Richtlinie zur verantwortungsvollen Offenlegung

Die Sicherheit unserer Systeme hat für uns höchste Priorität. Doch egal, wie viel Aufwand wir in die Systemsicherheit stecken, es können immer noch Schwachstellen vorhanden sein.

Wenn Sie eine Schwachstelle entdecken, würden wir dies gerne erfahren, damit wir so schnell wie möglich Maßnahmen ergreifen können, um diese zu beheben. Wir möchten Sie bitten, uns dabei zu helfen, unsere Kunden und unsere Systeme besser zu schützen.

Wenn Sie eine Schwachstelle in einem unserer Systeme untersuchen, bedenken Sie bitte die Verhältnismäßigkeit des Angriffs. Sie müssen nicht beweisen, dass unsere Website für eine Weile nicht erreichbar ist, wenn Sie den größten DDoS-Angriff in der Geschichte des Internets auf unsere Website starten. Das wissen wir bereits. Diese Verhältnismäßigkeit gilt auch für den Nachweis der Schwachstelle selbst. Untersuchen oder ändern Sie nicht mehr Daten, als unbedingt erforderlich sind, um die Schwachstelle nachzuweisen. Wenn Sie beispielsweise unsere Startseite ändern, fügen Sie ein unumstrittenes Wort an einer beliebigen Stelle hinzu, anstatt die gesamte Seite zu kopieren. Wenn Sie auf eine Datenbank zugreifen, genügt eine Liste der Tabellen oder die erste Zeile aus einer der Tabellen.

Bitte gehen Sie wie folgt vor:

Senden Sie Ihre Ergebnisse per E-Mail an incident@delcom.nl . Verschlüsseln Sie Ihre Ergebnisse mit unserem PGP-Schlüssel, um zu verhindern, dass diese kritischen Informationen in die falschen Hände geraten.
Nutzen Sie die von Ihnen entdeckte Schwachstelle oder das Problem nicht aus, indem Sie beispielsweise mehr Daten als nötig herunterladen, um die Schwachstelle zu demonstrieren, oder die Daten anderer Personen löschen oder ändern.
Geben Sie das Problem erst dann an andere weiter, wenn es behoben wurde.
Verwenden Sie keine Angriffe auf die physische Sicherheit, Social Engineering, verteilte Denial-of-Service-Angriffe, Spam oder Anwendungen von Drittanbietern.
Stellen Sie ausreichende Informationen zur Verfügung, um das Problem reproduzieren zu können, damit wir es so schnell wie möglich lösen können. In der Regel reichen die IP-Adresse oder die URL des betroffenen Systems und eine Beschreibung der Schwachstelle aus, bei komplexen Schwachstellen kann jedoch eine weitere Erläuterung erforderlich sein.

Was wir versprechen:

Wir werden innerhalb von drei Werktagen auf Ihren Bericht antworten und Ihnen unsere Bewertung des Berichts sowie ein voraussichtliches Lösungsdatum mitteilen.
Wenn Sie die oben genannten Anweisungen befolgt haben, werden wir keine rechtlichen Schritte gegen Sie im Zusammenhang mit der Meldung einleiten;
Wir werden Ihre Meldung streng vertraulich behandeln und Ihre persönlichen Daten nicht ohne Ihre Erlaubnis an Dritte weitergeben;
Wir werden Sie über die Fortschritte bei der Lösung des Problems auf dem Laufenden halten;
In den öffentlichen Informationen über das gemeldete Problem werden wir Ihren Namen als Entdecker des Problems angeben (es sei denn, Sie wünschen etwas anderes); und
Als Dankeschön für Ihre Hilfe bieten wir Ihnen eine Belohnung für jeden Bericht über eine Sicherheitsverletzung an, die uns noch nicht bekannt ist. Die Höhe der Belohnung hängt von der Schwere des Lecks und der Qualität des Berichts ab.

Wir bemühen uns, alle Probleme so schnell wie möglich zu lösen, und möchten eine aktive Rolle bei der abschließenden Veröffentlichung des Problems nach dessen Lösung spielen.