Amsterdam • Join ons team van ervaren developers
Richtlijnen voor het verantwoordelijk melden van beveiligingskwetsbaarheden
Bij Appfront vinden we digitale veiligheid van groot belang. Met dit beleid maken wij duidelijk hoe u (bijvoorbeeld een beveiligingsonderzoeker of 'white-hat hacker') op een verantwoorde manier een mogelijke kwetsbaarheid kunt melden.
Een kwetsbaarheid is een zwakke plek of fout in onze software of systemen die misbruikt kan worden door onbevoegden.
Door samen te werken met melders (onderzoekers die fouten en lekken vinden) verbeteren we de beveiliging van onze diensten. We moedigen u aan gevonden problemen zo snel mogelijk en vertrouwelijk bij ons te melden.
CVD staat voor Coordinated Vulnerability Disclosure, oftewel gecoördineerd melden van kwetsbaarheden. In dit beleid leggen we uit wat binnen de scope van Appfront valt, welke onderzoeksmethoden zijn toegestaan en hoe wij omgaan met uw melding.
Wij hebben duidelijke regels opgesteld voor het zoeken en melden van kwetsbaarheden. Deze regels zorgen dat u weet wat wél en níet is toegestaan.
Dit beleid geldt voor alle websites, webapplicaties, mobiele apps en (cliënt)systemen van Appfront die openbaar toegankelijk zijn. Het gaat om onze productieomgevingen en -diensten. Specifiek vallen de volgende systemen binnen de scope van dit beleid:
De volgende systemen en activiteiten vallen expliciet buiten de scope van dit beleid:
Onderzoek naar systemen die buiten de scope vallen, kan juridische consequenties hebben en wordt niet gedekt door dit beleid.
U kunt de volgende methoden gebruiken om kwetsbaarheden te onderzoeken:
Bij al deze activiteiten geldt dat u voorzichtig moet handelen en onze servers en diensten niet onnodig mag belasten. Voer tests geleidelijk uit en vermijd acties die tot verstoring van de dienstverlening kunnen leiden.
De volgende handelingen zijn ten strengste verboden:
Als u zich aan deze regels houdt, beschouwen wij u als een betrouwbare melder. We gaan ervan uit dat u in goed vertrouwen handelt. Houd er rekening mee dat Appfront zich het recht voorbehoudt om maatregelen te nemen als deze regels niet worden nageleefd.
U kunt kwetsbaarheden via de volgende kanalen bij ons melden. Wij hanteren een gestructureerd proces om ervoor te zorgen dat uw melding snel en adequaat wordt behandeld.
Stuur een bericht naar info@appfront.nl. Gebruik in het onderwerp bijvoorbeeld "Beveiligingsmelding – [kort onderwerp]". Dit helpt ons uw melding snel te identificeren en te prioriteren.
Gebruik het contactformulier op onze website. Kies daar duidelijk dat het om een beveiligingsmelding gaat en verstrek dezelfde informatie als bij e-mail.
Om uw melding zo effectief mogelijk te laten verlopen, verzoeken wij u de volgende informatie op te nemen:
Zorg ervoor dat u géén gevoelige of vertrouwelijke gegevens (zoals persoonsgegevens van anderen, wachtwoorden, of volledige database-dumps) meestuurt. Verstrek alleen de informatie die nodig is om de kwetsbaarheid aan te tonen.
Appfront behandelt uw melding uiteraard vertrouwelijk. Wij gaan zorgvuldig om met de informatie die u met ons deelt en zullen deze niet delen met derden, behalve wanneer dit noodzakelijk is voor het oplossen van de kwetsbaarheid of wanneer wij hiertoe wettelijk verplicht zijn.
Indien u kiest voor anoniem melden, respecteren wij deze keuze volledig. Houd er echter rekening mee dat anonieme meldingen soms lastiger te verifiëren en op te volgen zijn.
Na ontvangst van uw melding volgen wij een gestructureerd proces om ervoor te zorgen dat de kwetsbaarheid snel en adequaat wordt opgelost. Wij streven naar transparante communicatie gedurende het gehele proces.
Wij streven ernaar uw melding binnen twee werkdagen te bevestigen. U ontvangt dan per e-mail een ontvangstbevestiging met een uniek referentienummer, zodat u later naar uw melding kunt verwijzen. In deze bevestiging geven wij ook een eerste indicatie van de vervolgstappen.
Mocht u binnen twee werkdagen geen ontvangstbevestiging hebben ontvangen, verzoeken wij u contact met ons op te nemen om te controleren of uw melding bij ons is aangekomen.
Na de ontvangstbevestiging beoordeelt ons beveiligingsteam uw melding. Tijdens deze fase:
Deze beoordeling wordt normaal gesproken binnen één week na ontvangst afgerond. Bij complexe meldingen kan dit langer duren.
