Responsible disclosure

Een zwakke plek in onze systemen kunt u melden via [email protected]. Meld de kwetsbaarheid voordat u dit aan de buitenwereld kenbaar maakt. Zo kunnen wij eerst maatregelen treffen. Dit heet responsible disclosure.

Als u een melding doet van een kwetsbaarheid in een ICT-systeem, denk dan aan de volgende zaken:

• Geef voldoende informatie om het probleem te reproduceren. Zo kunnen wij het probleem zo snel mogelijk oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende.

• Laat uw contactgegevens (e-mailadres of telefoonnummer) achter zodat wij contact met u kunnen opnemen.

• Doe de melding zo snel mogelijk na ontdekking van de kwetsbaarheid.

• Deel de informatie over het beveiligingsprobleem niet met anderen totdat het is opgelost.

• Ga verantwoordelijk om met de kennis over het beveiligingsprobleem. Verricht geen handelingen die verder gaan dan wat nodig is om het beveiligingsprobleem aan te tonen.

• Als u een kwetsbaarheid ontdekt, maak hier dan geen misbruik van door bijvoorbeeld malware te plaatsen, gegevens in een systeem te kopiëren, wijzigen of verwijderen, veranderingen aan te brengen in het systeem, herhaaldelijk toegang te verkrijgen tot het systeem of de toegang te delen met anderen, gebruik te maken van ‘bruteforcing’, denial-of-service of social engineering.

Voldoet uw melding aan deze voorwaarden? Dan verbinden wij geen juridische consequenties aan uw melding.

Wat doen wij met uw responsible disclosure melding?
Heeft u een melding gedaan van een zwakke plek in een ICT-systeem? Dan reageren we binnen 3 werkdagen op uw melding. We houden u als melder op de hoogte van de voortgang van het oplossen van het probleem en lossen het beveiligingsprobleem zo snel mogelijk op. We zullen samen met u bepalen of en hoe over het gemelde probleem wordt bericht. Berichtgeving vindt pas plaats nadat het probleem is opgelost. We bieden u verder een beloning als dank voor de hulp en behandelen uw melding vertrouwelijk. We delen uw gegevens niet zonder uw toestemming behalve als dit wettelijk verplicht is. Als u dat wilt, kunnen we uw naam vermelden als de ontdekker van de gemelde kwetsbaarheid.