Responsible Disclosure Beleid Independer

Independer heeft als missie om het vertrouwen in financiële instellingen en producten te herstellen. Daarin lopen we zelf graag voorop. Klanten van Independer kunnen erop vertrouwen dat we beveiliging en privacy serieus nemen. Onze systemen worden beveiligd en continu gecontroleerd op mogelijke zwakheden. Toch kan het voorkomen dat er een probleem is met de beveiliging van één van onze systemen.

Als je een zwakke plek in één van onze systemen hebt gevonden, horen we dat graag. Dan kunnen we zo snel mogelijk maatregelen treffen.

Wat vragen we van jou:

Mail je bevindingen naar info@independer.be. Versleutel je bevindingen met onze PGP key om te voorkomen dat de informatie in verkeerde handen valt.
Misbruik het probleem niet. Bijvoorbeeld door meer data te downloaden dan nodig is om het probleem aan te tonen of gegevens van derden te bekijken, aan te passen of te verwijderen of systemen aan te passen.
Deel het probleem niet met anderen totdat het is opgelost.
Wis de vertrouwelijke gegevens die je hebt verkregen via het lek na het dichten van het lek.
Maak geen gebruik van aanvallen op onze fysieke beveiliging, social engineering, denial of service aanvallen, spam of applicaties van derden.
Geef ons voldoende informatie om het probleem te reproduceren zodat wij het zo snel mogelijk kunnen oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer informatie nodig zijn.

Wat beloven we jou:

Als jij je aan bovenstaande voorwaarden houdt, nemen wij geen juridische stappen tegen je naar aanleiding van de melding.
Wij reageren binnen 3 werkdagen op je melding met onze beoordeling van de melding en een verwachte datum voor een oplossing.
Wij behandelen je melding vertrouwelijk en zullen je persoonlijke gegevens niet zonder je toestemming met derden delen, tenzij dat moet om een wettelijke verplichting na te komen. Je mag ook anoniem melden, of onder een pseudoniem: we vinden het belangrijker dat je het meldt als je een kwetsbaarheid hebt gevonden, dan dat je je bekend maakt.
Wij houden je op de hoogte van de voortgang.
In eventuele berichtgeving over het gemelde probleem kunnen we je naam (of pseudoniem) vermelden als de ontdekker. Geef dit dan bij je melding aan.
Als dank voor je hulp bieden wij een beloning aan voor elke melding van een ons nog onbekend beveiligingsprobleem. De standaard beloning is €50 (vijftig euro). Als de ernst van het gevonden beveiligingsprobleem en/of de kwaliteit van de melding daar volgens ons aanleiding toe geeft, kan Independer tot een hogere beloning besluiten.

Versie

Dit is het Independer Responsible Disclosure beleid van 9 februari 2015. We mogen dit beleid aanpassen als we dat nodig vinden. Als je een melding doet, doe je die onder de voorwaarden zoals ze op dat moment gepubliceerd waren. Zo weten we allebei waar we aan toe zijn.

Ere wie ere toekomt:

Deze tekst is gebaseerd op de Leidraad Responsible Disclosure van het NCSC en het voorbeeldmodel van Floor Terra zoals beschikbaar is op https://responsibledisclosure.nl/.