Sikkerhed i OS2

OS2 – Offentligt Digitaliseringsfællesskab arbejder med at fremme samarbejde og udvikling af fælles behovsdrevne løsninger. OS2 (o-s-to) har fokus på i fællesskab at forvalte ejerskabet, udviklingen og vedligeholdet af open source software produkter.

Vi opfordrer alle, der opdager sikkerhedssårbarheder eller sikkerhedshændelser med relation til OS2 eller projekter og produkter organiseret i OS2, til at kontakte os, så forholdene kan blive undersøgt og håndteret.

Indberet en sikkerhedshændelse eller sårbarhed

Generelle sikkerhedshenvendelser

Sikkerhedshændelser og sårbarheder vedrørende OS2-fællesskabet, vores fælles infrastruktur og hjemmeside kan indberettes til:

security@os2.eu

Adressen fungerer også som fælles kontaktpunkt, hvis du er i tvivl om, hvor en sikkerhedshenvendelse skal sendes.

Sikkerhed i specifikke OS2-produkter og -projekter

Hvis din henvendelse vedrører et konkret OS2-produkt eller -projekt, anbefaler vi følgende:

1. Undersøg produktets repository. Find produktets kildekode-repository og se efter en SECURITY.md, SECURITY.txt eller tilsvarende sikkerhedspolitik. Følg de angivne instruktioner, hvis de findes.

2. Kontakt produktfællesskabet. Som udgangspunkt kan sikkerhedshenvendelser sendes til [produktnavn]@os2.eu, eksempelvis os2sofd@os2.eu, med security@os2.eu som kopi (CC).

3. Kontakt OS2s sekretariat. Hvis du ikke kan finde produktets repository, sikkerhedspolitik eller relevante kontaktoplysninger, skal du sende henvendelsen til security@os2.eu.

OS2s sekretariat hjælper med at videreformidle henvendelser til de relevante ansvarlige i produktfællesskabet.

Hvad skal en indberetning indeholde?

For at sikre en hurtig og kvalificeret behandling beder vi dig så vidt muligt oplyse:

• Hvilket system eller OS2-produkt henvendelsen vedrører.

• En beskrivelse af sårbarheden eller sikkerhedshændelsen.

• Hvordan forholdet kan konstateres eller reproduceres.

• En vurdering af den mulige konsekvens.

• Kontaktoplysninger, hvis du ønsker en tilbagemelding.

Offentliggør ikke oplysninger om uafklarede sårbarheder i offentlige GitHub-issues eller andre åbne kanaler, hvis de kan udnyttes til at kompromittere systemer eller data.

Undlad at sende adgangskoder, personoplysninger eller andre følsomme oplysninger via almindelig e-mail. Kontakt os først, så vi kan aftale en passende og sikker måde at udveksle oplysningerne på.

Håndtering af indberetninger

OS2s sekretariat modtager og videreformidler sikkerhedshenvendelser og bidrager til at koordinere håndteringen, når det er relevant.

For OS2-produkter vil den konkrete vurdering og håndtering som udgangspunkt foregå i samarbejde med produktets ansvarlige organisering og eventuelle tekniske leverandører.

OS2-fællesskabet udvikler og forvalter open source-produkter, men den konkrete implementering og drift foregår ofte hos de enkelte anvender organisationer eller deres leverandører. Derfor kan ansvaret for afhjælpning og håndtering variere afhængigt af den konkrete situation.

Vi opfordrer til ansvarlig rapportering og til, at information om sårbarheder koordineres med de relevante ansvarlige, inden den offentliggøres.

Dusør og belønning (Bug Bounty)

OS2 har ikke et bug bounty-program og tilbyder derfor ikke dusør eller anden økonomisk belønning for indberetning af sikkerhedssårbarheder.

Vi værdsætter ansvarlig rapportering af sårbarheder og det bidrag, sikkerhedsforskere og andre yder til at forbedre sikkerheden i OS2-fællesskabets løsninger.