Bij Van Meijel vinden wij de veiligheid van onze systemen, onze software en de gegevens van onze klanten belangrijk. Ondanks onze zorg voor beveiliging kan het voorkomen dat er toch een zwakke plek in onze systemen of producten zit. Ontdekt u een kwetsbaarheid? Dan horen wij dat graag, zodat wij samen met u het probleem zo snel mogelijk kunnen verhelpen. Dit noemen we Coordinated Vulnerability Disclosure (CVD), ook wel responsible disclosure.

Wij waarderen de inzet van beveiligingsonderzoekers en gebruikers die ons op verantwoorde wijze helpen onze beveiliging te verbeteren.

Wat vragen wij van u?

Meld de kwetsbaarheid zo snel mogelijk na ontdekking bij ons, via de contactgegevens hieronder.
Geef voldoende informatie om het probleem te reproduceren, zodat wij het snel kunnen beoordelen en oplossen. Meestal is het IP-adres of de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid voldoende; bij complexere kwetsbaarheden kan meer nodig zijn.
Ga vertrouwelijk om met de kwetsbaarheid: deel de informatie niet met anderen en maak deze niet openbaar totdat het probleem is opgelost en wij in onderling overleg tot bekendmaking zijn gekomen.
Misbruik de kwetsbaarheid niet verder dan strikt noodzakelijk is om deze aan te tonen. Doe daarbij géén dingen die schade kunnen veroorzaken.

Handel daarom niet onevenredig. Concreet vragen wij u om niet:

gegevens van derden in te zien, te kopiëren, te wijzigen of te verwijderen (download niet méér dan nodig is om de kwetsbaarheid aan te tonen; stop bijvoorbeeld na één record);
de beschikbaarheid of werking van onze systemen aan te tasten, bijvoorbeeld via een (Distributed) Denial-of-Service ((D)DoS)-aanval, spam, of het massaal aanmaken van accounts;
social engineering, phishing of fysieke inbraak toe te passen;
malware, backdoors of andere kwaadaardige software te plaatsen;
geautomatiseerde scanners of brute-force-technieken los te laten die onze dienstverlening kunnen verstoren;
wijzigingen aan te brengen in het systeem, of toegang te delen met of te verkopen aan derden.

Waar geldt deze regeling voor? (scope)

Deze regeling geldt voor systemen, diensten en producten die door Van Meijel en Maxedy worden beheerd en ontwikkeld, waaronder:

de door ons beheerde websites en online diensten onder o.a. vanmeijel.nl en maxedy.com (en bijbehorende subdomeinen);
onze softwareproducten, waaronder Metacom en BizzStream, voor zover door Van Meijel/Maxedy geleverd en beheerd.

Buiten scope (meld hier géén tests op, of neem eerst contact op):

systemen, hosting of installaties die door of namens een klant zelf worden beheerd (on-premise of eigen cloud-omgevingen); meld dit bij de betreffende klant, of bij ons als u twijfelt;
diensten en producten van derden (leveranciers, koppelpartners, hostingproviders) die niet door ons worden beheerd;
kwetsbaarheden die uitsluitend berusten op verouderde browsers, software of configuraties aan de kant van de gebruiker;
meldingen die geen concreet beveiligingsrisico vormen, zoals ontbrekende best-practice-headers zonder aantoonbare impact, of louter theoretische risico's.

Twijfelt u of iets binnen de scope valt? Neem dan gerust eerst contact met ons op.

Hoe meldt u een kwetsbaarheid?

E-mail: security@vanmeijel.nl
Machineleesbaar: zie https://www.vanmeijel.nl/.well-known/security.txt
Versleuteld melden: gebruik bij gevoelige meldingen bij voorkeur onze PGP-sleutel, gepubliceerd op https://www.vanmeijel.nl/.well-known/pgp-key.txt.

Vermeld in uw melding minimaal:

een beschrijving van de kwetsbaarheid en de mogelijke impact;
de stappen om deze te reproduceren (URL/IP, request, screenshots of proof-of-concept);
uw contactgegevens, zodat wij kunnen terugkoppelen (melden mag ook anoniem, maar dan kunnen wij niet terugkoppelen of u vermelden).

Wat kunt u van ons verwachten?

Wij bevestigen de ontvangst van uw melding binnen 3 werkdagen.
Binnen 10 werkdagen ontvangt u van ons een inhoudelijke beoordeling van de melding en, waar mogelijk, een verwachte oplostermijn.
Wij houden u op de hoogte van de voortgang van de oplossing.
Wij behandelen uw melding vertrouwelijk en delen uw persoonsgegevens niet zonder uw toestemming met derden, tenzij dit wettelijk verplicht is.
Wij streven ernaar de kwetsbaarheid in onderling overleg op te lossen en openbaar te maken. Wij hanteren als richtlijn een periode van 60 dagen tussen melding en publieke bekendmaking; in overleg kan hiervan worden afgeweken (bijvoorbeeld bij complexe kwetsbaarheden of afhankelijkheden van derden).
U mag, ná overleg en nadat de kwetsbaarheid is verholpen, in overleg met ons over de kwetsbaarheid publiceren.

Erkenning

Wij kennen geen geldelijke beloning (bug bounty) toe. Wel waarderen wij uw bijdrage.

Toezegging: geen juridische stappen bij melding te goeder trouw (safe harbor)

Als u zich houdt aan de bovenstaande voorwaarden en te goeder trouw handelt, zullen wij geen aangifte tegen u doen en geen juridische stappen tegen u ondernemen naar aanleiding van uw melding. Wij beschouwen uw handelen dan niet als een strafbaar feit of als een schending van onze voorwaarden.

Deze toezegging geldt niet wanneer er sprake is van kwade opzet, onevenredig handelen, of overtreding van de bovenstaande regels (zoals het exfiltreren of publiceren van gegevens, of het verstoren van onze dienstverlening). Wij behouden ons in die gevallen alle rechten voor. Deze regeling geeft geen vrijwaring voor strafbare feiten die losstaan van het te goeder trouw onderzoeken en melden van een kwetsbaarheid.

Deze regeling is opgesteld naar het model van de Nederlandse CVD-praktijk (o.a. de NCSC-leidraad Coordinated Vulnerability Disclosure).