Beleid inzake verantwoorde openbaarmaking
Inleiding
Verisure zet zich in om de veiligheid van onze Producten, Systemen en alle klant-, partner- en werknemersgegevens te waarborgen. We waarderen samenwerking met onze gebruikers en onderzoekers die kunnen bijdragen aan de identificatie van Veiligheids risico's in onze Producten en Systemen. Dit Beleid beschrijft een proces voor het verantwoord bekendmaken van Veiligheids risico's, met als doel het faciliteren van effectieve samenwerking en het snel oplossen van beveiligingsproblemen.
Dit Beleid stelt richtlijnen vast voor het op een verantwoorde manier melden en behandelen van Veiligheidsrisico's volgens de onderstaande regels voor samenwerking, en is van toepassing op alle Veiligheidsrisico's die u overweegt te melden aan Verisure.
We raden u aan dit Beleid volledig te lezen voordat u een mogelijk Veiligheidsrisico meldt.
Houd er rekening mee: Verisure biedt geen geldelijke beloningen voor openbaarmakingen van Veiligheidsrisico's.
Hoe een Veiligheidsrisico te melden
Verisure onderzoekt alle meldingen van Veiligheidsrisico's die van invloed zijn op Producten en Diensten. Als u denkt dat u een Veiligheidsrisico in een Verisure-product of -dienst heefyt gevonden, dient u het kwetsbaarheidsrapport in via het onderstaande formulier, met voldoende details zodat wij uw acties kunnen reproduceren en onderzoeken. Alle verplichte velden moeten correct worden ingevuld en het is essentieel dat u de vertrouwelijkheid handhaaft bij het melden van een Veiligheidsrisico onder dit Beleid.
We vragen u om uw onderzoek niet openbaar te maken totdat Verisure het onderzoek heeft voltooid, het Veiligheidsrisico heeft opgelost of beperkt, en u toestemming heeft verleend om dit te doen.
Volgende stappen
Na het indienen van uw rapport zal Verisure de melder op de hoogte stellen dat het rapport correct is ontvangen en beginnen met het beoordelen van het rapport. Verisure kan contact opnemen met de melder via het anonieme webportaal om meer informatie over de melding te verzamelen en om u op de hoogte te houden van de voortgang tot aan de afwikkeling.
Ons interne proces voor het aanpakken van een Veiligheidsrisico begint met het beoordelen van het rapport en het bepalen van de impact, ernst en complexiteit ervan voorafgaand aan het implementeren van herstelmaatregelen, indien van toepassing.
Verisure behoudt zich het recht voor om de inhoud van het ingediende rapport over het Veiligheidsrisico en eventuele daaropvolgende bevindingen te delen met relevante partijen, maar zal geen details bekendmaken die verband houden met de melder.
Producten of diensten van derden
Producten, systemen en gegevens die geen eigendom zijn van Verisure vallen niet onder dit Beleid. Melders moeten het beleid inzake verantwoordelijke openbaarmaking volgen dat door respectievelijke derden wordt verstrekt als ze deze systemen willen onderzoeken of testen.
Regels voor samenwerking
Verisure waardeert de inspanningen en bijdragen van beveiligingsonderzoekers en vereist dat zij zich aan de volgende regels houden. Verisure zal geen juridische stappen ondernemen tegen melders die te goeder trouw en in overeenstemming met dit beleid Veiligheidsrisico's ontdekken en bekendmaken.
Melder mag niet:
- Hij of zij mag geen toepasselijke wet- en regelgeving overtreden.
- Een nieuw Veiligheidsrisico introduceren, of proberen een bestaand Veiligheidsrisico te exploiteren.
- Zich bezighouden met social engineering of phishing van klanten of werknemers.
- Financiële compensatie eisen in ruil voor het bekendmaken van een Veiligheidsrisico.
- Systemen of gegevens benaderen die verder gaan dan wat noodzakelijk is om een Veiligheidsrisico te identificeren en te rapporteren.
