Heb je een beveiligingslek ontdekt in een ICT-systeem van de centrale overheid? Laat het ons weten voordat u de buitenwereld informeert, zodat we eerst actie kunnen ondernemen. Dit wordt "verantwoordelijke openbaarmaking" genoemd.
Wat te doen:
- Mail uw ontdekking naar This email address is being protected from spambots. You need JavaScript enabled to view it..
- Geef voldoende details om de fout te reproduceren zodat deze zo snel mogelijk kan worden verholpen. Het IP-adres van de computer of de URL van het ICT-systeem en een beschrijving van de beveiligingsfout zijn meestal voldoende. Hoe ingewikkelder de fout, hoe meer details we nodig hebben.
- Laat uw contactgegevens achter zodat we u later kunnen contacteren. Ten minste een e-mailadres of telefoonnummer.
- Meld de fout zo snel mogelijk nadat u deze hebt ontdekt.
- Deel geen informatie over de fout met anderen totdat deze is verholpen.
- Verantwoord omgaan met de informatie in uw bezit. Doe niets anders dan nodig is om de beveiligingsfout aan te tonen.
Wat je niet moet doen:
- Stuur malware;
- Gegevens in het betreffende ICT-systeem kopiëren, wijzigen of verwijderen (als alternatief kunt u een directorylijst van het systeem maken) ;.
- Verander het systeem;
- Bezoek het systeem herhaaldelijk of deel de toegang met anderen;
- Gebruik "brute force" om het systeem te openen;
- Probeer denial of service of social engineering.
Wat te verwachten:
- Controleer bij het melden van de beveiligingsfout of u voldoet aan de hierboven beschreven voorwaarden. Als u dit doet, zal de overheid geen juridische consequenties aan uw melding verbinden.
- De overheid behandelt de meldingen vertrouwelijk. Het zal uw persoonlijke gegevens niet delen met derden zonder uw toestemming, tenzij dit vereist is door de wet of een gerechtelijk bevel.
- De overheid kan, indien u dat wenst, uw naam vermelden als degene die de beveiligingsfout heeft ontdekt.
- De overheid stuurt u binnen één werkdag een ontvangstbevestiging.
- De overheid zal binnen drie werkdagen op uw melding reageren. Het antwoord bevat een beoordeling van uw melding en de datum waarop naar verwachting het probleem zal worden verholpen.
- De overheid houdt u - als degene die de fout heeft ontdekt - op de hoogte van de vooruitgang die is geboekt bij het verhelpen ervan.
- De overheid zal het gebrek zo snel mogelijk verhelpen, zeker niet later dan 60 dagen na ontvangst van de melding. De overheid zal met u samenwerken om te bepalen of en, zo ja, hoe het gemelde gebrek openbaar moet worden gemaakt. Het wordt pas openbaar gemaakt nadat het is verholpen.
- De overheid zal je een beloning geven als erkenning van je hulp.
Kwetsbaarheid van ICT-systemen buiten de centrale overheid
Als u een beveiligingslek ontdekt in een andere overheidsinstantie (zoals een gemeente of provincie) of in een organisatie met een vitale functie (zoals een energie- of telecombedrijf), neem dan eerst contact op met de instantie of organisatie. Als u geen reactie ontvangt, neem dan contact op met het National Cyber Security Center, dat bemiddelt tussen u en de betrokken instantie of organisatie.