processus de traitement des vulnérabilités ...................................................................................10

5.6.1 Généralités .........................................................................................................................................................................10

5.6.2 Préparation ........................................................................................................................................................................11

5.6.3 Réception .............................................................................................................................................................................11

5.6.4 Vérification .........................................................................................................................................................................11

5.6.5 Développement d'une remédiation ..............................................................................................................11

5.6.6 Publication .........................................................................................................................................................................11

5.6.7 Post-publication ............................................................................................................................................................12

5.6.8 Période d'embargo ......................................................................................................................................................12

5.7 Échange d'informations au cours de la divulgation d'une vulnérabilité ............................................12

5.8 Confidentialité des informations échangées ..............................................................................................................13

5.8.1 Généralités .........................................................................................................................................................................13

5.8.2 Communications sécurisées ...............................................................................................................................13

5.9 Bulletins de sécurité sur des vulnérabilités ................................................................................................................14

5.10 Exploitation de vulnérabilités .................................................................................................................................................14

5.11 Vulnérabilités et risque .................................................................................................................................................................14

6 Réception de signalements de vulnérabilités .....................................................................................................................14

6.1 Généralités ...............................................................................................................................................................................................14

6.2 Signalements de vulnérabilités ..............................................................................................................................................14

6.2.1 Généralités .........................................................................................................................................................................14

6.2.2 Capacité à recevoir des signalements .........................................................................................................15

6.2.3 Surveillance .......................................................................................................................................................................15

© ISO/IEC 2018 – Tous droits réservés iii
---------------------- Page: 3 ----------------------
ISO/IEC 29147:2018(F)

6.2.4 Suivi des signalements .............................................................................................................................................15

6.2.5 Accusé de réception d'un signalement ......................................................................................................16

6.3 Évaluation initiale ......... .....................................................................................................................................................................16

6.4 Étude complémentaire ..................................................................................................................................................................16

6.5 Communication continue ............................................................................................................................................................17

6.6 Implication des coordinateurs ...............................................................................................................................................17

6.7 Sécurité opérationnelle ................................................................................................................................................................17

7 Publication de bulletins de sécurité sur des vulnérabilités .................................................................................18

7.1 Généralités ...............................................................................................................................................................................................18

7.2 Bulletin de sécurité ..........................................................................................................................................................................18

7.3 Période de publication d'un bulletin de sécurité ...................................................................................................18

7.4 Éléments d'un bulletin de sécurité .....................................................................................................................................19

7.4.1 Généralités .........................................................................................................................................................................19

7.4.2 Identifiants .........................................................................................................................................................................19

7.4.3 Date et heure ....................................................................................................................................................................19

7.4.4 Titre ..........................................................................................................................................................................................19

7.4.5 Vue d'ensemble ..............................................................................................................................................................20

7.4.6 Produits affectés ............................................................................................................................................................20

7.4.7 Public cible .........................................................................................................................................................................20

7.4.8 Localisation .......................................................................................................................................................................20

7.4.9 Description .................. .................................................... ...................................................................................................20

7.4.10 Impact ....................................................................................................................................................................................20

7.4.11 Gravité ....................................................................................................................................................................................21

7.4.12 Remédiation ......................................................................................................................................................................21

7.4.13 Références ..........................................................................................................................................................................21

7.4.14 Crédit ...................................................................... .................................................................................................................21

7.4.15 Informations de contact .........................................................................................................................................21

7.4.16 Historique des révisions .........................................................................................................................................21

7.4.17 Conditions d'utilisation ...........................................................................................................................................21

7.5 Communication du bulletin de sécurité .........................................................................................................................21

7.6 Format du bulletin de sécurité ...............................................................................................................................................22

7.7 Authenticité du bulletin de sécurité ..................................................................................................................................22

7.8 Remédiations .........................................................................................................................................................................................22

7.8.1 Généralités .........................................................................................................................................................................22

7.8.2 Authenticité de la remédiation .........................................................................................................................22

7.8.3 Déploiement de remédiations ...........................................................................................................................22

8 Coordination ..........................................................................................................................................................................................................23

8.1 Généralités ...............................................................................................................................................................................................23

8.2 Fournisseurs exerçant plusieurs rôles.............................................................................................................................23

8.2.1 Généralités .........................................................................................................................................................................23

8.2.2 Signalement de vulnérabilités entre fournisseurs ...........................................................................23

8.2.3 Signalement d'informations de vulnérabilités auprès d'autres fournisseurs ..........24

9 Politique de divulgation de vulnérabilité ................................................................................................................................24

