INFORMATIE OVER
CYBERBEVEILIGING

MEIKO waardeert alle meldingen over beveiligingsrisico's en behandelt deze zorgvuldig en transparant. Door kwetsbaarheden op te sporen, kunnen we onze klanten een blijvend hoog beveiligingsniveau bieden. Het is dan ook in ons belang om eventuele zwakke punten te identificeren en een passende oplossing te ontwikkelen.

Dit beleid voor de melding van kwetsbaarheden beschrijft de procedure die moet worden gevolgd bij het melden van kwetsbaarheden aan ons (de “organisatie”) en bij het onderzoeken van onze producten op zwakke punten.

We raden u aan dit beleid voor de melding van kwetsbaarheden volledig door te lezen voordat u een kwetsbaarheid meldt en de bepalingen ervan steeds na te leven. We waarderen de tijd en moeite die mensen nemen om beveiligingskwetsbaarheden te melden overeenkomstig dit beleid. We bieden echter geen financiële beloningen voor het melden van kwetsbaarheden.

De melder is verantwoordelijk voor zijn eigen handelingen en moet bij het onderzoeken en melden van kwetsbaarheden de beginselen van evenredigheid en subsidiariteit in acht nemen. De melder mag dus uitsluitend doen wat nodig is om de kwetsbaarheid aan te tonen en moet deze altijd eerst melden aan de eigenaar van het systeem of de informatie.

Als u dit beleid naleeft, zal de organisatie geen juridische stappen ondernemen naar aanleiding van uw te goeder trouw uitgevoerde onderzoeken naar en meldingen van kwetsbaarheden. Deze juridische bescherming geldt niet als er aanwijzingen zijn van kwaadwillige bedoelingen.

De melder moet:

• de kwetsbaarheid zo snel mogelijk melden om te voorkomen dat kwaadwillenden deze ontdekken en misbruiken;
• de kwetsbaarheid vertrouwelijk aan de organisatie melden om te voorkomen dat anderen toegang krijgen tot deze informatie;

duidelijke afspraken maken met de organisatie over de bekendmaking van de kwetsbaarheid. Als er meerdere organisaties betrokken zijn, geldt als basisprincipe dat de kwetsbaarheden alleen openbaar mogen worden gemaakt als alle organisaties hiermee instemmen.

Als u vermoedt dat u een beveiligingskwetsbaarheid hebt ontdekt, meld deze dan via het volgende e-mailadres: service-support@meiko-global.com

Alleen e-mails in het Engels of Duits worden in behandeling genomen.

Vermeld de volgende gegevens over de kwetsbaarheid in uw melding:

• Betrokken systeem (webadres, IP-adres, product- of servicenaam) waarin de kwetsbaarheid kan worden vastgesteld
• Zwak punt (bijv. CWE) (optioneel)
• Ernst (bijv. CVSS v3.1) (optioneel)
• Titel van de kwetsbaarheid (verplicht)
• Beschrijving van de kwetsbaarheid (met onder meer een samenvatting, ondersteunende bestanden en mogelijke risicobeperkende maatregelen of aanbevelingen) (verplicht)
• Impact (wat zou een aanvaller kunnen doen?) (verplicht)
• Stappen om de kwetsbaarheid te reproduceren. Dit moet een onschadelijke, niet-destructieve demonstratie van de kwetsbaarheid zijn (proof of concept).

Optionele contactgegevens:

• Naam
• E-mailadres

Nadat u uw melding hebt ingediend, zorgen wij ervoor dat deze volgens onze procedures bij de meest geschikte afdeling terechtkomt. Na het indienen van de melding verloopt de procedure als volgt:

• De organisatie stuurt de melder een ontvangstbevestiging.
• De melding wordt beoordeeld en behandeld op basis van onze risicobeoordeling (impact, ernst en complexiteit van de uitbuiting van de kwetsbaarheid).
• De organisatie houdt de melder op de hoogte van de status.
• De melder wordt verzocht niet vaker dan eens per 14 dagen naar de status te informeren.
• De organisatie maakt de bevindingen in overleg met de melder openbaar als er een redelijke kans bestaat dat de kwetsbaarheid ook elders aanwezig is.
• Wij behandelen uw melding strikt vertrouwelijk.
• Wij geven uw persoonsgegevens niet zonder uw toestemming door aan derden.

NIET DOEN:

• Misbruik maken van de kwetsbaarheid of het probleem dat u hebt ontdekt, bijvoorbeeld door onnodig toegang te krijgen tot gegevens of buitensporige of aanzienlijke hoeveelheden gegevens te raadplegen.
• Het probleem aan anderen bekendmaken voordat het is opgelost.
• Gegevens in de systemen of diensten van de organisatie wijzigen.
• Aanvallen op de fysieke beveiliging, social engineering, gedistribueerde denial-of-serviceaanvallen (DDoS), spam of intensieve, invasieve of destructieve scantools gebruiken om kwetsbaarheden op te sporen.
• Een vorm van denial-of-serviceaanval uitvoeren of melden, bijvoorbeeld door een dienst te overbelasten met een groot aantal verzoeken.
• De werking van de diensten of systemen van de organisatie verstoren.

E-mail: service-support@meiko-global.com