Fox-IT Gecoördineerde kwetsbaarheidsmelding

Bij Fox-IT beschouwen we de beveiliging van onze systemen, ons netwerk en onze producten als van het grootste belang. Ondanks de grote zorg die we aan beveiliging besteden, kunnen er nog steeds zwakke plekken overblijven. Als je zo'n zwakke plek hebt gevonden, horen we het graag zo snel mogelijk, zodat we zo snel mogelijk passende maatregelen kunnen nemen.

Zwakke plekken kunnen op twee manieren worden ontdekt: je kunt per ongeluk iets tegenkomen tijdens het normale gebruik van een digitale omgeving, of je kunt er uitdrukkelijk je best voor doen ze te vinden.

Ons beleid voor verantwoorde melding is geen uitnodiging om ons bedrijfsnetwerk actief te scannen om zwakke plekken te ontdekken. We bewaken ons bedrijfsnetwerk zelf. Dit betekent dat er een grote kans is dat een scan wordt gedetecteerd en dat ons Security Operation Center (SOC) een onderzoek instelt, wat kan leiden tot onnodige kosten. Je wordt echter uitgenodigd om actief te zoeken naar kwetsbaarheden in onze producten in een offline niet-productieomgeving en je bevindingen aan ons te melden. Onze verantwoordelijkheid jegens onze klanten betekent dat het niet onze bedoeling is om hackpogingen op hun infrastructuur aan te moedigen; we horen echter graag zo snel mogelijk van je als er kwetsbaarheden worden gevonden, zodat we deze adequaat kunnen oplossen.

We werken graag met je samen om onze klanten en onze systemen beter te kunnen beschermen.

We vragen je:

• Mail je bevindingen zo snel mogelijk naar security-alert@fox-it.com.

• Maak geen misbruik van de kwetsbaarheid; bijvoorbeeld door gegevens te downloaden, te bewerken of te verwijderen. We nemen je melding altijd serieus en onderzoeken elk vermoeden van een kwetsbaarheid, ook zonder bewijs.

• Deel het probleem niet met anderen totdat het is opgelost.

• Gebruik geen aanvallen op fysieke beveiliging, social engineering of hacktools, zoals kwetsbaarheidsscanners.

• Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal volstaan het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid, hoewel voor complexere kwetsbaarheden meer informatie nodig kan zijn.

Wat wij beloven:

• We reageren binnen drie werkdagen op je melding met onze beoordeling van de melding en een verwachte oplossingsdatum.

• We behandelen je melding vertrouwelijk en delen je persoonlijke gegevens niet zonder jouw toestemming met derden. Een uitzondering hierop zijn de politie en de rechterlijke macht bij vervolging of als de informatie wordt gevorderd.

• We houden je op de hoogte van de voortgang bij de oplossing van het probleem.

• In de communicatie over het gemelde probleem noemen we, als je dat wilt, jouw naam als de partij die het probleem heeft ontdekt.

• Het is helaas niet mogelijk om vooraf te garanderen dat er geen juridische stappen tegen je worden ondernomen. We hopen elke situatie afzonderlijk te kunnen beoordelen. We achten ons moreel verplicht je aan te geven als we vermoeden dat de zwakke plek of gegevens worden misbruikt, of dat je kennis van de zwakke plek met anderen hebt gedeeld. Je kunt erop vertrouwen dat een toevallige ontdekking in onze online omgeving niet tot vervolging leidt.

• Als dank voor je hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat ons niet bekend is. We bepalen de waarde van de beloning op basis van de ernst van de inbreuk en de kwaliteit van de melding.

We streven ernaar alle problemen zo snel mogelijk op te lossen, alle betrokken partijen op de hoogte te houden en we willen graag betrokken zijn bij elke publicatie over het probleem zodra het is opgelost.

Voorbeeld: Bits of Freedom

Onze afhankelijkheid van digitale infrastructuur neemt voortdurend toe. Dit geldt voor de samenleving als geheel, maar ook voor onszelf. Het is daarom onze mening dat overheden en organisaties (inclusief de onze) zich sterk moeten inzetten voor het beveiligen van onze digitale infrastructuur. We beseffen dat er, ondanks onze beste bedoelingen en grootste zorg, kwetsbaarheden in onze systemen kunnen bestaan. Als je een van deze zwakke plekken tegenkomt, horen we het graag van je zodat we het probleem kunnen oplossen.

Wat we van je verwachten

• Houd bij het onderzoeken van een van onze systemen rekening met de proportionaliteit van de aanval. Het is niet nodig aan te tonen dat onze website onbereikbaar kan worden als je er de grootste DDoS-aanval uit de geschiedenis van het internet op loslaat. Dat weten we. We begrijpen ook dat als je met een bulldozer ons kantoor binnenrijdt, je waarschijnlijk een van onze laptops kunt wegkapen.

• Dit proportionaliteitsbeginsel is ook van belang bij het aantonen van de kwetsbaarheid zelf. Je moet niet meer gegevens inzien of wijzigen dan strikt noodzakelijk is om de juistheid van je bevinding te bevestigen. Als je bijvoorbeeld onze homepage kunt wijzigen, voeg er dan slechts één niet-controversieel woord aan toe in plaats van de hele pagina over te nemen. Als je toegang tot een database kunt krijgen, volstaat het om ons een lijst van de tabellen daarin te laten zien, of misschien het eerste record in een van die tabellen.

• Een kwetsbaarheid in een van onze systemen moet zo snel mogelijk worden gemeld door een e-mail te sturen naar security@bof.nl. Bij voorkeur versleutel je je bericht met OpenPGP. Geef voldoende informatie zodat we het probleem kunnen reproduceren en onderzoeken.

• De openbare OpenPGP-sleutel voor security@bof.nl

• Je deelt je kennis van de kwetsbaarheid niet met andere partijen zolang we het probleem niet hebben aangepakt en we nog binnen een redelijk tijdsbestek zitten sinds je het probleem hebt gemeld.

• Je verwijdert alle vertrouwelijke informatie die je tijdens je onderzoek hebt verkregen zodra we de kwetsbaarheid hebben opgelost.

Wat je van ons kunt verwachten

• We reageren binnen drie dagen uitgebreid op je melding. We nemen een schatting op van de tijd die we nodig hebben om het probleem aan te pakken. Uiteraard houden we je regelmatig op de hoogte van onze voortgang.

• We lossen de kwetsbaarheid zo snel mogelijk op. Ook hier is proportionaliteit belangrijk: de tijd die nodig is om een kwetsbaarheid te verhelpen hangt af van verschillende factoren, waaronder de ernst en de complexiteit van het betreffende probleem.

• Wanneer je de hier uiteengezette richtlijnen volgt, nemen we geen juridische stappen tegen je met betrekking tot je melding.

• Het is belangrijk voor ons om je te erkennen voor wat je hebt gedaan - als je dat wilt. We noemen je naam in een publicatie over de kwetsbaarheid alleen als je daarmee instemt.

• Als dank voor je hulp bij het beter beschermen van onze systemen willen we elke melding van een kwetsbaarheid die ons op dat moment onbekend was belonen. De beloning hangt af van de ernst van de kwetsbaarheid en de kwaliteit van de melding.

• Als je een kwetsbaarheid vindt in software van derden die wij gebruiken en die kwetsbaarheid valt onder een bugbountyprogramma, proberen wij die bounty niet op te eisen; dat moet jij doen.