عملية تقييم نقاط الضعف

عندما تكتشف أي جهة ثغرة أمنية، ستقوم بإخطار أمانة برنامج حماية الثغرات الأمنية في أسرع وقت ممكن. وسيتضمن الإخطار وصفًا للثغرة والمنتجات أو الأنظمة المعرضة لها، بالإضافة إلى توصية الجهة إما بنشر معلومات الثغرة أو تقييدها.

ستقوم الأمانة العامة بإخطار جميع المشاركين بتقديم الطلب في غضون يوم عمل واحد، وتطلب منهم الرد إذا كان لديهم اهتمام ذو صلة. ^{[ 4 ]}

يتعين على أي جهة تبدي اهتمامًا أن تُبين ما إذا كانت توافق على التوصية الأصلية بالنشر أو التقييد في غضون خمسة أيام عمل. وفي حال عدم موافقتها، ستجري مناقشات مع الجهة المُقدمة للتوصية وأمانة برنامج مراجعة حقوق الملكية الفكرية في غضون سبعة أيام عمل لمحاولة التوصل إلى توافق في الآراء. وإذا لم يتم التوصل إلى توافق، سيقترح المشاركون خيارات على مجلس مراجعة حقوق الملكية الفكرية. ^{[ 4 ]}

ينبغي اتخاذ القرارات بشأن الكشف عن ثغرة أمنية أو تقييدها بسرعة، بالتشاور الكامل مع جميع الجهات المعنية، وبما يحقق المصلحة العامة للمصالح المتضاربة لمهام حكومة الولايات المتحدة. وينبغي قدر الإمكان أن تستند هذه القرارات إلى منهجيات عقلانية وموضوعية، مع مراعاة عوامل مثل مدى انتشار الثغرة، ومدى الاعتماد عليها، وخطورتها.

إذا لم يتمكن أعضاء لجنة المراجعة من التوصل إلى توافق في الآراء، فسيصوتون على قرار مبدئي. وإذا اعترضت جهة ذات مصلحة على هذا القرار، فلها أن تُخطر أمانة برنامج تقييم الكفاءات المهنية (VEP) بالطعن في القرار المبدئي. وإذا لم تعترض أي جهة على القرار المبدئي، فسيُعتبر قرارًا نهائيًا. ^{[ 4 ]}

في حال تم الكشف عن معلومات الثغرات الأمنية، فسيتم ذلك بأسرع وقت ممكن، ويفضل أن يكون ذلك في غضون سبعة أيام عمل.

سيتم الكشف عن الثغرات الأمنية وفقًا لإرشادات متفق عليها بين جميع الأعضاء. يُفترض أن الجهة المُبلِّغة هي الأكثر درايةً بالثغرة الأمنية، وبالتالي ستكون مسؤولة عن نشر معلومات الثغرة إلى المورِّد. ويجوز للجهة المُبلِّغة تفويض مسؤولية النشر إلى جهة أخرى نيابةً عنها.

ستقوم الجهة المُصدرة للمعلومات بتزويد أمانة برنامج حماية الثغرات الأمنية (VEP) بنسخة من المعلومات المُفصَح عنها فورًا لحفظها في السجلات. إضافةً إلى ذلك، يُتوقع من الجهة المُصدرة للمعلومات متابعة الأمر لكي تتمكن هيئة مراجعة المخاطر (ERB) من تحديد ما إذا كان إجراء المورّد يفي بالمتطلبات الحكومية. إذا اختار المورّد عدم معالجة الثغرة الأمنية، أو لم يتصرف بالسرعة الكافية بما يتناسب مع مخاطرها، فستُخطر الجهة المُصدرة للمعلومات الأمانة، وقد تتخذ الحكومة خطوات تخفيفية أخرى. ^{[ 4 ]}