Richtlinien zur verantwortungsvollen Offenlegung von Schwachstellen

https://git.fitko.de/fitko/architekturmanagement-standards/fit-connect/projektmanagement/-/issues/105

docs/details/responsible-disclosure.mdx

@@ -2,12 +2,12 @@
 
 Bei der FITKO legen wir sehr viel Wert auf die Sicherheit der von uns betrieben Systeme. 
 Niemand ist perfekt und so kann es trotzdem passieren, dass eine Schwachstelle in einem der von der FITKO betriebenen Projekte und Produkte entdeckt wird.
-Wir würden uns freuen, wenn ihr uns über so eine Schwachstelle so schnell wie möglich informiert, damit wir zeitnah Maßnahmen zum Schutz von FIT-Connect und der Nutzer:innen einleiten können.
+Wir würden uns freuen, wenn ihr uns über gefundene Schwachstellen so schnell wie möglich nach dem „Responsible Disclosure“-Prinzip (auch „Coordinated Disclosure“) informiert, damit wir zeitnah Maßnahmen zum Schutz von FIT-Connect und aller Nutzer:innen einleiten können.
 
 Im folgenden soll daher unser Umgang mit Schwachstellen im Detail beschrieben werden.
 Dazu gehört auch, zu erklären, wie ihr uns Schwachstellen melden könnt und wie wir dann im Anschluss mit den von euch gemeldeten Schwachstellen verfahren.
 
-Alternativ findet ihr die wesentlichen Informationen in Kurzform in der Security.txt <!-- TODO: Link ergänzen -->
+Alternativ findet ihr die wesentlichen Informationen in Kurzform nach dem [Security.txt-Standard](https://securitytxt.org/) in der Datei [security.txt](https://docs.fitko.de/.well-known/security.txt).
 
 ## Meldung von Schwachstellen
 
@@ -20,6 +20,9 @@ Folgende Details sind dabei für uns besonders relevant und helfen etwaiige Lüc
 - eine detaillierte Beschreibung der Schritte, die erforderlich sind, um die Schwachstelle zu reproduzieren (verwendeter Browser und Version, Skripte, Zeitpunkt der Beobachtung, Screenshots, etc.);
 - Eure Kontaktdaten (E-Mail-Adresse oder Telefonnummer), damit wir zum Fortschritt bei der Beseitigung der Schwachstelle oder für Rückfragen Kontakt aufnehmen können (wir nehmen aber auch anonyme Meldungen ernst).
 
+Alternativ erreicht ihr den IT-Sicherheitsbeauftragten der FITKO, Marco Holz, unter der Telefonnummer +49 (69) 401270 139.
+Weitere Kontaktdaten findet ihr [auf unserer Webseite](https://www.fitko.de/ueber-uns/wer-wir-sind).
+
 ### Rahmenbedingungen für einen verantwortungsvollen Umgang
 
 Auch beim Umgang mit Schwachstellen sollten einige wichtige Verhaltensregeln beachtet werden:
@@ -37,3 +40,8 @@ Wir überwachen unser Netzwerk und unsere Dienste zusammen mit unseren Partnern
 Wenn eine mutmaßliche Schwachstelle in einem unserer IT-Systeme gemeldet wird, behandeln wir diese Meldung wie folgt:
 - Innerhalb von drei Werktagen nach der Meldung bekommt ihr eine Empfangsbestätigung.
 - Innerhalb von drei Werktagen nach der Empfangsbestätigung erhaltet ihr eine Reaktion, die eine Beurteilung der Meldung und das voraussichtliche Datum der Lösung beinhaltet.
+
+### Weiterführende Informationen
+- Empfehlung für IT-Hersteller „[Handhabung von Schwachstellen](https://www.allianz-fuer-cybersicherheit.de/SharedDocs/Downloads/Webs/ACS/DE/BSI-CS/BSI-CS_019.pdf?__blob=publicationFile&v=1)“ des BSI
+- Blogbeitrag „[Wie gehe ich mit einer Sicherheitslücke um, die ich entdeckt habe?](https://jugendhackt.org/blog/wie-gehe-ich-mit-einer-sicherheitsluecke-um-die-ich-entdeckt-habe/)“ auf jugendhackt.org
+- Vortrag „[Deine Software, die Sicherheitslücken und ich](https://media.ccc.de/v/rc3-2021-xhain-278-deine-software-die-si)“ auf media.ccc.de