Responsible disclosure

Verantwoord melden van beveiligingskwetsbaarheden

Beveiliging van systemen en gegevens heeft voor ons hoge prioriteit. Ondanks zorgvuldig ontwikkelde maatregelen kan het gebeuren dat er toch een zwakke plek wordt ontdekt. Vindt u een kwetsbaarheid in onze digitale omgeving? Dan stellen we het op prijs als u dit direct meldt, zodat we snel en zorgvuldig kunnen handelen.

Wat te doen bij het ontdekken van een kwetsbaarheid?

• Als u denkt een beveiligingslek te hebben gevonden, vragen we u dit op bij ons te melden. Houd bij het melden rekening met het volgende:
• Verwacht een reactie: Binnen drie werkdagen bevestigen wij de ontvangst van uw melding. Mocht het nodig zijn om verdere stappen te bespreken dan kan het zijn dat we contact met u opnemen.
• Vertrouwelijkheid is essentieel: Maak de kwetsbaarheid niet openbaar, om zo de privacy van eventuele betrokkenen niet te schenden.
• Geef voldoende details: Lever zoveel mogelijk informatie aan – denk aan een duidelijke beschrijving, technische gegevens, screenshots, logs of IP-adressen, zodat we de melding goed kunnen onderzoeken.
• Gebruik het juiste kanaal: Meldingen kunnen worden ingestuurd via het e-mailadres dat speciaal is bedoeld: responsibledisclosure (at) mensely.nl

Samenwerken aan een oplossing

We streven naar een constructieve samenwerking en waarderen het als u niet communiceert over de kwetsbaarheid terwijl het probleem nog wordt onderzocht of verholpen. In overleg bepalen we een termijn voor herstel. Als publicatie gewenst is, maken we afspraken over een gecoördineerde bekendmaking.

Wilt u liever anoniem blijven? Geen probleem – u kunt ervoor kiezen om geen persoonsgegevens te delen, of gebruikmaken van middelen zoals anonieme maildiensten of het TOR-netwerk.

Voorwaarden

We gaan ervan uit dat u te goeder trouw handelt en geen schade aanricht. Mocht echter blijken dat er sprake is van misbruik, of als de meldingsrichtlijnen niet worden gevolgd, dan behouden wij ons het recht voor om op te treden.

Let op:
Dit meldpunt is uitsluitend bedoeld voor het rapporteren van beveiligingsproblemen, niet voor vragen over dienstverlening of producten.