- Knoeien met alarmsysteemapparaten of systemen die toebehoren of worden gebruikt door bestaande klanten, zelfs als het hun eigen systemen zijn of door henzelf in gebruk zijn.
- Gegevens die worden verwerkt of opgeslagen in Producten of systemen van Verisure wijzigen, kopiëren, delen, beschadigen of anderszins beïnvloeden.
- Gebruik maken van invasieve of destructieve scantools met hoge intensiteit om Veiligheidsrisico's te vinden of verstorende activiteiten uit te voeren, waaronder, maar niet beperkt tot, brute force-aanvallen, denial-of-service-aanvallen of fysieke aanvallen tegen faciliteiten of datacenters van Verisure.
- Alarmmeldingen of -signalen onderbreken, noch op welke manier dan ook fysiek met een alarmsysteem knoeien.
- Testen of onderzoek uitvoeren tegen diensten of systemen van derden die niet van Verisure zijn, zoals tegen infrastructuur van externe cloudproviders.
- Onnodige, buitensporige of significante hoeveelheden gegevens benaderen, anders dan wat nodig is voor het ontdekken en bevestigen van een Veiligheidsrisico.
De melder moet:
- Alleen toegang krijgen tot gegevens en systemen voor zover nodig om het bestaan van een Veiligheidsrisico te bevestigen.
- Onderzoek en/of testactiviteiten stoppen na bevestiging van het bestaan van een Veiligheidsrisico en bevindingen onverwijld aan Verisure melden.
- Alle gegevens die tijdens het onderzoek zijn opgehaald veilig verwijderen zodra het Veiligheidsrisico is gemeld en bevestiging van ontvangst is ontvangen van Verisure.
- Wachten op schriftelijke toestemming van Verisure voordat u details over het Veiligheidsrisico openbaar maakt. Inhoud van de openbaarmaking moet ook worden goedgekeurd door Verisure.
Wat u niet moet melden:
- Dubbele rapporten van Veiligheidsrisico's.
- Rapporten indienen met informatie over niet-exploiteerbare Veiligheidsrisico's.
- Fouten in gebruikersinterface, gebruikerservaring of spelfouten.
- Rapporten indienen die aangeven dat Producten en Diensten niet volledig overeenkomen met de “best practices”, zoals ontbrekende beveiligingsheaders of zelf cross-site scripting.
Verisure moet:
- Ontvangst van het rapport over het Veiligheidsrisico bevestigen binnen 30 dagen na ontvangst van het rapport.
- Tweewekelijkse statusupdates verstrekken aan de melder vanaf de bovenstaande bevestiging van ontvangst tot de afsluiting van het rapport overhet Veiligheidsrisico.
- Een schriftelijke beslissing verstrekken over de vraag of de melder het Veiligheidsrisico al dan niet openbaar kan maken. Indien eerder overeengekomen door Verisure, moet Verisure de inhoud van de openbare bekendmaking beoordelen voorafgaand aan publicatie.
Definities
Veiligheidsrisico's
Specifieke Veiligheidsrisico's die worden aangetroffen in Producten of Diensten van Verisure en die een zwakte vertegenwoordigen in software- of hardwarecomponenten die, wanneer ze worden geëxploiteerd, kunnen leiden tot een negatieve impact op de vertrouwelijkheid, integriteit of beschikbaarheid van gegevens of diensten van Verisure.
Verisure product/dienst
Producten of systemen ontwikkeld of vervaardigd door Verisure. Producten, systemen en gegevens die geen eigendom zijn van Verisure vallen niet onder dit Beleid.
Vragen en ondersteuning
Het Verisure-beveiligingsteam is aangesteld om Veiligheidsrisico's te behandelen. Er kan contact met hen worden opgenomen door het onderstaande formulier in te vullen en in te dienen.
Vragen en ondersteuning
Het Verisure-beveiligingsteam is aangesteld om Veiligheidsrisico's te behandelen. Er kan contact met hen worden opgenomen door het onderstaande formulier in te vullen en in te dienen.