Vervolgens starten we met het ontwikkelen van een oplossing of update. De doorlooptijd is afhankelijk van verschillende factoren:
Tijdens het ontwikkelproces houden we u regelmatig op de hoogte van de voortgang. Wij streven ernaar minstens elke twee weken een update te geven over de status van de oplossing.
Voordat wij een oplossing uitrollen, testen wij deze grondig om ervoor te zorgen dat:
Na succesvolle testing wordt de oplossing geïmplementeerd in onze productieomgeving. Wij monitoren de systemen na implementatie om ervoor te zorgen dat alles naar verwachting functioneert.
Zodra een oplossing is geïmplementeerd en geverifieerd, plannen we – in goed overleg met u – de publieke bekendmaking van de kwetsbaarheid. Belangrijke principes hierbij zijn:
In sommige gevallen kan het noodzakelijk zijn om externe partijen zoals het Nationaal Cyber Security Centrum (NCSC) te informeren, bijvoorbeeld bij kwetsbaarheden die meerdere organisaties raken of onderdeel uitmaken van de vitale infrastructuur.
Appfront waardeert de hulp van beveiligingsonderzoekers enorm. Zonder de inzet van de security community zouden veel kwetsbaarheden onontdekt blijven. Als u zich heeft gehouden aan ons beleid en een geldige kwetsbaarheid heeft gemeld, erkennen wij graag uw bijdrage op verschillende manieren.
Wij bedanken u persoonlijk voor uw melding. Daarnaast bieden wij de volgende vormen van erkenning:
De vorm van erkenning is altijd afhankelijk van uw voorkeur. Wij respecteren volledig als u liever anoniem wilt blijven.
Afhankelijk van de ernst en kwaliteit van de gevonden kwetsbaarheid kunnen wij een materieel blijk van waardering bieden. Dit kan verschillende vormen aannemen:
De hoogte en vorm van de beloning wordt bepaald door verschillende factoren:
De hoogte hiervan wordt altijd in overleg met u bepaald. Wij streven naar eerlijkheid en transparantie in ons beloningssysteem.
Door op deze manier erkenning en (indien van toepassing) een beloning te geven, hopen we een constructieve en langdurige relatie met beveiligingsonderzoekers op te bouwen. Wij geloven dat continue samenwerking met de security community essentieel is voor het handhaven van een hoog beveiligingsniveau.
Ervaren onderzoekers die regelmatig kwalitatieve meldingen doen, kunnen uitgenodigd worden voor:
Wij stellen het op prijs dat u integer handelt tijdens uw onderzoek. Deze sectie beschrijft de wederzijdse verwachtingen en verantwoordelijkheden tussen Appfront en beveiligingsonderzoekers.
Als melder gaat u akkoord met de volgende richtlijnen en verplicht u zich deze na te leven:
Beperking van aansprakelijkheid: Appfront kan niet aansprakelijk worden gesteld voor eventuele schade die tijdens uw onderzoek ontstaat, ook niet als u volledig volgens dit beleid heeft gehandeld. Dit geldt onder andere voor:
Juridische bescherming: Zolang u zich houdt aan de regels en richtlijnen in dit beleid, zullen wij in de regel geen juridische stappen tegen u ondernemen. Deze bescherming geldt echter alleen voor activiteiten die:
Wij behouden ons het recht voor om bij misbruik of illegale acties wél maatregelen te nemen. Voorbeelden van gedrag dat kan leiden tot juridische stappen zijn:
In bepaalde gevallen kan het noodzakelijk zijn om externe partijen in te schakelen:
In zulke situaties kunnen wij samenwerken met organisaties zoals het Nationaal Cyber Security Centrum (NCSC). U kunt in dergelijke situaties ook zelf contact opnemen met het NCSC voor advies of ondersteuning.
Voor complexe situaties of kwetsbaarheden die nationale impact kunnen hebben:
Website: www.ncsc.nl
Appfront behoudt zich het recht voor om dit beleid te wijzigen. Wijzigingen worden aangekondigd via onze website. Wij adviseren u om dit beleid regelmatig te raadplegen voor eventuele updates.
Bij significante wijzigingen zullen wij een redelijke overgangsperiode hanteren waarin zowel de oude als nieuwe versie van het beleid geldig zijn.
Mochten er geschillen ontstaan over de interpretatie of toepassing van dit beleid, dan gaat de voorkeur uit naar een oplossing in goed overleg. Voor geschillen die niet in onderling overleg kunnen worden opgelost, is Nederlands recht van toepassing en zijn de Nederlandse rechters bevoegd.
Mocht u vragen hebben over dit beleid of over het melden van kwetsbaarheden, neem dan gerust contact op via info@appfront.nl. Ons team staat klaar om u te helpen en eventuele onduidelijkheden weg te nemen.
