Beleid voor gecoördineerde openbaarmaking van kwetsbaarheden

Ons engagement

De beveiliging van onze diensten en producten staat centraal in ons werk. Denkt u een kwetsbaarheid te hebben ontdekt? Meld ze ons dan op verantwoorde wijze, volgens de onderstaande regels, zodat wij ze kunnen verhelpen vóór enige openbaarmaking.

Varden Security biedt geen financieel beloningsprogramma (bug bounty) aan. Met uw toestemming vermelden wij graag uw bijdrage zodra de kwetsbaarheid verholpen is.

Toepassingsgebied

Dit beleid geldt voor:

• ●de websites varden-security.eu en varden.io;
• ●het platform app.varden.io en de dienst Sentinel OSINT (osint.varden-security.eu);
• ●de software van de Sentinel Monitoring-sondes en de Sentinel-engine die wij aan onze partners leveren.

Buiten het toepassingsgebied vallen: de systemen van onze klanten, de diensten van onze leveranciers (hosting, betaling, e-mail), evenals denial-of-serviceaanvallen, social engineering, fysieke tests en ongevraagde berichten.

Hoe meldt u een kwetsbaarheid

Schrijf naar security@varden.io en vermeld:

• ●de betrokken dienst of het betrokken product en de versie, indien gekend;
• ●een beschrijving van de kwetsbaarheid en de mogelijke impact;
• ●de stappen om ze te reproduceren, met een proof of concept beperkt tot het strikt noodzakelijke;
• ●uw contactgegevens, als u wilt dat wij u contacteren.

U kunt schrijven in het Frans, Engels of Nederlands. Wenst u ons versleutelde informatie te bezorgen, vraag ons dan via hetzelfde kanaal een sleutel.

Na te leven regels

Opdat uw onderzoek te goeder trouw blijft, vragen wij u:

• ●te handelen zonder bedrieglijk opzet of het oogmerk om te schaden;
• ●u te beperken tot de handelingen die strikt noodzakelijk zijn om de kwetsbaarheid aan te tonen;
• ●geen gegevens die u niet toebehoren te raadplegen, kopiëren, wijzigen of verwijderen, en per vergissing verkregen gegevens te verwijderen;
• ●de beschikbaarheid van onze diensten niet aan te tasten;
• ●de kwetsbaarheid zo snel mogelijk te melden en ze niet openbaar te maken vóór ze verholpen is of zonder ons akkoord.

In België is het te goeder trouw melden van kwetsbaarheden wettelijk geregeld. De voorwaarden worden toegelicht door het Centrum voor Cybersecurity België (CCB), aan wie de melding ook kan worden gericht.

Hoe wij uw melding behandelen

• ●wij bevestigen de ontvangst van uw melding;
• ●wij analyseren de kwetsbaarheid en informeren u over onze beoordeling;
• ●wij verhelpen de kwetsbaarheid en houden u op de hoogte van de voortgang;
• ●wij spreken met u af wanneer en wat er eventueel gepubliceerd wordt.

Wanneer een kwetsbaarheid een product betreft dat wij op de markt brengen, leven wij de meldingsverplichtingen na van de Europese verordening inzake cyberweerbaarheid (CRA), ook ten aanzien van ENISA en het bevoegde CSIRT.

Persoonsgegevens

Persoonsgegevens die u ons in een melding bezorgt, worden uitsluitend gebruikt om die te behandelen, overeenkomstig ons privacybeleid.