Kwetsbaarheid melden (Responsible Disclosure)

De gemeente vindt de beveiliging van haar systemen belangrijk. Ontdekt u een kwetsbaarheid of beveiligingsprobleem? Meld dit dan bij ons. Zo kunnen we het probleem onderzoeken, oplossen en de beveiliging verder verbeteren. 

Hieronder leest u welke voorwaarden gelden voor het doen van een melding en hoe wij uw melding behandelen.

Aan het doen van een melding zijn een aantal voorwaarden verbonden. Deze voorwaarden noemen we Responsible Disclosure. 

Door een melding te doen, stemt u in met deze voorwaarden:

• Geef alleen de informatie die nodig is om aan te tonen waar het probleem zich bevindt (bijvoorbeeld hoe u de kwetsbaarheid, het datalek of het probleem heeft ontdekt). 
• Maak geen misbruik van de kwetsbaarheid of het datalek. Voorbeeld: download niet meer gegevens dan nodig is, bekijk geen gegevens van andere personen, verwijder of wijzig geen gegevens. 
• Plaats geen schadelijke software (malware) op ons netwerk en pleeg geen chantage door bijvoorbeeld systemen te blokkeren (ransomware). 
• Deel de kwetsbaarheid of het datalek niet met anderen totdat wij een oplossing hebben gevonden. Alle vertrouwelijke gegevens die u tijdens uw onderzoek heeft verzameld, moeten direct worden verwijderd zodra het probleem is opgelost. 
• Voer geen aanvallen uit op onze systemen, zoals het verleiden van gebruikers om vertrouwelijke gegevens vrij te geven (social engineering), het verstoren van onze website (DDoS), of het uitvoeren van brute-force aanvallen, of andere technieken die systemen kunnen compromitteren. 

• We delen uw beveiligingsincident altijd met de Informatiebeveiligingsdienst voor gemeenten (IBD), zodat andere gemeenten van onze ervaringen kunnen leren. Als het probleem ook bij andere gemeenten aanwezig is, informeert de IBD deze organisaties. 
• Als er sprake is van een datalek met een hoog risico voor de betrokkenen, maakt de gemeente een afweging om dit bij de Autoriteit Persoonsgegevens te melden. 
• Uw melding wordt vertrouwelijk behandeld. Uw persoonlijke gegevens worden niet met derden gedeeld zonder uw toestemming, tenzij dit wettelijk verplicht is of op basis van een rechterlijke uitspraak noodzakelijk is. 
• Zolang u zich aan de voorwaarden houdt (zoals aangegeven onder Wat wij van u vragen), onderneemt de gemeente geen juridische stappen tegen u als melder. 
• Wij houden u op de hoogte van de voortgang en de oplossing van het probleem. 

Wanneer u zich aan de bovenstaande richtlijnen houdt, kunt u het volgende van ons verwachten:

• Geen juridische stappen: wij zullen geen strafrechtelijke aangifte doen of civiele procedures starten. Als blijkt dat u toch een van bovenstaande voorwaarden heeft geschonden, kunnen wij alsnog besluiten om juridische stappen te ondernemen.
• Erkenning als melder: in overleg kunnen we u (met uw toestemming) benoemen als ontdekker van de kwetsbaarheid. Anders blijft u anoniem.
• Snelle reactie:
  • binnen één werkdag ontvangt u een (geautomatiseerde) bevestiging van uw melding.
  • binnen vijf werkdagen krijgt u een eerste beoordeling en indien mogelijk een indicatie van de oplostermijn.
• Oplossing binnen 90 dagen: wij streven ernaar om de kwetsbaarheid zo snel mogelijk te verhelpen en houden u op de hoogte van de voortgang. Dit is mede afhankelijk van externe factoren.
• Eventuele publicatie in overleg: publicatie van de kwetsbaarheid gebeurt alleen na overleg en pas nadat deze is verholpen.