9.1 Généralités ...............................................................................................................................................................................................24

9.2 Éléments obligatoires d'une politique .............................................................................................................................24

9.2.1 Généralités .........................................................................................................................................................................24

9.2.2 Mécanisme de contact préférentiel ...............................................................................................................24

9.3 Éléments recommandés d'une politique .......................................................................................................................25

9.3.1 Généralités .........................................................................................................................................................................25

9.3.2 Contenu d'un signalement de vulnérabilité ..........................................................................................25

9.3.3 Options de communications sécurisées ...................................................................................................25

9.3.4 Définition des attentes en matière de communication ................................................................25

9.3.5 Domaine d'application .............................................................................................................................................26

9.3.6 Publication .........................................................................................................................................................................26

9.3.7 Reconnaissance ..............................................................................................................................................................26

9.4 Éléments facultatifs d'une politique ..................................................................................................................................26

9.4.1 Généralités .........................................................................................................................................................................26

iv © ISO/IEC 2018 – Tous droits réservés
---------------------- Page: 4 ----------------------
ISO/IEC 29147:2018(F)

9.4.2 Aspects juridiques .......................................................................................................................................................26

9.4.3 Délai de divulgation ........................................................................................................................................... .........26

Annexe A (informative) Exemples de politiques de divulgation de vulnérabilités ...........................................27

Annexe B (informative) Informations à demander dans un signalement ..................................................................28

Annexe C (informative) Exemples de bulletins de sécurité........................................................................................................29

Annexe D (informative) Résumé des éléments normatifs ...........................................................................................................32

Bibliographie ...........................................................................................................................................................................................................................34

© ISO/IEC 2018 – Tous droits réservés v
---------------------- Page: 5 ----------------------
ISO/IEC 29147:2018(F)
Avant-propos

L'ISO (Organisation internationale de normalisation) et l'IEC (Commission électrotechnique

internationale) forment le système spécialisé de la normalisation mondiale. Les organismes

nationaux membres de l'ISO ou de l'IEC participent au développement de Normes internationales

par l'intermédiaire des comités techniques créés par l'organisation concernée afin de s'occuper des

domaines particuliers de l'activité technique. Les comités techniques de l'ISO et de l'IEC collaborent

dans des domaines d'intérêt commun. D'autres organismes internationaux, gouvernementaux et non

gouvernementaux, en liaison avec l'ISO et l'IEC, participent également aux travaux.

Les procédures utilisées pour élaborer le présent document et celles destinées à sa mise à jour sont

décrites dans les Directives ISO/IEC, Partie 1. Il convient, en particulier de prendre note des différents

critères d'approbation requis pour les différents types de document. Le présent document a été rédigé

conformément aux règles de rédaction données dans les Directives ISO/IEC, Partie 2 (voir www .iso

.org/ directives).

L'attention est attirée sur le fait que certains des éléments du présent document peuvent faire l'objet

de droits de propriété intellectuelle ou de droits analogues. L'ISO et l'IEC ne sauraient être tenues pour

responsables de ne pas avoir identifié de tels droits de propriété et averti de leur existence. Les détails

concernant les références aux droits de propriété intellectuelle ou autres droits analogues identifiés

lors de l'élaboration du document sont indiqués dans l'Introduction et/ou dans la liste des déclarations

de brevets reçues par l'ISO (voir www .iso .org/ brevets) ou dans la liste des déclarations de brevets

reçues par l'IEC (voir https:// patents .iec .c).

Les appellations commerciales éventuellement mentionnées dans le présent document sont données

pour information, par souci de commodité, à l'intention des utilisateurs et ne sauraient constituer un

engagement.

Pour une explication de la nature volontaire des normes, la signification des termes et expressions

spécifiques de l'ISO liés à l'évaluation de la conformité, ou pour toute information au sujet de l'adhésion

de l'ISO aux principes de l'Organisation mondiale du commerce (OMC) concernant les obstacles

techniques au commerce (OTC), voir le lien suivant: www .iso .org/ iso/ fr/ avant -propos.

Le présent document a été élaboré par le comité technique mixte ISO/IEC JTC 1, Technologies de

l'information, sous-comité SC 27, Techniques de sécurité.

Cette deuxième édition annule et remplace la première édition (ISO/IEC 29147:2014), qui a fait l'objet

d'une révision technique.

