الإفصاح المسؤول
كيف نتعامل مع الثغرات المكتشفة في أبحاثنا
نهجنا
عندما تكتشف ODINT ثغرات في البنية التحتية الرقمية الحكومية، نوازن بين المصلحة العامة في الشفافية والمسؤولية في تقليل الضرر. صُممت سياسة الإفصاح لدينا لمنح الأطراف المتضررة وقتاً معقولاً لمعالجة المشكلات مع ضمان وصول النتائج المهمة في النهاية إلى الجمهور.
المبدأ التوجيهي
نؤمن بأن الإفصاح العلني عن المشكلات الأمنية يحسن الأمن للجميع في نهاية المطاف. ومع ذلك، نُدرك أيضاً أن الإفصاح الفوري عن الثغرات الحرجة قد يسبب ضرراً. تهدف سياستنا إلى تحقيق التوازن بين هذه الاعتبارات.
فئات الإفصاح
الثغرات الحرجة
المشكلات التي قد تؤدي إلى ضرر فوري للأفراد (مثل البيانات الشخصية المكشوفة، الأنظمة التي تمكن من مراقبة الفئات الضعيفة). نُخطر الأطراف المتضررة فوراً ونمنح 30-90 يوماً للمعالجة قبل الإفصاح العلني.
المشكلات عالية الخطورة
نقاط الضعف الأمنية الكبيرة التي يمكن استغلالها (مثل تجاوز المصادقة، الواجهات الإدارية غير المحمية). نمنح 60 يوماً إشعاراً قبل النشر.
النتائج العامة
البنية التحتية المكشوفة التي تمثل ممارسة أمنية سيئة ولكنها تشكل خطراً فورياً محدوداً (مثل إصدارات البرامج القديمة، الخدمات المُعدة بشكل خاطئ). قد ننشر دون إشعار مسبق، رغم أننا كثيراً ما نُخطر الأطراف المتضررة من باب المجاملة.
الجدول الزمني المعياري للإفصاح
العملية النموذجية
طرق الإخطار
نحاول التواصل مع الأطراف المتضررة من خلال:
- عناوين الاتصال الأمني الرسمية (security@, abuse@)
- ملفات security.txt المنشورة
- منظمات CERT/CSIRT الوطنية
- التواصل المباشر مع الإدارات الحكومية المعنية
العوامل المؤثرة على الجدول الزمني
قد نمدد أو نقصر جدولنا الزمني للإفصاح بناءً على:
- شدة الضرر: المشكلات الأكثر خطورة تحصل على نوافذ معالجة أطول
- الاستغلال النشط: الثغرات المستغلة بالفعل قد يُفصح عنها فوراً
- الاستجابة: المنظمات التي تعمل بنشاط على الإصلاحات قد تحصل على تمديدات
- المصلحة العامة: المشكلات المؤثرة على العمليات الديمقراطية قد تستدعي إفصاحاً أسرع
- التنسيق: عند العمل مع شركاء، ننسق على الإفصاح المشترك
ما ننشره
تتضمن إفصاحاتنا عادةً:
- وصف الثغرة والأنظمة المتضررة
- التأثير المحتمل وتقييم المخاطر
- الجدول الزمني لمحاولات الإفصاح لدينا
- الحالة الراهنة (تمت المعالجة أم لا)
- التوصيات للأطراف المتضررة
نحن لا ننشر كود استغلال عامل أو معلومات تقنية مفصلة من شأنها إفادة المهاجمين بشكل أساسي.
الاستثناءات
قد نحيد عن هذه السياسة عندما:
- تكون الثغرة مُستغلة بالفعل بشكل نشط
- يرفض الطرف المتضرر التعاون أو يهدد بإجراء قانوني
- تتطلب السلامة العامة إفصاحاً فورياً
- يتم الاتفاق على تاريخ إفصاح منسق مع الشركاء
الإبلاغ عن ثغرة في أنظمة ODINT
إذا وجدت مشكلة أمنية في البنية التحتية الخاصة بـ ODINT، يرجى الإبلاغ عنها من خلال صفحة التواصل الأمني.
آخر تحديث: 27 يناير 2026