1. Doel
Wij vinden de veiligheid van onze diensten belangrijk. Vindt u een kwetsbaarheid in een dienst van Infaris, meld die dan bij ons, zodat wij hem kunnen verhelpen voordat iemand er misbruik van maakt.
2. Wat valt eronder
Alle diensten en websites van Infaris onder infaris.com, ipulse.one en de productdomeinen, waaronder Guard, Files, QR, Sync en de Guard-agent.
Niet eronder vallen: websites en systemen van onze klanten, ook als ze met Guard worden bewaakt, diensten van onze leveranciers, en meldingen zonder aantoonbaar beveiligingsrisico, zoals het ontbreken van een header zonder werkend misbruikscenario.
3. Hoe u meldt
Mail naar [email protected], in het Nederlands of Engels. Beschrijf de kwetsbaarheid, de stappen om hem te reproduceren en de mogelijke impact. U mag anoniem melden.
4. Wat wij van u vragen
- Meld de kwetsbaarheid zo snel mogelijk na ontdekking.
- Gebruik de kwetsbaarheid niet verder dan nodig om hem aan te tonen. Bekijk, wijzig of verwijder geen gegevens van anderen. Raakt u toch aan persoonsgegevens, stop dan en meld dat.
- Voer geen aanvallen uit die de beschikbaarheid aantasten, zoals DDoS, geen social engineering of phishing, en geen fysieke aanvallen.
- Plaats geen malware en laat geen achterdeur achter.
- Deel de kwetsbaarheid met niemand anders tot wij hem hebben verholpen, of tot 90 dagen na uw melding, wat het eerst komt. Wij overleggen graag over een ander moment.
- Gebruik voor tests zoveel mogelijk een eigen account en een eigen organisatie.
5. Wat wij doen
- Wij bevestigen uw melding binnen 3 werkdagen.
- Binnen 10 werkdagen geven wij een eerste beoordeling en een verwachte hersteltermijn.
- Wij houden u op de hoogte van de voortgang.
- Handelt u volgens dit beleid, dan doen wij geen aangifte en starten wij geen juridische procedure tegen u vanwege uw melding.
- Wij behandelen uw melding vertrouwelijk en geven uw gegevens niet zonder toestemming aan derden, tenzij de wet ons daartoe verplicht.
- Als u dat wilt, noemen wij uw naam als melder bij het verhelpen.
6. Beloning
Wij hebben geen bug-bountyprogramma. Voor een melding van een ernstige kwetsbaarheid die wij nog niet kenden, kunnen wij een bedankje geven. De vorm en hoogte bepalen wij per geval.
7. Persoonsgegevens van melders
Uw naam en e-mailadres gebruiken wij alleen om de melding af te handelen. Wij bewaren ze tot 2 jaar na afhandeling, zoals de privacyverklaring beschrijft.