Responsible disclosure
Verantwoord omgaan met ICT-kwetsbaarheden
Bij De Dienst nemen we uitgebreide maatregelen om onze computersystemen goed te beveiligen. Toch kunnen ook onze systemen zwakke plekken hebben. Ontdek jij een zwakke plek in één van onze systemen? Laat ons dat dan weten. Wij kunnen dan snel gepaste maatregelen nemen.
Als jij een zwakke plek bij ons meldt, dan ga je akkoord met onderstaande afspraken. Wij handelen jouw melding dan ook volgens onderstaande afspraken af. Dit noemen we responsible disclosure. Dat is het op een verantwoorde wijze en in goede afstemming tussen melder en organisatie openbaar maken van ICT-kwetsbaarheden.
Dit vragen we van je
Constateer jij een kwetsbaarheid in onze systemen? Handel dan als volgt:
- Verstuur jouw bevindingen via bestandverzenden.leeuwarden.nl naar wittehoed@sozawe-nw-fryslan.nl.
- Doe je melding zo snel mogelijk na ontdekking van de kwetsbaarheid.
- Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer informatie nodig zijn.
- We krijgen graag je tips voor het oplossen van ons probleem. Beperk je daarbij tot verifieerbare feitelijkheden die betrekking hebben op de kwetsbaarheid die jij geconstateerd hebt. Vermijd dat jouw advies eigenlijk alleen reclame is voor specifieke (beveiligings)producten.
- Stuur e-mailadres en/of telefoonnummer mee zodat we contact met je op kunnen nemen om samen te werken aan een veilig resultaat.
De volgende handelingen zijn niet toegestaan
- Het plaatsen van malware op onze systemen of op die van anderen.
- Het zogeheten “bruteforcen” van toegang tot systemen
- Het gebruik maken van social engineering. Dat mag alleen als dat echt noodzakelijk is om aan te tonen dat medewerkers met toegang tot gevoelige gegevens in het algemeen (ernstig) tekort schieten in hun plicht om daar zorgvuldig mee om te gaan. Dat wil zeggen dat het op legale wijze (dus niet via chantage of iets dergelijks), te eenvoudig is om medewerkers over te halen om gevoelige gegevens te verstrekken aan onbevoegden. Je zorgt er daarbij zoveel mogelijk voor dat de betreffende medewerkers zelf niet geschaad worden. Je bevindingen moeten gericht zijn op het aantonen van gebreken in onze procedures en werkwijze, niet op het schaden van individuele medewerkers.
- Het openbaar maken of aan derden verstrekken van informatie over het beveiligingsprobleem voordat het is opgelost.
- Het verrichten van handelingen die verder gaan dan wat strikt noodzakelijk is om het beveiligingsprobleem aan te tonen en te melden. In het bijzonder waar het gaat om het verwerken (waaronder het inzien of kopiëren) van vertrouwelijke gegevens waar je door de kwetsbaarheid toegang toe hebt gehad. In plaats van bijvoorbeeld een complete database te kopiëren, kun je meestal volstaan met bijvoorbeeld een directory listing. Het wijzigen of verwijderen van gegevens in het systeem is nooit toegestaan.
- Het openbaar maken of aan derden verstrekken van informatie over het beveiligingsprobleem voordat het is opgelost.
- Het openbaar maken of aan derden verstrekken van vertrouwelijke gegevens, zoals privacygevoelige gegevens.
- Technieken gebruiken waarmee de beschikbaarheid en/of bruikbaarheid van het systeem of services wordt verminderd (DoS-aanvallen).
- Op wat voor (andere) manieren dan ook misbruik maken van de kwetsbaarheid.
Dit mag je verwachten
- Je ontvangt binnen een werkdag een (automatische) ontvangstbevestiging. Wij reageren binnen drie werkdagen met een (eerste) beoordeling van de melding en eventueel een verwachte datum voor een oplossing.
- Wij behandelen een melding vertrouwelijk en delen je persoonlijke gegevens niet zonder jouw toestemming met derden, tenzij wij daar volgens de wet of een rechterlijke uitspraak toe verplicht zijn.
- Wanneer je aan alle bovenstaande voorwaarden voldoet, doen wij geen strafrechtelijke aangifte tegen je en spannen we ook geen civielrechtelijke zaak tegen je aan. Als toch blijkt dat je je niet aan een van de voorwaarden hebt gehouden, kunnen wij alsnog gerechtelijke stappen tegen je te ondernemen.
- Wij lossen het door jou gemelde beveiligingsprobleem zo snel mogelijk op. We houden je zo goed mogelijk op de hoogte van de voortgang en proberen het probleem altijd binnen 90 dagen op te lossen. Wij zijn daarbij vaak wel (mede)afhankelijk van toeleveranciers.
- Wij delen de ontvangen melding altijd met de Informatiebeveiligingsdienst voor gemeenten (IBD). Daardoor kunnen gemeenten hun ervaringen op dit vlak met elkaar delen. Als je dit wilt kunnen we jouw naam vermelden als de ontdekker van de kwetsbaarheid. In alle andere gevallen blijf je anoniem.
- We bepalen in overleg of en hoe we verder over het probleem communiceren, nadat het is opgelost.
Heb je vragen?
Heb je vragen over dit onderwerp? Neem dan contact op met onze security officer, via onze contactpagina.