Les principales modifications par rapport à l'édition précédente sont les suivantes:

— certaines dispositions normatives ont été ajoutées (synthétisées à l'Annexe D);

— de nombreuses modifications organisationnelles et rédactionnelles ont été apportées pour des

raisons de clarté.

Il convient que l'utilisateur adresse tout retour d'information ou toute question concernant le présent

document à l'organisme national de normalisation de son pays. Une liste exhaustive desdits organismes

se trouve à l'adresse www .iso .org/ fr/ members .html.
Le présent document est destiné à être utilisé avec l'ISO/IEC 30111.
vi © ISO/IEC 2018 – Tous droits réservés
---------------------- Page: 6 ----------------------
ISO/IEC 29147:2018(F)
Introduction

Dans les contextes des technologies de l'information et de la cybersécurité, une vulnérabilité est un

comportement ou un ensemble de conditions présent dans un système, un produit, un composant ou un

service, qui viole une politique de sécurité implicite ou explicite. Une vulnérabilité peut être vue comme

une faille ou une exposition qui crée un impact ou une conséquence pour la sécurité. Des attaquants

exploitent des vulnérabilités pour compromette la confidentialité, l'intégrité, la disponibilité, le

fonctionnement ou une autre propriété de sécurité.

Les vulnérabilités sont souvent le résultat de défaillances d'un programme ou d'un système à traiter de

façon sécurisée une entrée non fiable ou imprévue. Les vulnérabilités ont diverses causes, notamment

des erreurs de codage ou de configuration, des négligences dans les choix de conception et des

spécifications de protocole et de format non sécurisées.

En dépit d'efforts significatifs pour améliorer la sécurité des logiciels, les logiciels et systèmes modernes

sont si complexes qu'il est impossible de les produire sans vulnérabilités. Les facteurs de risque des

vulnérabilités comprennent:

— l'exploitation et le recours à des systèmes qui présentent des vulnérabilités connues;

— le manque d'informations suffisantes concernant des vulnérabilités;
— l'ignorance de l'existence de vulnérabilités.

Le présent document décrit des techniques et des politiques de divulgation de vulnérabilité à l'attention

de fournisseurs qui reçoivent des signalements de vulnérabilités et publient des informations de

remédiation. Une divulgation de vulnérabilité permet à la fois la remédiation des vulnérabilités et la

prise de décisions plus avisées en matière de risque. La divulgation de vulnérabilité est un élément

essentiel du support, de la maintenance et de l'exploitation de tout produit ou service exposé à des

menaces actives. Cela comprend pratiquement tout produit ou service qui utilise des réseaux ouverts tels

qu'Internet. Une capacité de divulgation de vulnérabilité est une partie essentielle du développement, de

l'acquisition, de l'exploitation et du support de tous les produits et services. L'exploitation de produits ou

services exempts de capacités de divulgation de vulnérabilité expose les utilisateurs à un risque accru.

Le terme «divulgation de vulnérabilité» est utilisé pour décrire les activités globales associées à la

réception de signalements de vulnérabilités et à la fourniture d'informations sur leur remédiation. Les

activités supplémentaires telles que l'enquête et la priorisation des signalements, le développement,

le test et le déploiement de remédiations, ainsi que l'amélioration d'un développement sécurisé, sont

appelées «traitement de vulnérabilités» et sont décrites dans l'ISO/IEC 30111. Le terme «divulgation»

est aussi utilisé de façon plus restrictive pour désigner l'acte d'informer pour la première fois une partie

concernant une vulnérabilité (voir 3.2).
La divulgation de vulnérabilité a plusieurs objectifs majeurs:

— réduire le risque en corrigeant des vulnérabilités et en informant les utilisateurs;

— limiter autant que possible le préjudice et le coût associés à la divulgation;

— fournir aux utilisateurs des informations suffisantes pour évaluer le risque dû à des vulnérabilités;

— définir des attentes pour faciliter l'interaction et la coordination parmi les parties prenantes.

Les processus décrits dans le présent document ont pour but de réduire autant que possible le risque,

le coût et le préjudice pour l'ensemble des parties prenantes. En raison du volume de vulnérabilités

signalées, du manque d'informations précises et complètes et des autres facteurs impliqués, il n'est pas

possible de créer un seul processus figé qui s'applique à chaque événement de divulgation.

Les éléments normatifs du présent document fournissent des exigences minimales pour créer une

capac
...

Questions, Comments and Discussion

Ask us and Technical Secretary will try to provide an answer. You can facilitate discussion about the standard in here.