Als beveiligingsbedrijf zijn wij ons ervan bewust dat elk systeem en elke infrastructuur na verloop van tijd kwetsbaar kan worden. Wij moedigen het op verantwoorde wijze melden van beveiligingslekken aan, zodat wij onze klanten, partners, stakeholders en onszelf beter kunnen beschermen. Zo maken we de digitale wereld samen veiliger.

Een kwetsbaarheid melden

Hebt u een beveiligingslek ontdekt? Meld dit dan bij ons via support@msafe.nl.

Vrijwaring (safe harbor)

Wij ondernemen geen juridische stappen tegen personen die te goeder trouw en in overeenstemming met dit beleid kwetsbaarheden melden. Als derden juridische stappen ondernemen vanwege activiteiten die in overeenstemming zijn met dit beleid, zullen wij maatregelen nemen om de betrokken partijen en/of juridische autoriteiten duidelijkheid te geven over de responsible disclosure.

Onze toezeggingen

Wij beoordelen alle meldingen van kwetsbaarheden snel en reageren hier tijdig op.
Wij gaan een open dialoog met u aan.
Wij geven u een tijdlijn van wanneer wij verwachten dat het probleem is opgelost.
Wij hanteren standaard een termijn van 90 dagen voor openbaarmaking.

Uw toezeggingen

Door een melding van een kwetsbaarheid in te dienen, gaat u ermee akkoord dat u:

ontdekte kwetsbaarheden uitsluitend gebruikt voor responsible disclosure;
kwetsbaarheden zodra u ze ontdekt uitsluitend en vertrouwelijk aan ons meldt;
geen handelingen verricht die bedoeld zijn om ons, onze klanten, partners of stakeholders schade toe te brengen.

Beloning

Als blijk van waardering voor uw hulp bieden wij een beloning voor elke melding van een beveiligingsprobleem dat nog niet bij ons bekend was en niet op de lijst met uitzonderingen staat. De hoogte van de beloning wordt bepaald op basis van de ernst van het lek en de kwaliteit van de melding.

Reikwijdte van het Vulnerability Disclosure Policy (VDP)

De volgende systemen vallen onder dit beleid:

Webapplicatie: app.msafe.nl

Buiten de reikwijdte

Systemen die uitsluitend voor marketingdoeleinden worden gebruikt, waaronder:

Marketingwebsite: msafe.co
Landingspagina’s die bij marketingcampagnes horen

Verboden activiteiten

De volgende handelingen zijn uitdrukkelijk niet toegestaan:

Denial-of-service-aanvallen (DoS), waaronder het uitputten van systeembronnen, geautomatiseerd scannen met hoge belasting, het verwijderen van gegevens, fuzzing enzovoort
Spammen
Social engineering (bijvoorbeeld phishingpogingen)
Het verkrijgen van fysieke toegang, waaronder onbevoegde toegang tot gebouwen of observatie
Het aanvallen van systemen die niet aan internet zijn blootgesteld, zoals interne netwerken, privé-IP-adressen of werkplekken van medewerkers
Het installeren van permanente backdoors

Uitzonderingen (problemen buiten de reikwijdte)

Het volgende wordt onder dit beleid niet als geldige beveiligingskwetsbaarheid beschouwd:

Problemen zonder directe impact op de beveiliging, zoals ontbrekende best practices of hardeningmaatregelen
Niet-werkende links
Aanvallen die onrealistische randvoorwaarden vereisen, zoals het gebruik van verouderde browsers of kwetsbare plug-ins
Registraties van domeinnamen die op de onze lijken (lookalike domains)
Homograafaanvallen
Metadata in bestanden (bijvoorbeeld afbeeldingen, pdf’s)
Theoretische aanvallen zonder praktisch exploitscenario
Verouderde software zonder aangetoonde impact op de beveiliging
Recent gepatchte kwetsbaarheden in software van derden (binnen twee weken na openbaarmaking)
Beveiligingsinstellingen voor e-mail (DKIM-, SPF-, DMARC- en AAC-records)
Ontbrekende HTTP-headers (bijvoorbeeld CSP, Permissions-Policy)
Clickjacking
Ontbrekende beveiligingsvlaggen voor cookies
Openbaarmaking van niet-gevoelige informatie (bijvoorbeeld robots.txt, sitemap.xml, openbare bestanden of mappen)
CSRF-aanvallen met weinig of geen impact
Aanvallen op uzelf (self-attacks)
Open poorten

Bedankt

Wij waarderen iedereen die de tijd neemt om beveiligingslekken te melden en zo bijdraagt aan een veiligere online omgeving.

Vragen over deze pagina?

Neem contact op met ons team. We helpen u graag verder.

Responsible disclosure