Responsible Disclosure

Responsible Disclosure BIT B.V. - Versie 2018-12-31

Bij BIT vinden we de beveiliging van onze systemen erg belangrijk, maar ondanks onze inspanningen om de veiligheid te waarborgen, kan er toch een zwakke plek zijn. Als je een zwakke plek in een van onze systemen ontdekt, dan horen we dat graag zodat we zo snel mogelijk maatregelen kunnen treffen. Wij willen graag met u samenwerken om zowel onze klanten als onze systemen beter te beschermen. Ons Responsible Disclosure-beleid is ook beschikbaar als pdf.

De infrastructuur van BIT wordt ook gebruikt door systemen van derden en in veel gevallen door die derden beheerd. Zwakke plekken in door derden beheerde systemen vallen niet onder dit Responsible Disclosure-beleid. Systemen die niet onder dit beleid vallen hebben een hostname die vm.bit.nl, colo.bit.nl of customer.bit.nl bevat. U kunt desondanks meldingen maken voor systemen met dergelijke hostnames. Als u dit doet gaat u er bij voorbaat mee akkoord dat uw melding ongecensureerd wordt doorgestuurd naar de beheerder van het systeem in kwestie. In dergelijke gevallen zijn de beloftes die BIT hieronder doet niet meer van toepassing.

Wij vragen u:

Geen gebruik te maken van aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of geautomatiseerde tools, zoals vulnerability scanners.
Geen misbruik te maken van het probleem door bijvoorbeeld meer data te downloaden dan nodig is om het lek aan te bewijzen, of het bekijken, verwijderen of wijzigen van gegevens van derden.
Het probleem niet met anderen te delen tot het is opgelost.
Uw bevindingen te mailen naar cert@bit.nl. Versleutel uw bevindingen met onze PGP-key (te vinden onderaan deze pagina) om gevoelige informatie uit de verkeerde handen te houden.
Voldoende informatie te geven zodat we het probleem zo snel mogelijk kunnen reproduceren. Zo kunnen wij het probleem zo snel mogelijk oplossen. Doorgaans is het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid voldoende, maar voor complexere kwetsbaarheden kan aanvullende informatie nodig zijn.
Alle gegevens die via het lek verkregen zijn te wissen.

Wat wij beloven:

Als u aan de bovenstaande voorwaarden heeft voldaan, zullen wij geen juridische stappen tegen u ondernemen naar aanleiding van de melding.
Wij reageren binnen drie werkdagen op uw melding met onze beoordeling en een geschatte datum voor een oplossing.
Wij houden u op de hoogte van de status van de oplossing.
Wij behandelen uw melding vertrouwelijk en zullen uw persoonlijke gegevens niet zonder uw toestemming aan derden verstrekken, tenzij dit wettelijk verplicht is.
Het is mogelijk om onder pseudoniem te melden.
In alle communicatie met betrekking tot het gemelde probleem zullen wij u desgewenst vermelden als de ontdekker.

We streven ernaar om alle problemen zo snel mogelijk op te lossen en worden graag betrokken bij een eventuele publicatie over het probleem nadat het is opgelost.

De bovenstaande tekst is gebaseerd op het werk van Floor Terra zoals het gepubliceerd is op https://www.responsibledisclosure.nl.

De aangepaste tekst is gepubliceerd onder de Creative Commons Naamsvermelding 3.0 licentie.

PGP-key