Udostępnianie zgłoszeń współpracownikom

Po co to?

Zasadne zgłoszenie często musi trafić do kogoś spoza zespołu bezpieczeństwa — inżyniera odpowiedzialnego za usługę, której dotyczy problem, lidera dyżuru czy zewnętrznego wykonawcy. Przesłanie surowego zgłoszenia ujawnia tożsamość badacza, kwoty nagród i wewnętrzne notatki z triażu, a wątku e-mailowego nie da się cofnąć. Udostępnianie współpracownikom daje takiej osobie dokładnie to, czego potrzebuje, żeby potwierdzić i naprawić błąd — i nic więcej — za linkiem, który wygasa i który możesz w każdej chwili odwołać.

Udostępnianie współpracownikom jest dostępne w płatnych planach VDP.

Udostępnianie zgłoszenia

Otwórz zgłoszenie i kliknij Share (Udostępnij) w nagłówku zgłoszenia (gdy ktoś już je obejrzy, oznaczenie Shared · N external viewers otwiera to samo miejsce). Otworzy się okno udostępniania, w którym możesz zaprosić kogoś e-mailem, utworzyć link „każdy, kto ma link” i zarządzać wszystkimi aktywnymi udostępnieniami w jednym miejscu.

Żeby zaprosić e-mailem, wpisz adres odbiorcy, zdecyduj, czy może odpowiadać komentarzami, i wyślij. Kit wyśle mu w imieniu Twojego programu zaproszenie opatrzone jego marką — sam e-mail nie zawiera żadnych szczegółów podatności.

Wysłany link jest przypisany do tego adresu. Kiedy współpracownik go otworzy, musi potwierdzić adres, zanim zobaczy zgłoszenie, więc przekazany dalej link jest bezużyteczny dla kogokolwiek innego — potwierdzenie zawsze trafia wyłącznie do pierwotnego odbiorcy.

Każdy, kto ma link

Kiedy chcesz wrzucić zgłoszenie na prywatny kanał — firmowy Slack, mostek incydentowy — i nie masz jednego konkretnego odbiorcy, włącz opcję Każdy, kto ma link. Kit da Ci jeden gotowy do skopiowania adres URL, który otwiera to samo okrojone zgłoszenie bez kroku z e-mailem.

• Jeden link na zgłoszenie. Utworzenie linku daje Ci adres URL do skopiowania; cofnięcie go unieważnia ten adres. Utwórz go ponownie, żeby dostać nowy.
• Tylko do odczytu. Osoby z linkiem nie mogą komentować ani prosić o dołączenie do zespołu — to wymaga konkretnej, zweryfikowanej osoby, więc takie prośby pozostają na ścieżce e-mailowej.
• Tak samo okrojone, te same ograniczenia. Link ujawnia dokładnie to samo co zaproszenie e-mailem (i ukrywa dokładnie to samo). Nadal wygasa po 7 dniach i możesz go odwołać w każdej chwili. Zamknięcie zgłoszenia cofa już udostępnione linki — ale możesz potem celowo udostępnić je ponownie.

Skoro każdy, kto ma link, może go otworzyć, udostępniaj go tylko tam, gdzie sam udostępniłbyś okrojone szczegóły. W razie wątpliwości zaproś raczej e-mailem — to wiąże dostęp z potwierdzonym adresem.

Co widzi współpracownik

Udostępniony widok to okrojona wersja zgłoszenia tylko do odczytu:

• Widoczne — typ podatności, endpoint, którego dotyczy podatność, poziom ważności, opis, kroki reprodukcji oraz załączniki (serwowane jako tymczasowe pliki do pobrania z osobnej domeny).
• Ukryte — tożsamość i e-mail badacza, kwoty nagród, Twoje notatki wewnętrzne, autor oceny oraz oś czasu Twojego zespołu.

