Dynamic ICT

Responsible disclosure

Wij zijn bereikbaar Snel regelen
Neem contact op
Responsible disclosure

Een lek gevonden? Fijn dat je het ons vertelt.

Dynamic ICT is ISO 27001-gecertificeerd (LRQA, certificaat 10597594). Toch kan ook bij ons een kwetsbaarheid in een systeem of op de website zitten: een zwakke plek waardoor iemand ergens bij kan waar hij niet bij hoort. Vind jij er een, dan horen we dat graag.

Meld een lek Lees de spelregels
Melden

Hoe meld je het?

Stuur een mail naar cyberveiligheid@dynamicict.nl. Zet erin:

Wat en waar

Wat je hebt gevonden, en waar: bijvoorbeeld het webadres of IP-adres.

Hoe we het nadoen

Stap voor stap hoe we het kunnen nadoen. Schermafdrukken helpen.

Hoe we je bereiken

Hoe we je kunnen bereiken voor vragen.

Je mag ook anoniem melden. We kunnen je dan alleen niet op de hoogte houden of bedanken. Zet geen wachtwoorden of persoonsgegevens die je tegenkwam in de mail.

Spelregels

Wat vragen we van jou?

Alleen aantonen

Gebruik het lek alleen om aan te tonen dat het bestaat. Bekijk, kopieer, wijzig of verwijder niet meer gegevens dan daarvoor nodig is.

Niets achterlaten

Laat niets achter in onze systemen, zoals software of een extra account.

Houd het voor je

Deel het lek met niemand tot het is opgelost. Daarna overleggen we samen wat je openbaar maakt.

Geen mensen misleiden

Gebruik geen social engineering: mensen misleiden om binnen te komen, bijvoorbeeld door je aan de telefoon voor te doen als collega.

Niets platleggen

Doe geen DDoS-aanval (een systeem overspoelen met verkeer tot het stilvalt), raad niet eindeloos wachtwoorden en gebruik geen scans die onze systemen zwaar belasten. Stuur geen spam.

Niet langskomen

Probeer niet ons kantoor binnen te komen.

Onze toezeggingen

Wat mag je van ons verwachten?

Houd je je aan deze afspraken, dan doen wij het volgende.

  1. Binnen 3 werkdagen

    bevestigen we dat we je melding hebben ontvangen.

  2. Binnen 10 werkdagen

    hoor je hoe wij de melding inschatten en wanneer we verwachten dat het lek dicht is.

  3. Binnen 90 dagen

    is het lek dicht. Tot die tijd houden we je op de hoogte.

Geen aangifte

We doen geen aangifte tegen je. Het Openbaar Ministerie beslist wel zelf of het een onderzoek start.

Vertrouwelijk

De inhoud van je melding delen we alleen met wie het lek moet dichten, zoals een klant of leverancier. Je naam en contactgegevens geven we niet zonder jouw toestemming aan anderen, tenzij de wet ons dat verplicht.

Je naam en een biefstuk

Ben je de eerste die een lek meldt dat wij nog niet kenden, dan noemen we na afloop je naam op deze pagina als je dat wilt. En als dank mag je op een vrijdag met ons mee lunchen, met een heerlijke biefstuk.

Raakt het lek gegevens van onze klanten, dan informeren wij die klanten zelf. Gaat het om onze eigen gegevens, dan melden we het waar de wet dat vraagt.

Reikwijdte

Waar het wel en niet over gaat.

Hier gaat het over

  • dynamicict.nl, met alle pagina’s, checks en formulieren
  • de systemen van Dynamic ICT zelf die via internet bereikbaar zijn, zoals onze mail en onze Microsoft 365-omgeving

Voor deze systemen gelden onze toezeggingen hierboven.

Meld het ergens anders

  • Een systeem van een van onze klanten: meld het bij die klant. Weet je niet van wie het is, meld het bij ons. Wij zorgen dat het bij de juiste partij komt.
  • Software of een dienst van een leverancier, zoals Microsoft: meld het bij die leverancier.

Over een systeem van een klant of leverancier beslist die partij zelf.

Geen kwetsbaarheid

Tenzij je laat zien dat er echt een risico is:

  • een ontbrekende beveiligingsinstelling van de website (een header)
  • bestanden die bewust openbaar zijn, zoals robots.txt
  • de uitkomst van een automatische scanner, zonder uitleg over wat er mis is en hoe je het nadoet
  • iets wat je alleen kunt aantonen met een nepmail, door mensen te misleiden of met een DDoS-aanval

Twijfel je of iets eronder valt? Mail het ons eerst: cyberveiligheid@dynamicict.nl.

Iets gevonden?

Mail je melding naar cyberveiligheid@dynamicict.nl.

Meld een lek