Een externe beveiligingsonderzoeker heeft een nog niet openbaar gemaakte kwetsbaarheid in een product van een bedrijf gevonden. Welke werkwijze is het meest passend volgens het idee van gecoördineerde openbaarmaking van kwetsbaarheden (Coordinated Vulnerability Disclosure)?

Antwoord: C. Vertrouwelijk melden bij de ontwikkelaar (of een coördinerende instantie), afspraken maken over de tijd die nodig is om een oplossing voor te bereiden, en de informatie over de kwetsbaarheid samen met de oplossing publiceren

Details publiceren voordat er een oplossing is, laat aanvallers de kwetsbaarheid als eersten misbruiken terwijl gebruikers zich niet kunnen beschermen. Bij gecoördineerde openbaarmaking meldt de vinder de kwetsbaarheid vertrouwelijk bij de ontwikkelaar, spreken beiden af hoeveel tijd de ontwikkelaar nodig heeft om een oplossing voor te bereiden, en wordt de informatie samen met de oplossing gepubliceerd (vaak met een termijn van bijvoorbeeld 90 dagen). In Japan bestaat het „Information Security Early Warning Partnership”, gecoördineerd door IPA en JPCERT/CC, en informatie over gecoördineerde kwetsbaarheden wordt gepubliceerd op JVN. Ook bugbountyprogramma's, waarbij bedrijven melders een beloning betalen, bevorderen gecoördineerde openbaarmaking door vooraf meldkanalen en regels vast te leggen.