Kwetsbaarheid melden

Vind je een technische kwetsbaarheid in een systeem van DUWO? Dan kan je dit melden bij ons. Het maken van zo'n melding heet Coordinated Vulnerability Disclosure (CVD).

Je kan bij ons kwetsbaarheden melden die een risico vormen voor de beveiliging van een systeem. Voorbeelden hiervan zijn kwetsbaarheden die het mogelijk maken om een login-formulier te omzeilen of op een onbedoelde manier toegang te krijgen tot een database met persoonsgegevens.

Wij vragen je de volgende procedure te volgen:

• Stuur een bericht naar [email protected] met je bevindingen.
• Beschrijf in je melding zo duidelijk mogelijk hoe het probleem kan worden gereproduceerd; dit draagt bij aan een snelle oplossing. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer informatie nodig zijn. Wij nemen daarover dan contact met je op.
• Laat ten minste een e-mailadres of telefoonnummer achter zodat wij bij vragen contact met je kunnen opnemen. Communicatie via e-mail heeft onze voorkeur.

Zorg ervoor dat:

• Je de melding zo snel mogelijk na ontdekking van de kwetsbaarheid doet.
• Je de informatie over het beveiligingsprobleem niet met anderen deelt totdat je van ons hoort of het is opgelost.
• Je verantwoordelijk omgaat met de kennis over het beveiligingsprobleem, bijvoorbeeld door geen handelingen te verrichten die verder gaan dan noodzakelijk om het beveiligingsprobleem aan te tonen.

Wat moet je niet doen?

Vermijd altijd de volgende handelingen:

• Plaatsen van malware.
• Kopiëren, wijzigen of verwijderen van gegevens in een systeem.
• Aanbrengen van veranderingen in het systeem.
• Herhaaldelijk toegang tot het systeem verkrijgen of de toegang delen met anderen.
• Gebruikmaken van 'brute force' om toegang tot een systeem te verkrijgen.
• Gebruikmaken van denial-of-service of 'social engineering'.

• Wanneer je de melding volgens de procedure doet, hebben wij geen reden om juridische consequenties te verbinden aan je melding. Wij behandelen je melding vertrouwelijk en delen persoonlijke gegevens niet zonder je toestemming met derden, tenzij dit wettelijk of uit hoofde van een rechterlijke uitspraak verplicht is.
• Wij sturen je binnen één week een bevestiging van ontvangst. Binnen twee weken reageren wij op je melding met de beoordeling van de melding. Wij houden je op de hoogte van de voortgang van het oplossen van het probleem.
• DUWO streeft ernaar het door jou gemelde beveiligingsprobleem in een systeem uiterlijk binnen 60 dagen op te laten lossen. In overleg bepalen we, na oplossen van het probleem, of en op welke wijze erover wordt gepubliceerd.