Responsible Disclosure Policy

Inleiding

Index B.V. neemt de beveiliging van haar producten en diensten serieus. Wij waarderen de inspanningen van beveiligingsonderzoekers die ons helpen kwetsbaarheden te identificeren en op te lossen, en we streven ernaar om dit voor u eenvoudig en veilig te maken. Dit beleid beschrijft de regels voor het melden van een beveiligingskwetsbaarheid die u heeft ontdekt.

Reikwijdte

Dit Responsible Disclosure-beleid is van toepassing op software, applicaties en systemen die door Index zijn ontwikkeld en worden beheerd. Beveiligingskwetsbaarheden in deze systemen kunnen onder dit beleid aan Index worden gemeld. Onderzoekers moeten hun activiteiten beperken tot het identificeren en melden van kwetsbaarheden zonder de beschikbaarheid, integriteit of vertrouwelijkheid van systemen en gegevens in gevaar te brengen.

Juridische positie en safe harbour

Index B.V. zal geen juridische stappen ondernemen tegen onderzoekers die te goeder trouw kwetsbaarheden melden, binnen de reikwijdte van dit beleid blijven, niet meer gegevens inzien of wijzigen dan nodig is om hun bevindingen te onderbouwen, en zich houden aan de publicatietermijn, voor zover dit binnen de bevoegdheid van Index ligt.

Voorwaarden

• Maak een kwetsbaarheid pas openbaar na afstemming met Index. Als algemene richtlijn hanteren wij een termijn van 90 dagen vanaf de datum waarop wij de melding ontvangen.

• Verkrijg geen toegang tot gegevens van Index of haar klanten, en wijzig, ontvreemdt of vernietig deze niet.

• Voer geen tests uit die de dienstverlening voor andere gebruikers verstoren (inclusief DoS-aanvallen of geautomatiseerde scans met een frequentie die de prestaties beïnvloedt).

• Test klantomgevingen niet zonder voorafgaande uitdrukkelijke toestemming van de klant.

• Meldingen moeten worden ingediend in het Nederlands of Engels en voldoende details bevatten om de kwetsbaarheid te kunnen reproduceren.

Hoe een kwetsbaarheid te melden

Stuur uw melding naar security@index.nl. Vermeld alstublieft:

• Een duidelijke beschrijving van de kwetsbaarheid en de mogelijke impact ervan.

• Stapsgewijze instructies om het probleem te reproduceren, inclusief proof-of-concept-code, screenshots of video's waar van toepassing.

• De getroffen URL, het endpoint, het product en de versie.

• Uw contactgegevens als u op de hoogte wilt worden gehouden of publieke erkenning wenst.

Wat u van ons kunt verwachten

• Ontvangstbevestiging van uw melding binnen 5 werkdagen.

• Een inhoudelijke beoordeling en een indicatie van de verwachte hersteltermijn binnen 20 werkdagen.

• Statusupdates gedurende het onderzoeks- en herstelproces.

• Publieke erkenning op onze Hall of Fame, indien gewenst.

• Wij bieden geen financiële beloningen voor kwetsbaarheidsmeldingen, maar we waarderen de inzet van onderzoekers die bijdragen aan de veiligheid van onze systemen enorm.

Acceptatiecriteria en prioritering

Index B.V. beoordeelt meldingen op basis van de ernst, de praktische benutbaarheid en de potentiële impact op de beveiliging van systemen en gegevens. Kwetsbaarheden worden ingedeeld in vier prioriteitsniveaus: laag, gemiddeld, hoog en kritiek. Het Common Vulnerability Scoring System (CVSS) kan worden gebruikt als ondersteunend hulpmiddel.

Meldingen zonder aantoonbaar beveiligingsrisico, zoals theoretische kwetsbaarheden, ontbrekende beveiligingsheaders zonder praktische impact, algemene beveiligingsaanbevelingen of niet-onderbouwde geautomatiseerde scanresultaten, worden over het algemeen niet geaccepteerd.

Elke melding wordt individueel beoordeeld en waar nodig opgevolgd.