Meld een beveiligingskwetsbaarheid
Bij Traxgo nemen wij de beveiliging van onze systemen, producten en diensten serieus. Wij waarderen de bijdrage van beveiligingsonderzoekers, klanten en andere belanghebbenden die ons helpen om kwetsbaarheden te identificeren en te verhelpen.
Deze Coordinated Vulnerability Disclosure (CVD) Policy beschrijft hoe beveiligingskwetsbaarheden verantwoord kunnen worden gemeld en hoe wij dergelijke meldingen behandelen.
Scope
Deze regeling is van toepassing op door ons beheerde:
• websites; • klantportalen; • mobiele applicaties; • voertuigvolgsystemen; • wagenparkbeheerplatformen; • API’s; • cloudomgevingen; • telemetrie-, monitoring- en trackingdiensten.
Melden van een kwetsbaarheid
Heeft u een beveiligingskwetsbaarheid ontdekt? Dan verzoeken wij u deze zo spoedig mogelijk te melden via e-mail naar privacy-smartmobility@addsecure.com.
Vermeld hierbij indien mogelijk: • een beschrijving van de kwetsbaarheid; • het betrokken systeem, product of de URL; • de mogelijke impact; • reproduceerstappen; • screenshots, logging of een proof-of-concept; • uw contactgegevens voor eventuele terugkoppeling.
Wat wij van u vragen
Wij verzoeken u: • te handelen in goed vertrouwen; • geen misbruik te maken van de kwetsbaarheid; • niet meer gegevens te benaderen dan strikt noodzakelijk om de kwetsbaarheid aan te tonen; • geen gegevens te wijzigen, verwijderen of openbaar te maken; • de beschikbaarheid van systemen niet te verstoren; • geen kwetsbaarheden openbaar te maken voordat hierover afstemming heeft plaatsgevonden; • voldoende informatie aan te leveren zodat wij de melding kunnen onderzoeken.
Safe Harbour
Wanneer u: • te goeder trouw handelt; • deze policy volgt; • uitsluitend handelingen verricht die noodzakelijk zijn om de kwetsbaarheid aan te tonen; • geen gegevens wijzigt, verwijdert of openbaar maakt; • geen schade veroorzaakt aan systemen, diensten of gebruikers;
zullen wij geen juridische stappen ondernemen naar aanleiding van uw melding.
Deze bescherming geldt uitsluitend voor activiteiten die binnen de grenzen van deze policy blijven.
Niet toegestaan
De volgende activiteiten vallen niet onder deze regeling: • social engineering van medewerkers, klanten of leveranciers; • fysieke aanvallen op voertuigen, voertuigapparatuur of installaties; • testen op systemen van klanten zonder toestemming van de eigenaar; • verstoring van alarmcentrale-, meldkamer- of opsporingsdiensten; • denial-of-service-aanvallen (DoS of DDoS); • malware-, ransomware- of vergelijkbare activiteiten; • geautomatiseerde scans die de beschikbaarheid van systemen kunnen beïnvloeden; • het verzamelen, downloaden, kopiëren of publiceren van persoonsgegevens of locatiegegevens; • openbaarmaking van kwetsbaarheden zonder voorafgaande afstemming.
Onze behandeling van meldingen
Wij streven naar de volgende responstijden: • ontvangstbevestiging binnen 5 werkdagen; • eerste beoordeling binnen 10 werkdagen; • periodieke statusupdates tijdens het onderzoek; • afstemming met de melder over eventuele openbaarmaking.
Afhankelijk van de complexiteit van het probleem, betrokken leveranciers en de impact op klanten kunnen doorlooptijden afwijken.
Kwetsbaarhedenbeheer
Ontvangen meldingen worden geregistreerd en verwerkt binnen ons interne kwetsbaarhedenbeheerproces.
Dit proces omvat onder andere:
1. registratie van de melding; 2. validatie van de kwetsbaarheid; 3. risicoanalyse; 4. prioritering; 5. implementatie van corrigerende maatregelen; 6. verificatie van de oplossing; 7. afsluiting en communicatie.
Verantwoord openbaar maken
Wij ondersteunen verantwoorde en gecoördineerde openbaarmaking van kwetsbaarheden nadat:
• de kwetsbaarheid is onderzocht; • passende maatregelen zijn getroffen; • betrokken partijen waar nodig zijn geïnformeerd; • openbaarmaking geen onnodige veiligheidsrisico’s meer veroorzaakt.
Openbaarmaking vindt plaats in overleg tussen melder en organisatie.
Privacy
Persoonsgegevens die in het kader van een kwetsbaarheidsmelding worden verstrekt, worden uitsluitend gebruikt voor de behandeling van de melding en worden verwerkt overeenkomstig onze privacyverklaring.
Commitment
Wij streven naar continue verbetering van de beveiliging van onze producten, systemen en dienstverlening. Het ontvangen, beoordelen en verhelpen van kwetsbaarheden vormt een integraal onderdeel van ons informatiebeveiligings- en productsecurityproces gedurende de levenscyclus van onze producten en diensten.
