Udostępnianie zgłoszeń współpracownikom

Po co to?

Zasadne zgłoszenie często musi trafić do kogoś spoza zespołu bezpieczeństwa — inżyniera odpowiedzialnego za usługę, której dotyczy problem, lidera dyżuru czy zewnętrznego wykonawcy. Przesłanie surowego zgłoszenia ujawnia tożsamość badacza, kwoty nagród i wewnętrzne notatki z triażu, a wątku e-mailowego nie da się cofnąć. Udostępnianie współpracownikom daje takiej osobie dokładnie to, czego potrzebuje, żeby potwierdzić i naprawić błąd — i nic więcej — za linkiem, który wygasa i który możesz w każdej chwili odwołać.

Udostępnianie współpracownikom jest dostępne w płatnych planach VDP.

Udostępnianie zgłoszenia

Otwórz zgłoszenie i kliknij Share (Udostępnij) w nagłówku zgłoszenia (gdy ktoś już je obejrzy, oznaczenie Shared · N external viewers otwiera to samo miejsce). Otworzy się okno udostępniania, w którym możesz zaprosić kogoś e-mailem, utworzyć link „każdy, kto ma link” i zarządzać wszystkimi aktywnymi udostępnieniami w jednym miejscu.

Żeby zaprosić e-mailem, wpisz adres odbiorcy, zdecyduj, czy może odpowiadać komentarzami, i wyślij. Kit wyśle mu w imieniu Twojego programu zaproszenie opatrzone jego marką — sam e-mail nie zawiera żadnych szczegółów podatności.

Wysłany link jest przypisany do tego adresu. Jego otwarcie nie pokazuje jeszcze zgłoszenia: współpracownik wpisuje adres, na który poszło zaproszenie, a Kit wysyła na ten adres drugi, krótko ważny link potwierdzający. Zgłoszenie odsłania się dopiero po otwarciu tego linku. Do dostępu potrzebna jest więc skrzynka, a nie sama znajomość adresu — przekazane dalej zaproszenie jest bezużyteczne dla kogoś, kto nie ma wglądu w pocztę pierwotnego odbiorcy. Formularz z pytaniem „na jaki adres to wysłano?” odpowiada zawsze tak samo, niezależnie od tego, czy adres trafiono, czy nie, więc strona nigdy nie potwierdza, do kogo poszło zaproszenie.

Wynikają z tego dwie rzeczy. Współpracownik potrzebuje jednego dodatkowego kliknięcia w swojej skrzynce, kiedy otwiera zgłoszenie po raz pierwszy (i ponownie w nowej przeglądarce). A jeśli pierwotny odbiorca przekaże dalej także wiadomość potwierdzającą, świadomie oddaje swój dostęp — dokładnie tak samo jak przy przekazaniu linku do resetu hasła.

Każdy, kto ma link

Kiedy chcesz wrzucić zgłoszenie na prywatny kanał — firmowy Slack, mostek incydentowy — i nie masz jednego konkretnego odbiorcy, włącz opcję Każdy, kto ma link. Kit da Ci jeden gotowy do skopiowania adres URL, który otwiera to samo okrojone zgłoszenie bez kroku z e-mailem.

• Jeden link na zgłoszenie. Utworzenie linku daje Ci adres URL do skopiowania; cofnięcie go unieważnia ten adres. Utwórz go ponownie, żeby dostać nowy.
• Tylko do odczytu. Osoby z linkiem nie mogą komentować ani prosić o dołączenie do zespołu — to wymaga konkretnej, zweryfikowanej osoby, więc takie prośby pozostają na ścieżce e-mailowej.
• Tak samo okrojone, te same ograniczenia. Link ujawnia dokładnie to samo co zaproszenie e-mailem (i ukrywa dokładnie to samo). Nadal wygasa po 7 dniach i możesz go odwołać w każdej chwili. Zamknięcie zgłoszenia cofa już udostępnione linki — ale możesz potem celowo udostępnić je ponownie.

Skoro każdy, kto ma link, może go otworzyć, udostępniaj go tylko tam, gdzie sam udostępniłbyś okrojone szczegóły. W razie wątpliwości zaproś raczej e-mailem — to wiąże dostęp ze skrzynką, do której trzeba mieć wgląd.

Co widzi współpracownik

Udostępniony widok to okrojona wersja zgłoszenia tylko do odczytu:

• Widoczne — typ podatności, endpoint, którego dotyczy podatność, poziom ważności, opis, kroki reprodukcji oraz załączniki (serwowane jako tymczasowe pliki do pobrania z osobnej domeny).
• Ukryte — tożsamość i e-mail badacza, kwoty nagród, Twoje notatki wewnętrzne, autor oceny oraz oś czasu Twojego zespołu.

