Beleid Responsible Disclosure
Reade hecht grote waarde aan de veiligheid van haar informatiesystemen. Ondanks onze continue aandacht voor het beveiligen van deze systemen kan er toch een zwakke plek zijn.
Graag horen wij het zo spoedig mogelijk als je een zwakke plek gevonden hebt. Wij willen in dat geval namelijk direct maatregelen treffen en graag met jou samenwerken om de beveiliging van onze systemen te optimaliseren.
Geef het ons door
Mail jouw bevindingen met de vermelding dat je handelt conform het ‘responsible disclosure’ beleid.
Geef ons voldoende informatie om het probleem te reproduceren zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaat het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid. Bij complexere kwetsbaarheden kan meer nodig zijn.
Laat contactgegevens achter (minimaal een e-mailadres of telefoonnummer) zodat we contact met je kunnen opnemen om samen te werken aan een veilig resultaat.
Wat kan jij intussen zelf doen?
- Deel de informatie over het beveiligingsprobleem niet met anderen te delen totdat het opgelost is;
- Ga verantwoordelijk om met de kennis over het beveiligingsprobleem, door geen handelingen te verrichten die verder te gaan dan noodzakelijk is voor het aantonen van het beveiligingsprobleem. Vermijd misbruik van een zwakke plek door bijvoorbeeld: Het plaatsen van malware;
- Het kopiëren, wijzigen of verwijderen van gegevens in een systeem (een alternatief hiervoor is het maken van een directory listing van een systeem);
- Het aanbrengen van veranderingen in het systeem;
- Het herhaaldelijk toegang verkrijgen tot het systeem of de toegang te delen met anderen;
- Het gebruiken van het zogeheten "brute forcing" van toegang tot systemen;
- Het gebruiken van denial-of-service of social engineering.
Wat wij beloven
- Binnen een week reageren wij op jouw melding. In onze reactie zullen wij een beoordeling van de melding en een verwachte datum voor een oplossing aangeven.
- Wij behandelen jouw melding vertrouwelijk en delen jouw persoonlijke gegevens niet zonder jouw toestemming met derden, tenzij dat noodzakelijk is om een wettelijke verplichting na te komen. Melden onder een pseudoniem is mogelijk.
- Wij houden je op de hoogte van de voortgang van het oplossen van het probleem.
- In berichtgeving over het gemelde probleem zullen wij, als je dit wenst, jouw naam vermelden als de ontdekker.