Responsible disclosure

Bij Anufy beschouwen we de beveiliging van onze systemen als topprioriteit. Maar hoeveel moeite we ook in systeembeveiliging steken, er kunnen nog steeds kwetsbaarheden aanwezig zijn.

Als u een kwetsbaarheid ontdekt, willen we daar graag van op de hoogte zijn, zodat we stappen kunnen nemen om deze zo snel mogelijk aan te pakken. We willen u vragen ons te helpen onze klanten en onze systemen beter te beschermen.

Wij verzoeken u het volgende te doen:

• Mail uw bevindingen naar incident@anufy.com. Versleutel uw bevindingen met onze PGP-sleutel om te voorkomen dat deze kritieke informatie in verkeerde handen valt,
• Maak geen misbruik van de kwetsbaarheid of het probleem dat u hebt ontdekt, bijvoorbeeld door meer gegevens te downloaden dan nodig is om de kwetsbaarheid aan te tonen, of door gegevens van anderen te verwijderen of te wijzigen,
• Maak het probleem niet bekend aan anderen totdat het is opgelost,
• Gebruik geen aanvallen op fysieke beveiliging, social engineering, distributed denial of service, spam of applicaties van derden, en
• Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaat het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, maar complexe kwetsbaarheden vereisen mogelijk verdere toelichting.

Wat wij beloven:

• We reageren binnen 3 werkdagen op uw melding met onze beoordeling en een verwachte oplossingsdatum,
• Als u de bovenstaande instructies hebt gevolgd, ondernemen we geen juridische stappen tegen u met betrekking tot de melding,
• We behandelen uw melding strikt vertrouwelijk en geven uw persoonlijke gegevens niet door aan derden zonder uw toestemming,
• We houden u op de hoogte van de voortgang bij het oplossen van het probleem,
• In de openbare informatie over het gemelde probleem vermelden we uw naam als ontdekker van het probleem (tenzij u anders wenst), en
• We kunnen erkenning of een discretionaire beloning bieden op basis van de ernst en de kwaliteit van de melding. Beloningen zijn niet gegarandeerd.

We streven ernaar alle problemen zo snel mogelijk op te lossen, en we spelen graag een actieve rol bij de uiteindelijke publicatie over het probleem nadat het is opgelost.

Referentie: https://www.responsibledisclosure.nl/en/