Responsible disclosure

Melding doen

Heeft u een kwetsbaarheid gevonden? Stuur dan uw bevindingen naar: rd [at] menzis [punt] nl. Na ontvangst van uw melding wordt deze als volgt behandeld:

• U krijgt binnen drie werkdagen na de melding een ontvangstbevestiging.
• Binnen vijf werkdagen na de ontvangstbevestiging ontvangt u een reactie met daarin een beoordeling van de melding en de verwachte oplossingsdatum. We streven ernaar om u ook tussentijds op de hoogte te houden over de voortgang.
• Menzis behandelt uw melding vertrouwelijk en deelt uw gegevens niet zonder uw toestemming met derden, behalve als dit wettelijk of door een rechterlijke uitspraak verplicht is.
• We bepalen samen met u of en hoe over het gemelde probleem wordt bericht. Berichtgeving vindt pas plaats nadat het probleem is opgelost. In de berichtgeving over het gemelde probleem zal Menzis, indien gewenst, uw naam vermelden als ontdekker.
• Voor het melden van een kwetsbaarheid deelt u mogelijk persoonsgegevens met Menzis. Menzis bewaart deze gegevens niet langer dan nodig voor dit specifieke doel en zal deze uiterlijk één maand na oplossing van het probleem verwijderen.

Spelregels

Tijdens uw onderzoek kunt u handelingen verrichten die strafbaar zijn. Als dit gebeurt vanuit goed vertrouwen en goede bedoelingen, is er voor Menzis geen aanleiding om aangifte te doen of een schadeclaim in te dienen. We vragen u daarom onderstaande spelregels te volgen en verantwoordelijk te handelen:

• Deel het gevonden probleem niet met anderen totdat het is opgelost. Wis alle vertrouwelijke gegevens die zijn verkregen via de kwetsbaarheid direct na het oplossen van de kwetsbaarheid.
• Geef ons zo volledig mogelijk informatie over hoe en wanneer de kwetsbaarheid zich voordoet. Beschrijf duidelijk hoe dit probleem gereproduceerd kan worden en geef informatie over de gebruikte methode en het tijdstip van onderzoeken.
• Ga verantwoordelijk om met de kennis over het beveiligingsprobleem.
  Verricht geen handelingen die verder gaan dan wat nodig is om het beveiligingsprobleem aan te tonen.
• Maak geen misbruik van de zwakke plek en bewaar geen vertrouwelijke gegevens die zijn verkregen via de kwetsbaarheid in het systeem.
• Misbruik de zwakke plek niet door bijvoorbeeld meer data te downloaden dan nodig is of gegevens van derden in te kijken, te verwijderen of aan te passen.
• Deel uw contactgegevens (e-mailadres of telefoonnummer) met ons, zodat Menzis contact kan opnemen over de beoordeling en voortgang van de oplossing van de kwetsbaarheid.
• Breng geen systeemveranderingen aan.
• Maak geen gebruik van social engineering om toegang te krijgen tot een systeem.
• Probeer niet vaker dan nodig toegang tot het systeem te verkrijgen.
• Gebruik geen bruteforce-technieken om toegang tot de systemen te krijgen.
• Beveilig uw eigen systeem zo goed mogelijk.