FIRST udgiver nye TLP-eksempler: Skal aflive tvivlen om deling af cybertrusselsinformation

Traffic Light Protocol (TLP) er blevet et af de mest udbredte værktøjer til at styre deling af cybertrusselsinformation mellem CERT'er, CSIRT'er, myndigheder og private organisationer. Alligevel opstår der fortsat tvivl om, hvad man konkret må dele, med hvem og under hvilke omstændigheder.

For at skabe større klarhed har FIRSTs TLP Special Interest Group nu offentliggjort en samling af syv nye kategorier af praktiske use cases, der viser, hvordan TLP-reglerne kan anvendes i virkelige operative situationer.

Målet er at hjælpe både afsendere og modtagere med at træffe de rigtige beslutninger, når information skal deles under igangværende hændelser, sårbarhedshåndtering eller trusselsanalyse.

Fra teori til praksis

TLP anvendes i dag globalt til at markere, hvor bredt information må deles. Men mange organisationer har oplevet, at de officielle definitioner ikke altid giver svar på konkrete spørgsmål, skriver FIRST i sin baggrund for udarbejdelse af usecasene.

• Må TLP:AMBER-information deles med eksterne incident response-leverandører?
• Kan TLP:GREEN begrænses til en bestemt sektor eller geografisk region?
• Må et nationalt CSIRT videresende information til sine medlemsorganisationer?

De nye use cases adresserer netop denne type spørgsmål og giver konkrete eksempler på korrekt anvendelse.

TLP er mere fleksibelt end mange tror

Et gennemgående tema i vejledningen er, at TLP-mærkninger kan suppleres med yderligere instruktioner.

FIRST præciserer blandt andet, at afsendere godt kan begrænse TLP:GREEN-information til en bestemt gruppe, eksempelvis:

"Du må kun dele denne information med cybersikkerhedsprofessionelle i sundhedssektoren."

Tilsvarende kan TLP:AMBER-information begrænses geografisk, eksempelvis til EU-medlemslande, hvis delingen fx omfatter oplysninger, der er omfattet af GDPR.

Dermed understreger use cases-dokumentet, at TLP ikke nødvendigvis står alene, men kan kombineres med operationelle instruktioner, der præciserer afsenderens hensigt.

Serviceleverandører er fortsat et følsomt område

En af de mest praktiske afklaringer vedrører brugen af eksterne serviceleverandører.

Ifølge vejledningen må hverken TLP:AMBER eller TLP:AMBER+STRICT som udgangspunkt deles med eksterne leverandører uden afsenderens tilladelse. Det gælder også juridiske rådgivere, cybersikkerhedskonsulenter, betalingsudbydere og andre outsourcede funktioner.

FIRST fremhæver samtidig, at afsenderen aktivt kan give tilladelse til deling med eksempelvis incident response-partnere gennem ledsagende instruktioner.

Baggrunden er ønsket om at undgå den gradvise udvanding af beskyttelsesniveauet, som kan opstå, når information cirkulerer videre gennem lange kæder af underleverandører og samarbejdspartnere.

Særlige regler for CSIRT'er og delingsfællesskaber

Dokumentet adresserer også en problemstilling, som ofte opstår i nationale og sektorbaserede delingsmiljøer.

For nationale CSIRT'er præciseres det, at TLP:AMBER som udgangspunkt kan deles med relevante interessenter, nationale sikkerhedspartnere og konstituenter. TLP:AMBER+STRICT kræver derimod fortsat eksplicit tilladelse fra den oprindelige afsender.

Tilsvarende beskriver vejledningen, hvordan ISAC'er og andre formelle informationsdelingsgrupper skal håndtere AMBER- og GREEN-mærket information.

Her afhænger retten til videredistribution blandt andet af, om informationen oprindeligt blev modtaget som led i medlemskabet af delingsfællesskabet eller via andre kanaler.

Også chatrum og præsentationer omfattes

En anden afklaring vedrører mundtlig og uformel informationsdeling.

FIRST understreger, at TLP ikke kun gælder dokumenter og rapporter. Også chatkanaler, videomøder, workshops og konferencer kan være omfattet.

Derfor anbefales det, at chatrum får en tydeligt angivet standardmærkning, og at præsentationer samt slides mærkes med den relevante TLP-klassifikation.

Uden en tydelig markering risikerer deltagerne at antage, at informationen kan deles frit som TLP:CLEAR.

Fokus på afsenderens intention

En af de vigtigste pointer i vejledningen er, at modtagere ikke må ændre på delingsbetingelserne efter eget skøn.

Hvis en organisation ønsker at dele information på en måde, som TLP-mærkningen ikke tillader, er anbefalingen klar: kontakt afsenderen og få tilladelse.

Det gælder uanset om ønsket skyldes samarbejde med leverandører, deltagelse i informationsdelingsgrupper eller behov for at involvere yderligere interessenter i en hændelsesrespons.

Med de nye use cases forsøger FIRST at lukke nogle af de gråzoner, der gennem årene har skabt usikkerhed blandt organisationer, som arbejder med cybertrusselsdeling. Resultatet er en mere operationel vejledning, der gør det lettere at omsætte TLP-principperne til daglig praksis, uden at kompromittere afsenderens intentioner eller følsomme oplysninger.

FIRST har udarbejdet en plakat, som passende kan hænges op på arbejdspladsen, så kollegerne altid kan finde hjælp, hvis de er i tvivl om hvilken TLP-farve informationen skal have.