Coordinated Vulnerability Disclosure

Bij Secusoft werken we voortdurend aan het waarborgen van de veiligheid, en het beschermen van onze software en systemen. Het beveiligen van gegevens heeft onze topprioriteit. Er kunnen echter kwetsbaarheden worden ontdekt binnen onze website, software of webapplicatie. In deze Coordinated Vulnerability Disclosure (CVD) of Responsible Disclosure beschrijven wij ons beleid met betrekking tot het melden van een kwetsbaarheid en welke vervolgstappen wij hierop zullen nemen.

Heb je een kwetsbaarheid gevonden?
Wanneer je bugs of beveiligingslekken in ons systeem aantreft, verzoeken wij je dit te melden via support@secusoft.nl, of bij dringende zaken via WhatsApp. Ons vierkoppige team zorgt ervoor dat jouw melding snel bij onze IT Security Manager terechtkomt. Deze persoon zal vervolgens stappen ondernemen om de gevonden kwetsbaarheid zo snel mogelijk op te lossen en je desgewenst op de hoogte houden van de voortgang. Ook maken wij graag een account voor je aan op onze development server, vanwaar je verder kunt testen.

Welke gegevens hebben we nodig?
De gegevens die we nodig hebben om het probleem te reproduceren en op te lossen zijn:

• Datum en tijdstip waarop de kwetsbaarheid werd gevonden
• Welke kwetsbaarheid werd ontdekt?
• Welke URL en/of welk IP-adres hoort hierbij?
• Beschrijving van het pad en/of de genomen stappen die tot de ontdekking van de kwetsbaarheid hebben geleid
• Indien er behoefte is aan opvolging/erkenning (we hebben nog geen Wall of Fame, wie weet ben jij de eerste aan deze muur) ontvangen wij ook graag een naam/alias en e-mailadres waarop wij contact met je kunnen opnemen.

Wat kun je van ons verwachten?

• Onze IT-beveiligingsfunctionaris zal onmiddellijk maatregelen nemen om de gevonden kwetsbaarheid te herstellen.
• Als je dat wenst, houden wij je op de hoogte van de voortgang van deze reparatie.
• Het kan zijn dat wij je vragen een nieuwe test uit te voeren om er zeker van te zijn dat er geen (andere) kwetsbaarheden meer zijn.

Wij stellen je hulp op prijs en zullen er verantwoord mee omgaan. Als je je aan de regels in de volgende paragraaf houdt, zal Secusoft geen verdere juridische stappen ondernemen om je te vervolgen. Afhankelijk van de ernst en omvang van de kwetsbaarheid kunnen we eventueel een bug bounty aanbieden. Of dit van toepassing is en hoeveel wij kunnen bieden, hangt af van de ernst van de fout en het daaraan verbonden risico, en of je tijdens het cyberonderzoek aan de volgende voorwaarden hebt voldaan.

Responsible Disclosure
Wij vragen jou om je tijdens het onderzoek te allen tijde aan de volgende punten te conformeren:

• Download en/of bekijk niet meer gegevens dan nodig is om de inbreuk te bewijzen
• Breng geen wijzigingen aan in onze systemen of de gegevens die je hebt gevonden
• Verwijder gevoelige gegevens verkregen tijdens je onderzoek onmiddellijk nadat de kwetsbaarheid is opgelost
• Voer dit onderzoek niet uit met behulp van gegevens (zoals gebruikersnamen, wachtwoorden) verkregen via een fysieke aanval, social engineering of een DDoS-aanval
• Deel het probleem niet met anderen totdat het is opgelost