Security.

TransIP Responsible disclosure policy

Wij nemen de veiligheid van onze systemen en onze gebruikers zeer serieus en hechten veel waarde aan het verbeteren hiervan. Zoals je waarschijnlijk wel eens op het nieuws hebt gezien, kunnen zelfs de grootste bedrijven slachtoffer worden van cyberaanvallen via kwetsbaarheden in hun software. Om zulke toestanden te voorkomen en slechtgezinden een stapje voor te blijven, willen we iedereen belonen die een kwetsbaarheid in onze systemen vindt en dat aan ons meldt. Lees hieronder hoe dit in zijn werk gaat.

Spelregels openbaarmaking

Om in aanmerking te komen als securityheld van TransIP, ben je verplicht om:

schending van privacy, verslechtering van de gebruikerservaring, verstoring aan productiesystemen en vernietiging van gegevens tijdens je beveiligingstests te vermijden;
alleen onderzoek te verrichten binnen het hieronder uiteengezette kader; en
informatie over kwetsbaarheden die je ontdekt hebt, vertrouwelijk te houden tussen jou en TransIP en ons 90 dagen te geven om het probleem op te lossen.

Als je deze richtlijnen opvolgt, zullen wij:

met je samenwerken om de kwetsbaarheid te begrijpen en snel op te lossen (waaronder een eerste bevestiging van je melding binnen 72 uur na indiening daarvan);
je op de hoogte houden van onze pogingen om de kwetsbaarheid op te lossen;
geen wettelijke maatregelen ondernemen ten aanzien van jouw onthulling; en
je belonen met een fantastische 'goodie bag' wanneer je de eerste bent die een kwetsbaarheid meldt en we een verandering aan onze code of configuratie aanbrengen dankzij jouw melding.

Binnen het kader van openbaarmaking vallen:

https://www.transip.nl
https://www.transip.be
https://www.transip.eu
https://www.transip.co.uk
Jouw persoonlijke STACK-webpagina
Mobiele apps en desktopclients van STACK

Buiten het kader van openbaarmaking vallen:

Vanwege de veiligheid van onze gebruikers, medewerkers, het internet in het algemeen en jou als beveiligingsonderzoeker vallen de volgende manieren van testen buiten het kader:

het testen van services die worden gehost door derden (providers en dienstverleners);
het testen van applicaties die niet onder het beheer van TransIP vallen;
het fysiek testen, zoals het betreden van kantoren (bijvoorbeeld open deuren, tailgating);
social engineering (bijvoorbeeld phishing, vishing);
het testen van applicaties en systemen die niet zijn vermeld onder het kopje 'Binnen het kader van openbaarmaking vallen';
het testen op UI- en UX-bugs en spelfouten; en
network level denial of service (DoS/DDoS)-kwetsbaarheden.

Wat we niet van jou wensen te ontvangen, zijn:

persoonlijk identificeerbare informatie (PII); en
betalingsgegevens, zoals bankrekeningnummers en creditcardgegevens.

Hoe meld je een beveiligingskwetsbaarheid aan ons?

Als je denkt dat je in een van onze producten of platformen een beveiligingskwetsbaarheid hebt gevonden, meld deze dan snel per e-mail aan security@transip.nl. Vergeet niet de volgende details aan je melding toe te voegen:

een beschrijving van de locatie en de potentiële impact van de kwetsbaarheid;
een gedetailleerde beschrijving van de stappen die nodig zijn om de kwetsbaarheid te reproduceren (POC-scripts, screenshots en gecomprimeerde screencaptures vinden we allemaal nuttig);
je naam/handle en een link naar keuze om eeuwig te ‘shinen’ in onze Hall of Fame.

Als je de informatie liever versleutelt, gebruik dan de PGP-sleutel van ons team: (ID: 6D0E2A2E, Fingerprint: 5CF5 61BE C0AA AE11 8164 6576 4FDD F923 6D0E 2A2E).

Happy hacking!