Jeśli włączysz komentarze, współpracownik może odpowiedzieć. Jego odpowiedzi trafiają do zgłoszenia jako wewnętrzne notatki widoczne tylko dla zespołu (wyraźnie oznaczone jako pochodzące od zewnętrznego współpracownika) i nigdy nie są pokazywane badaczowi.

Wygaśnięcie i odwołanie

• Linki wygasają po 7 dniach od utworzenia.
• Zamknięcie zgłoszenia (rozwiązane, zapłacone lub odrzucone) cofa już udostępnione linki. Możesz potem udostępnić je ponownie — przydatne, gdy odrzucasz zgłoszenie jako „poza zakresem” i chcesz przekazać je do właściwego dostawcy. Współpracownik widzi wtedy krótką informację „to zgłoszenie zostało zamknięte”, więc wie, że to migawka.
• Możesz odwołać każde udostępnienie w każdej chwili z okna udostępniania — współpracownik natychmiast traci dostęp.

Gdy link wygaśnie

Współpracownik, który otworzy wygasłe zaproszenie e-mailem, nie trafia już w ślepy zaułek. Po potwierdzeniu adresu e-mail, na który wysłano link, może:

• Poprosić o nowy link — o ile zgłoszenie jest nadal otwarte, Kit wyśle nowy 7-dniowy link na ten sam adres (nigdy nigdzie indziej). Cofniętego linku nie da się odnowić samodzielnie, a gdy zgłoszenie zostanie zamknięte, współpracownik również nie odnowi go samodzielnie — ponowne udostępnienie zamkniętego zgłoszenia pozostaje Twoją świadomą decyzją, więc współpracownik widzi tylko informację, żeby się z Tobą skontaktować.
• Poprosić o dołączenie do zespołu — ten sam proces prośby o dołączenie opisany poniżej.

Wygasły link „każdy, kto ma link” nie ma odbiorcy, dla którego można by go odnowić, więc jest po prostu ślepym zaułkiem — utwórz nowy link z okna udostępniania, jeśli nadal go potrzebujesz.

Kto otworzył zgłoszenie

Dostęp z zewnątrz jest pokazywany jako sygnał bezpieczeństwa, a nie ciche potwierdzenie „przeczytano”:

• Lista Active shares (Aktywne udostępnienia) w oknie udostępniania pokazuje każde udostępnienie — odbiorcę (lub „Każdy, kto ma link”), status, liczbę wyświetleń, czas ostatniego wyświetlenia i kraj, z którego je otworzono.
• Nagłówek zgłoszenia pokazuje oznaczenie „Shared · N external viewers” (kliknij je, aby otworzyć okno udostępniania).
• Oś czasu zgłoszenia zapisuje zdarzenie External viewer opened this report.
• Osoba, która udostępniła link, oraz osoba przypisana do zgłoszenia dostają powiadomienie przy pierwszym otwarciu przez każdy nowy adres — nowy adres na tym samym linku może świadczyć o przekazywaniu dalej.

Prośba o dołączenie do zespołu

Współpracownik, który potrzebuje stałego dostępu, może z udostępnionego zgłoszenia poprosić o dołączenie do Twojego zespołu bezpieczeństwa. Prośba trafia do administratorów konta razem z innymi prośbami o dostęp; jej zatwierdzenie wysyła zwykłe zaproszenie do zespołu, a po jego przyjęciu osoba staje się pełnoprawnym członkiem z własnym kontem — koniec z jednorazowymi linkami.

Kiedy otworzysz prośbę, Kit pokaże Ci, kto prosi (imię i nazwisko, e-mail oraz kraj, z którego wysłano prośbę) i z którego zgłoszenia pochodzi udostępnienie — dzięki temu możesz potwierdzić, że rzeczywiście udostępniłeś coś tej osobie, zanim ją zaprosisz. Approve wysyła zaproszenie do zespołu; Dismiss po cichu odrzuca prośbę (osoba prosząca nie zostaje o tym powiadomiona).