Responsible disclosure

Bij ANBI360 nemen we de beveiliging van onze systemen serieus. Toch kan het voorkomen dat er een zwakke plek in onze website of ons platform zit. Heb je een kwetsbaarheid gevonden? We horen dat graag, zodat we deze zo snel mogelijk kunnen verhelpen.

Hoe meld je een kwetsbaarheid?

Stuur een e-mail naar security@anbi360.nl, met daarin zo veel mogelijk van het volgende:

• een omschrijving van de kwetsbaarheid en waar deze zich bevindt (bijvoorbeeld een URL of endpoint);
• de stappen om het probleem te reproduceren;
• eventuele screenshots, logs of een proof of concept;
• je contactgegevens, zodat we vragen kunnen stellen of je op de hoogte kunnen houden.

Versleutel gevoelige informatie waar mogelijk, en deel geen wachtwoorden, persoonsgegevens van anderen of andere gevoelige gegevens die je tijdens het onderzoek bent tegengekomen in je melding zelf.

Spelregels

We vragen je om:

• geen gegevens van organisaties of gebruikers in te zien, te wijzigen of te verwijderen die niet van jezelf zijn;
• geen kwetsbaarheid te gebruiken voor meer dan nodig is om het probleem aan te tonen (geen verdere toegang, geen grootschalige geautomatiseerde scans);
• geen social engineering, phishing, of fysieke aanvallen op medewerkers of kantoren toe te passen;
• geen denial-of-service-aanvallen uit te voeren;
• de kwetsbaarheid niet met anderen te delen totdat deze is opgelost, en ons voldoende tijd te geven om het probleem te verhelpen voordat je hierover naar buiten treedt.

Wat je van ons kunt verwachten

• We bevestigen de ontvangst van je melding binnen enkele werkdagen.
• We onderzoeken de melding en houden je op de hoogte van de voortgang en een verwachte oplossingstermijn.
• We lossen serieuze kwetsbaarheden met voorrang op.
• Bij een melding die aan bovenstaande spelregels voldoet, ondernemen we geen juridische stappen tegen de melder naar aanleiding van die melding.
• Op verzoek vermelden we je (desgewenst onder een gekozen naam) als ontdekker, nadat de kwetsbaarheid is opgelost. Dit is een dankbetuiging, geen betaalde bug bounty: ANBI360 kent in deze fase geen beloningsprogramma.

Wat valt hier niet onder?

Deze procedure is bedoeld voor technische kwetsbaarheden in de ANBI360-website en het platform zelf. Vragen over privacy en gegevensverwerking horen bij de privacyverklaring, en klachten over de dienstverlening (een scan, rapport of betaling) horen bij de klachtenprocedure.