Jeśli włączysz komentarze, współpracownik może odpowiedzieć. Jego odpowiedzi trafiają do zgłoszenia jako wewnętrzne notatki widoczne tylko dla zespołu (wyraźnie oznaczone jako pochodzące od zewnętrznego współpracownika) i nigdy nie są pokazywane badaczowi.

Wygaśnięcie i odwołanie

• Linki wygasają po 7 dniach od utworzenia.
• Zamknięcie zgłoszenia (rozwiązane, zapłacone lub odrzucone) cofa już udostępnione linki. Możesz potem udostępnić je ponownie — przydatne, gdy odrzucasz zgłoszenie jako „poza zakresem” i chcesz przekazać je do właściwego dostawcy. Współpracownik widzi wtedy krótką informację „to zgłoszenie zostało zamknięte”, więc wie, że to migawka.
• Możesz odwołać każde udostępnienie w każdej chwili z okna udostępniania — współpracownik natychmiast traci dostęp.

Gdy link wygaśnie

Współpracownik, który otworzy wygasłe zaproszenie e-mailem, nie trafia już w ślepy zaułek. Po przejściu tego samego potwierdzenia przez skrzynkę może:

• Poprosić o nowy link — o ile zgłoszenie jest nadal otwarte, Kit wyśle nowy 7-dniowy link na ten sam adres (nigdy nigdzie indziej). Cofniętego linku nie da się odnowić samodzielnie, a gdy zgłoszenie zostanie zamknięte, współpracownik również nie odnowi go samodzielnie — ponowne udostępnienie zamkniętego zgłoszenia pozostaje Twoją świadomą decyzją, więc współpracownik widzi tylko informację, żeby się z Tobą skontaktować.
• Poprosić o dołączenie do zespołu — ten sam proces prośby o dołączenie opisany poniżej.

Wygasły link „każdy, kto ma link” nie ma odbiorcy, dla którego można by go odnowić, więc jest po prostu ślepym zaułkiem — utwórz nowy link z okna udostępniania, jeśli nadal go potrzebujesz.

Kto otworzył zgłoszenie

Dostęp z zewnątrz jest pokazywany jako sygnał bezpieczeństwa, a nie ciche potwierdzenie „przeczytano”:

• Lista Active shares (Aktywne udostępnienia) w oknie udostępniania pokazuje każde udostępnienie — odbiorcę (lub „Każdy, kto ma link”), status, liczbę wyświetleń, czas ostatniego wyświetlenia i kraj, z którego je otworzono.
• Nagłówek zgłoszenia pokazuje oznaczenie „Shared · N external viewers” (kliknij je, aby otworzyć okno udostępniania).
• Oś czasu zgłoszenia zapisuje zdarzenie External viewer opened this report.
• Każda osobna sesja przeglądarki, w której otwarto zgłoszenie, zostawia w dzienniku własny wpis, więc drugi czytający nie ukryje się za niedawną wizytą pierwszego. Przy zaproszeniu e-mailem każda taka sesja oznacza kolejne przejście przez skrzynkę odbiorcy.
• Osoba, która udostępniła link, oraz osoba przypisana do zgłoszenia dostają powiadomienie przy pierwszym otwarciu przez dany adres, a potem za każdym razem, gdy zgłoszenie zostanie otwarte z nowego kraju. Przy zaproszeniu e-mailem adres nie może się zmienić (jest z góry przypisany), więc uwagi wart jest właśnie kraj: to samo zaproszenie otwarte z nowego miejsca to powód, żeby dopytać.

Prośba o dołączenie do zespołu

Współpracownik, który potrzebuje stałego dostępu, może z udostępnionego zgłoszenia poprosić o dołączenie do Twojego zespołu bezpieczeństwa. Prośba trafia do administratorów konta razem z innymi prośbami o dostęp; jej zatwierdzenie wysyła zwykłe zaproszenie do zespołu, a po jego przyjęciu osoba staje się pełnoprawnym członkiem z własnym kontem — koniec z jednorazowymi linkami.

Kiedy otworzysz prośbę, Kit pokaże Ci, kto prosi i z którego zgłoszenia pochodzi udostępnienie. Te pola czytaj różnie: e-mail to adres, na który wysłałeś zaproszenie (osoba prosząca nie może go podmienić — Kit bierze go z potwierdzonego udostępnienia, nie z formularza), a kraj pochodzi z połączenia. Za to imię i nazwisko oraz notatka to dowolny tekst, który wpisała osoba prosząca. Adres traktuj jak fakt, a nazwisko jak deklarację, i przed zaproszeniem upewnij się, że rzeczywiście udostępniłeś coś tej osobie. Approve wysyła zaproszenie do zespołu; Dismiss po cichu odrzuca prośbę (osoba prosząca nie zostaje o tym powiadomiona).