Niet actief scannen
Ons ‘responsible disclosure’-beleid is geen uitnodiging om ons bedrijfsnetwerk en/of website(s) uitgebreid en actief te scannen op zwakke plekken.
Wij monitoren ons netwerk zelf. Hierdoor is de kans groot dat een scan wordt opgepikt en dat ons Security Operation Centre (SOC) hier onderzoek naar gaat doen. Dan worden er mogelijk onnodig kosten gemaakt.
Samen onze systemen beschermen
Wij willen graag samenwerken om onze systemen beter te kunnen beschermen. Problemen lossen we zo snel mogelijk op. Heel veel dank voor je hulp!
We vragen jou
- Meld je bevinding direct.
- Misbruik het probleem niet om het probleem aan te tonen. Bijvoorbeeld door meer data te downloaden dan nodig is of gegevens van derden in te kijken, te verwijderen of aan te passen.
- Deel het probleem niet met anderen totdat het is opgelost en verwijder alle vertrouwelijke gegevens die je hebt verkregen, direct nadat het probleem is opgelost.
- Maak geen gebruik van aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of applicaties van derden.
- Geef voldoende informatie om het probleem te reproduceren. Zo kunnen wij het zo snel mogelijk oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende. Bij een ingewikkelder kwetsbaarheid kan meer informatie nodig zijn.
We beloven
- Wij reageren binnen 5 werkdagen op je melding. We geven dan een beoordeling van de melding en een verwachte datum voor een oplossing.
- Houd je je aan de hier beschreven voorwaarden, dan nemen wij geen juridische stappen tegen je voor de melding.
- Wij behandelen je melding vertrouwelijk. We geven je persoonlijke gegevens niet zonder toestemming aan derden. Alleen als dat noodzakelijk is om een wettelijke verplichting na te komen. Melden onder een pseudoniem is mogelijk.
- Als dank voor je hulp bieden wij een beloning aan in de vorm van een cadeaukaart. Dit geldt voor elke melding van een bij ons nog onbekend beveiligingsprobleem. De grootte van de beloning bepalen wij aan de hand van de ernst van het probleem en de kwaliteit van de melding. We geven geen beloning als de kwetsbaarheid al bij ons bekend is of als we het bijbehorende risico laag inschatten of dit risico voor ons acceptabel is.
- Volgt er een publicatie over het probleem nadat het is opgelost, dan zijn we graag betrokken. Een publicatie met vermelding van de Alliantie mag alleen als wij dit vooraf schriftelijk hebben gekeurd.
