Coordinated Vulnerability Disclosure

Bij Gemeente Waterland vinden wij de veiligheid van onze systemen zeer belangrijk. Ondanks onze zorgvuldige beveiliging kan het voorkomen dat er toch een zwakke plek wordt gevonden. 

Als u een zwakke plek in één van onze systemen ontdekt, horen wij dit graag. Zo kunnen we snel maatregelen treffen. Wij werken graag met u samen om burgers en systemen beter te beschermen. Je kunt een melding sturen via onderstaand formulier. Met het sturen van de melding gaat u akkoord met dit beleid. 

Wat te doen: 

• Meld een kwetsbaarheid zo snel mogelijk om te voorkomen dat kwaadwillende deze vinden en misbruiken. 
• Deel de melding op vertrouwelijke wijze met de organisatie om te voorkomen dat anderen toegang krijgen tot deze informatie. 
• Verstrek voldoende informatie zodat wij het probleem kunnen reproduceren en snel kunnen oplossen. Het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid zijn meestal voldoende. Bij complexere kwetsbaarheden kan aanvullende informatie nodig zijn. 

Wat niet te doen: 

• Het plaatsen van malware of een eigen backdoor .
• Het openbaar maken of delen met derden van de kwetsbaarheid voordat deze is opgelost.  
• Het kopiëren, wijzigen of verwijderen van gegevens van het systeem. Beperk je bijvoorbeeld tot het maken van een directory listing. 
• Het aanbrengen van wijzigingen in de systemen. 
• Het uitvoeren van Bruteforce-aanvallen behalve als het strikt noodzakelijk is om hiermee aan te tonen dat de beveiliging erg tekortschiet. 
• Het gebruiken van social engineering, alleen als dit strikt noodzakelijk is om hiermee aan te tonen dat de beveiliging erg tekortschiet. 
• Het gebruiken van technieken, die de beschikbaarheid of de integriteit van systemen verminderd of de systemen onbruikbaar maken. 

Wat is uitgesloten:  

• Microsoft Office 365 omgeving. Kwetsbaarheden voor deze omgeving kunnen hier gemeld worden. 

Wat wij beloven: 

• Wij waarderen uw bijdrage zolang u aan alle bovenstaande voorwaarden voldoet. Als blijkt dat u zich niet aan één van bovenstaande voorwaarden heeft gehouden, kunnen wij alsnog besluiten om gerechtelijke stappen tegen u te nemen. 
• Wij reageren binnen 5 dagen op je melding met een beoordeling en een verwachte oplossingstermijn. 
• Wij ondernemen geen juridische stappen tegen je als je je aan bovenstaande voorwaarden hebt gehouden. 
• Wij behandelen je melding vertrouwelijk. Je persoonlijke gegevens delen we alleen met derden als dit wettelijk verplicht is. Je kunt ook onder een pseudoniem of anoniem melden. 
• Wij houden je op de hoogte van de voortgang bij het oplossen van het probleem. 
• Als je dit wenst, vermelden wij je naam als ontdekker in berichtgeving over het gemelde probleem. 
• Wij lossen alle problemen zo snel mogelijk op, al dan niet in samenwerking met onze leveranciers. Ook willen we graag betrokken worden bij eventuele publicaties over het probleem nadat het is opgelost. 
• Waar mogelijk kijken naar een passende beloning. 

Hall of Fame 

De gemeente Waterland bedankt de mensen hieronder voor het melden van hun bevindingen over onze systemen. Mede dankzij hun inspanningen is de beveiliging weer verbeterd. 

Deze mensen zijn al opgenomen in de Hall of Fame.