Meldpunt digitale kwetsbaarheden

Bijna dagelijks verbeteren we de kwaliteit en veiligheid van onze online dienstverlening. Hiermee beschermen we onze klant- en bedrijfsgegevens tegen misbruik. Ook zorgen we daarmee dat de veiligheid en beschikbaarheid van onze dienstverlening gewaarborgd blijft. Ondanks alle zorg en inzet kunnen situaties er toch ontstaan waarin sprake is van een zwakke plek in onze beveiliging.

Mocht je toch kwetsbaarheden vinden, dan kun je deze melden. We horen dit graag zo snel mogelijk van je. Voorbeelden van kwetsbaarheden zijn:

• Cross-Site Scripting (XSS) kwetsbaarheden
• SQL injectie kwetsbaarheden
• zwakheden in inrichting beveiligde verbinding
• Remote Code execution
• Cross Site Request Forgery (XSRF) kwetsbaarheden
• kwetsbaarheden met betrekking tot encryptie
• ongeautoriseerde toegang tot gegevens

Zorg dat je tijdens het onderzoeken van de gevonden kwetsbaarheid de programmatuur in stand houdt en geen wijzigingen aanbrengt. Door wijzigingen bestaat namelijk de kans op fouten en daarmee schade aan onze dienstverlening. In geen geval mag je onderzoek:

• tot onderbreking van onze dienstverlening leiden
• tot de situatie leiden dat a.s.r.-gegevens zonder toestemming openbaar worden gemaakt

Iedereen die een mogelijke zwakte in de online dienstverlening en/of achterliggende informatiesystemen van a.s.r ontdekt, kan een melding maken.

Heb je een kwetsbaarheid gevonden, neem dan zo snel mogelijk contact via ons centrale meldpunt loket veilig internetten. Versleutel je bevindingen met onze PGP key (fingerprint) om te voorkomen dat de informatie in verkeerde handen valt.

Wij zorgen dat je binnen de tijdslijnen van onze procedures een reactie krijgt. Voorwaarde is dat je een geldig en werkend e-mail adres gebruikt bij het opvoeren van de melding. Per kwetsbaarheid wordt één melding geaccepteerd (de eerste melder).

Beschrijf het gevonden probleem zo concreet en specifiek mogelijk:

• de stappen die je hebt ondernomen
• de volledige URL en/of IP adres
• wat de eventueel betrokken objecten zijn, bijvoorbeeld welke invoervelden of filters
• het risico, de gevolgen en/of de mogelijkheid tot uitvoering

Wij kunnen alleen meldingen behandelen die in het Nederlands en Engels worden doorgegeven. Het aanbieden van een oplossing moedigen we aan.

Een team van (veiligheids)experts onderzoekt je melding en neemt zo snel mogelijk contact met je op. Wij proberen dit binnen vijf werkdagen te doen.

Maak het probleem niet openbaar, maar geef ons de tijd het probleem op te lossen. Wij laten je weten wat we van je melding vinden, of en welke oplossing we gaan toepassen en wanneer we dat doen. We vragen je verder het probleem niet met anderen te delen en alle mogelijke gegevens die zijn verkregen via de gevonden kwetsbaarheid direct te verwijderen.

Het is niet mogelijk om bij voorbaat juridische stappen tegen melders uit te sluiten. We vinden onszelf moreel verplicht om aangifte te doen op het moment dat we het vermoeden hebben dat de zwakke plek of kwetsbaarheid misbruikt wordt, of dat je kennis over de zwakke plek met anderen hebt gedeeld. Volg daarom de regels zoals hieronder opgenomen en handel daarnaast niet op onevenredige wijze:

• Maak geen gebruik van aanvallen op de fysieke beveiliging, social engineering, (distributed) denial of service, malware en/of spam. 
• Maak geen gebruik van de kwetsbaarheid. Kopieer, wijzig of verwijder geen enkel gegeven van het systeem. Ook mag je geen gegevens downloaden/opslaan, wijzigen, toevoegen, verwijderen en/of publiceren zonder toestemming van a.s.r.
• Scan ons infrastructuur niet (actief) om zwakke plekken te ontdekken. Wij monitoren ons bedrijfsnetwerk zelf. De kans is groot dat een scan wordt opgepikt door a.s.r. en dat er door onze CERT onderzoek wordt gedaan naar de herkomst van deze scan waardoor we mogelijk onnodige kosten maken.
• Breng geen systeemveranderingen aan, zoals bijvoorbeeld het plaatsen van backdoors om vervolgens daarmee de kwetsbaarheid aan te tonen. Door het aanbrengen van wijzigen kun je aanvullende schade aanrichten en/of onnodige veiligheidsrisico’s laten ontstaan.
• Probeer niet herhaaldelijk toegang tot het systeem te krijgen en deel de verkregen toegang niet met anderen.
• Gebruik geen zogeheten ‘bruteforce’ om toegang tot systemen te verkrijgen. Want dan is er geen sprake van een kwetsbaarheid, maar van het herhaaldelijk proberen van inloggen en/of het raden van wachtwoorden.

Het meldpunt is niet bedoeld voor:

• Het indienen van vragen of klachten over de dienstverlening en/of website(s) van a.s.r. Neem hiervoor contact met ons op.
• Het doen van fraudemeldingen en/of vermoedens van fraude. Is er (vermoedelijk) sprake van fraude? Meld dit dan direct bij de afdeling veiligheidszaken
• Het melden van datalekken, nep (phishing) e-mails of virussen. Is er sprake van een (mogelijk) datalek? Meld dit dan direct bij het meldpunt incidenten en datalekken.

Voor het verloop vragen wij je om jouw contactgegevens te geven (tenzij je anoniem een melding hebt gedaan). Wij geven je identiteit niet zonder jouw instemming aan anderen vrij en gebruiken je gegevens niet voor andere doeleinden dan om een passende opvolging te geven aan je melding. Een uitzondering doet zich voor als daartoe bevoegde autoriteiten bij ons informatie vorderen. Hieraan wordt gevolg gegeven zonder jouw voorafgaande toestemming.