Sicherheit

Richtlinie zur Offenlegung von Sicherheitslücken

Eine Sicherheitslücke melden

Einleitung

MyClusters B.V. („MyClusters“) nimmt die Sicherheit seiner Produkte und Dienste sehr ernst. Unsere Plattform verarbeitet Gesundheitsdaten von Menschen, die unter Clusterkopfschmerz leiden, und wir schätzen die Arbeit von Sicherheitsforschern, die uns dabei helfen, Schwachstellen zu identifizieren und zu beheben. Wir möchten es Ihnen einfach und sicher machen, dies zu tun. Diese Richtlinie beschreibt die Regeln für die Meldung einer von Ihnen entdeckten Schwachstelle.

Geltungsbereich

Folgende Punkte fallen in den Geltungsbereich:

  • https://myclusters.nl und dessen Subdomains
  • Die MyClusters-Apps für iOS und Android
  • Das MyClusters-Forschungs-Dashboard, die Umfrage-Tools und das ePRO-Tool
  • APIs, die die oben aufgeführten Dienste unterstützen

Folgendes fällt nicht in den Geltungsbereich:

  • Drittanbieter-Dienste und -Plattformen, die MyClusters nutzt, aber nicht selbst betreibt (z. B. Cloud-Hosting-Anbieter, App-Stores, Newsletter- und Podcast-Plattformen). Bitte melden Sie Sicherheitslücken in diesen Diensten direkt beim jeweiligen Anbieter.
  • Social Engineering (z. B. Phishing) gegenüber Mitarbeitern oder Auftragnehmern von MyClusters.
  • Physische Angriffe.
  • Denial-of-Service-Angriffe (DoS).
  • Automatisierte Scanvorgänge, die übermäßigen Datenverkehr verursachen.

Rechtliche Lage und Safe-Harbor-Regelung

MyClusters wird keine rechtlichen Schritte gegen Nutzer einleiten, die Sicherheitslücken in gutem Glauben melden, sich an den Rahmen dieser Richtlinie halten, nicht über das zur Demonstration des Problems erforderliche Maß hinaus auf Daten zugreifen oder diese verändern und die Fristen für die Offenlegung einhalten.

Bedingungen

  1. 01Geben Sie die Sicherheitslücke nicht öffentlich bekannt, bis MyClusters ausreichend Zeit hatte, den Vorfall zu untersuchen und Abhilfe zu schaffen (in der Regel 90 Tage ab dem Datum der Meldung).
  2. 02Greifen Sie nicht auf Daten von MyClusters oder dessen Nutzern zu, verändern, entwenden oder vernichten Sie diese nicht. Verwenden Sie ausschließlich Konten, die Ihnen gehören oder die Sie zu Testzwecken erstellt haben.
  3. 03Sollten Sie versehentlich auf personenbezogene Daten oder Gesundheitsdaten zugreifen, brechen Sie den Test unverzüglich ab, speichern oder geben Sie die Daten nicht weiter und teilen Sie uns dies in Ihrem Bericht mit.
  4. 04Führen Sie keine Tests durch, die den Dienst für andere Nutzer beeinträchtigen (keine DoS-Angriffe, kein automatisiertes Scannen mit einer Frequenz, die die Leistung beeinträchtigt).
  5. 05Testen Sie keine Konten oder Umgebungen von Patienten oder Forschungspartnern ohne deren ausdrückliche vorherige Zustimmung.
  6. 06Die Berichte müssen auf Englisch eingereicht werden und genügend Details enthalten, um das Problem nachstellen zu können.

So melden Sie eine Sicherheitslücke

Senden Sie Ihren Bericht an security@myclusters.nl.

Bericht senden

Bitte angeben:

  • Eine klare Beschreibung der Sicherheitslücke und ihrer Auswirkungen.
  • Eine Schritt-für-Schritt-Anleitung zur Reproduktion, einschließlich etwaigen Proof-of-Concept-Codes, Screenshots oder Videos.
  • Die betroffene URL, der Endpunkt, das Produkt und gegebenenfalls die Version.
  • Ihre Kontaktdaten, falls Sie über Neuigkeiten informiert werden und namentlich genannt werden möchten.

Was Sie von uns erwarten können

  1. Eine Bestätigung des Eingangs Ihrer Meldung innerhalb von 5 Arbeitstagen.

  2. Eine Bewertung und ein Zeitplan für die Behebung der Mängel innerhalb von 10 Arbeitstagen.

  3. Aktuelle Informationen zum Stand unserer Untersuchungen und der Behebung des Problems.

MyClusters betreibt kein bezahltes Bug-Bounty-Programm und bietet keine finanziellen Belohnungen für gemeldete Sicherheitslücken an.

Annahmekriterien und Priorisierung

Die Meldungen werden anhand des Common Vulnerability Scoring System (CVSS) bewertet, wobei die Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit unserer Dienste sowie auf die von uns verarbeiteten personenbezogenen Daten berücksichtigt werden. Jede validierte Meldung wird als „kritisch“, „hoch“, „mittel“ oder „niedrig“ eingestuft, und die Abhilfemaßnahmen werden entsprechend geplant.

In der Regel akzeptieren wir die folgenden Meldungen nicht:

  • Theoretische Probleme ohne nachweisbare praktische Auswirkungen.
  • Fehlende HTTP-Header oder Konfigurationen nach Best Practice, bei denen keine Ausnutzbarkeit nachgewiesen wurde.
  • Befunde aus automatisierten Scannern ohne Validierung.
  • Schwachstellen in Systemen, die nicht in den Untersuchungsumfang fallen, oder solche, deren Ausnutzung Techniken erfordert, die nicht in den Untersuchungsumfang fallen (z. B. Social Engineering, physischer Zugriff, DoS).