Beveiligings- of datalek melden

De veiligheid van onze systemen is erg belangrijk. We doen er alles aan om deze systemen goed te beveiligen. Toch kan het voorkomen dat er een zwakke plek is in de beveiliging. Als u een zwakke plek in één van onze systemen vindt, dan horen wij dit graag. Zo kunnen wij zo snel mogelijk maatregelen treffen.

Wat te doen als u een zwakke plek vindt in onze systemen

Stuur uw bevinding zo snel mogelijk door via zerocopter.

Deel de melding op een vertrouwelijke manier met ons om te voorkomen dat anderen ook toegang krijgen tot deze informatie.
Geef genoeg informatie zodat wij het probleem kunnen nabootsen. Zo kunnen wij het zo snel mogelijk oplossen. Het IP-adres of het webadres van het getroffen systeem en een omschrijving van de zwakke plek is vaak genoeg. Maar bij ingewikkelde problemen kan meer nodig zijn.

• Vertel niemand anders over de kwetsbaarheid of het probleem totdat het is opgelost.
• Plaats geen eigen ‘backdoor’ in een informatiesysteem om daarmee de kwetsbaarheid aan te tonen. Dit kan extra schade opleveren en onnodige veiligheidsrisico’s veroorzaken.
• Misbruik een kwetsbaarheid niet meer dan noodzakelijk is om de zwakke plek te bepalen.
• Kopieer, verwijder of pas geen gegevens aan van het systeem. Wat wel kan is een ‘directory listing’ van een systeem te maken.
• Pas het systeem niet aan.
• Probeer niet vaker toegang tot het systeem te krijgen en deel de toegang niet met anderen.
• Maak geen gebruik van ‘bruteforce attacks’, ‘social engineering’, aanvallen op fysieke beveiliging, ‘distributed denial of service’, spam of applicaties van derden om toegang te krijgen tot systemen.

Wat wij doen met uw bevinding

• Uw melding wordt vertrouwelijk behandeld en uw persoonlijke gegevens worden niet zonder uw toestemming met anderen gedeeld. Uitzondering hierop is als de wet hierom vraagt. Anoniem melden of onder een pseudoniem is mogelijk.
• Wij reageren binnen 5 dagen op uw melding met onze beoordeling en een verwachte datum voor een oplossing.
• Wij houden u op de hoogte van de voortgang van het oplossen van het probleem.
• Als u zich aan bovenstaande voorwaarden heeft gehouden nemen wij geen juridische stappen tegen u voor deze melding.
• Als u dat wilt, treden wij naar buiten treden met nieuws over het gemelde probleem met uw naam als de ontdekker. Neem hiervoor niet zelf of zonder vooraf overleg het initiatief.
• Wij proberen de gemelde problemen zo snel mogelijk op te lossen.

Dit Responsible Disclosure beleid is gebaseerd op een voorbeeld geschreven door Floor Terra en de Leidraad responsible disclosure van het NCSC.