CVD Responsible Disclosure beleid

Home » CVD Responsible Disclosure beleid

Beveiligingsincident melden

Wij vragen uw hulp bij het melden van mogelijke beveiligingsincidenten. Vindt u een zwakke plek, meldt het ons via het formulier: Beveiligingsincident-melden.

Coordinated Vulnerability Disclosure (CVD)

(Gecoördineerde Bekendmaking van Kwetsbaarheden)

Het doel van Coordinated Vulnerability Disclosure (CVD), is het bijdragen aan de veiligheid van ICT systemen door kennis over kwetsbaarheden te delen.

Responsive Disclosure (RD)

(Verantwoorde openbaarmaking) RD is het op een verantwoorde wijze openbaar maken van ICT-kwetsbaarheden of incidenten, voordat deze publiekelijk wordt gedeeld.  

Hierbij werken Tisda als beheerder (voor al zijn klanten) en de melder met elkaar samen. Een ieder kan een beveiligingsmelding doen via onderstaand formulier, waarna Tisda de kans heeft om de kwetsbaarheid (voor en met zijn klant) te helpen oplossen.

Door het melden van kwetsbaarheden kunnen wij deze dan verhelpen, vóórdat deze actief misbruikt zullen worden door derden.  Hierdoor kan de schade zoveel mogelijk worden voorkomen of beperkt.

Vindt u een zwakke plek in de beveiliging? Meld dit dan zo snel mogelijk bij ons. 

Voor welke kwetsbaarheden een beveiligingsmelding maken?

U kunt kwetsbaarheden melden die een risico vormen voor de beveiliging van een systeem.

  Voorbeelden hiervan zijn:

  kwetsbaarheden zoals bijvoorbeeld: Cross-Site Scripting (XSS) of SQL injectie. 
op een onbedoelde manier toegang krijgen tot een database met persoonsgegevens  
(bijv. namen, adressen, telefoonnummers, e-mail adressen).

Wanneer u twijfelt of de afwijking die u heeft gevonden een risico vormen voor de beveiliging van ons systeem, kunt u deze afwijking uiteraard gewoon melden. Wij zullen vervolgens bepalen of het om een kwetsbaarheid gaat en de juiste vervolgacties uitzetten.

Wij vragen u de volgende procedure te volgen

Vul het ‘Responsible Disclosure’-formulier in  

Hierin kan eventuele bewijsmaterialen worden bijgevoegd.  
Als u geen persoonlijke gegevens opgeeft, wordt uw melding anoniem behandeld.

Geef ons voldoende informatie.  

Zo kunnen wij het probleem achterhalen en zo snel mogelijk oplossen.
Meestal is het IP-adres of de URL én de omschrijving van de fout van het systeem voldoende.

Misbruik het probleem niet.

Download niet meer data dan nodig is.  
Verwijder daarnaast geen gegevens van anderen.

Deel het probleem niet met anderen tot het probleem is opgelost.  

Alle vertrouwelijke gegevens die u heeft ontvangen moeten worden gewist.

Maak geen gebruik van aanvallen op fysieke beveiliging, social engineering, spam, bruteforce of applicaties van derden.
Ook vragen wij u geen gebruik te maken van technieken waarmee de beschikbaarheid en/of bruikbaarheid van het systeem of de dienstverlening wordt verminderd.

Wat wij doen?

Als u persoonsgegevens of alleen een e-mail adres invult in ons meldingsformulier, doen wij het volgende: 

Binnen vijf dagen, reageren wij op uw melding. Hierbij geven we (indien mogelijk) aan wanneer we een oplossing verwachten; 
Wij behandelen uw melding vertrouwelijk en delen uw persoonlijke gegevens niet zonder uw toestemming met anderen.  
Tenzij dat noodzakelijk is om een wettelijke verplichting na te komen;

Wij houden u op de hoogte van de voortgang van het oplossen van het probleem. Als u dat wilt, vermelden wij uw naam als ontdekker van het gemelde probleem;

Houdt u zich aan bovenstaande voorwaarden?  Dan ondernemen wij geen juridische stappen over uw melding; 

Wij proberen de problemen zo snel mogelijk op te lossen.  Verder worden wij graag betrokken bij eventuele publicatie over het probleem, nadat het probleem is opgelost

Beveiligingsincident melden​

Coordinated Vulnerability Disclosure (CVD)​

Responsive Disclosure (RD)​