Coordinated Vulnerability Disclosure
Kliksafe is een organisatie die streeft naar veilig internet voor jong en oud. Wij werken met verschillende systemen om onze producten aan te bieden en te ondersteunen. Bij veilig internet horen natuurlijk ook veilige systemen. Elk systeem kan een kwetsbaarheid bevatten, maar wij willen onze uiterste best doen dit tegen te gaan. Wanneer je een kwetsbaarheid in een van onze systemen ontdekt, komen wij dan ook graag met je in contact, zodat wij de kwetsbaarheid kunnen oplossen.
Wat wij van jou verwachten:
- Als je een kwetsbaarheid in een van onze systemen ontdekt willen wij je vragen dit bij ons te melden. Deze melding mag per mail aan disclosure@kliksafe.nl. Wij willen je vragen hiervoor gebruik te maken van onze PGP key, om dit veilig te melden.
- Als je een onderzoek uitvoert naar een kwetsbaarheid in onze systemen. Houdt dan rekening met de proportionaliteit van de kwetsbaarheid. Wanneer je een DDoS-aanval van historische proporties uitvoert op onze website, dan zal deze even niet bereikbaar zijn. We verwachten niet anders.
- Dat je het probleem niet misbruikt door bijvoorbeeld meer data te downloaden dan nodig is om de kwetsbaarheid aan te tonen of gegevens van derden in kijkt, verwijdert of aanpast.
- Dat je de melding voorziet van voldoende informatie om de kwetsbaarheid te kunnen reproduceren. Doorgaans is het IP-adres of de URL van het systeem en een beschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden is meer informatie mogelijk noodzakelijk.
- Dat je de kennis over de kwetsbaarheid niet met derden te delen totdat de kwetsbaarheid door ons is opgelost.
- Dat je alle vertrouwelijke gegevens die zijn verkregen door middel van de kwetsbaarheid, verwijderd direct nadat wij de kwetsbaarheid hebben opgelost.
Wat je van ons mag verwachten:
- We reageren uiterlijk binnen 5 werkdagen inhoudelijk op je melding met een verwachte oplostermijn.
- We lossen de kwetsbaarheid zo snel mogelijk op. Ook hier wordt rekening gehouden met de proporties van de kwetsbaarheid en de oplostijd is afhankelijk van verschillende factoren, waaronder de impact en complexiteit van de kwetsbaarheid.
- Als je je aan de bovenstaande verwachtingen houdt, zullen wij geen juridische stappen tegen je ondernemen ten aanzien van je melding.
- Dat we de melding vertrouwelijk behandelen. Ook zullen we jouw persoonlijke gegevens niet zonder jouw toestemming met derden delen, tenzij dit noodzakelijk is om een wettelijke verplichting na te komen. (Melden onder een pseudoniem is ook mogelijk)
- Als dank voor je hulp willen we je graag vermelden in onze Hall of Fame. Uiteraard vragen wij hiervoor vooraf je toestemming.
Onze tekst is gebaseerd op de tekst van Floor Terra, gepubliceerd onder een Creative Commons Naamsvermelding 3.0 licentie. Deze is te vinden via https://responsibledisclosure.nl
Bekijk onze HALL of FAME
