Beveiliging

Beleid voor het melden van kwetsbaarheden

Een kwetsbaarheid melden

Inleiding

MyClusters B.V. (“MyClusters”) neemt de beveiliging van haar producten en diensten serieus. Ons platform verwerkt gezondheidsgegevens van mensen met clusterhoofdpijn, en we waarderen het werk van beveiligingsonderzoekers die ons helpen kwetsbaarheden op te sporen en te verhelpen. We willen het u gemakkelijk en veilig maken om dit te doen. In dit beleid worden de regels beschreven voor het melden van een kwetsbaarheid die u hebt ontdekt.

Toepassingsgebied

Het volgende valt onder het toepassingsgebied:

  • https://myclusters.nl en de bijbehorende subdomeinen
  • De MyClusters-apps voor iOS en Android
  • Het MyClusters-onderzoeksdashboard, de enquêtetools en de ePRO-tool
  • API’s die de hierboven genoemde diensten ondersteunen

Het volgende valt buiten het toepassingsgebied:

  • Diensten en platforms van derden die MyClusters gebruikt, maar niet zelf beheert (bijvoorbeeld cloudhostingproviders, app-winkels, nieuwsbrief- en podcastplatforms). Meld kwetsbaarheden in deze diensten rechtstreeks aan de betreffende aanbieder.
  • Social engineering (bijvoorbeeld phishing) gericht tegen medewerkers of ingehuurde krachten van MyClusters.
  • Fysieke aanvallen.
  • Denial-of-service (DoS)-aanvallen.
  • Geautomatiseerd scannen dat buitensporig veel verkeer veroorzaakt.

Juridische positie en safe harbour

MyClusters zal geen juridische stappen ondernemen tegen gebruikers die te goeder trouw kwetsbaarheden melden, zich aan de reikwijdte van dit beleid houden, geen gegevens raadplegen of wijzigen voor zover dat niet nodig is om het probleem aan te tonen, en de termijn voor openbaarmaking in acht nemen.

Voorwaarden

  1. 01Maak de kwetsbaarheid niet openbaar voordat MyClusters voldoende tijd heeft gehad om deze te onderzoeken en te verhelpen (doorgaans 90 dagen vanaf de datum van de melding).
  2. 02Open, wijzig, exfiltreer of vernietig geen gegevens van MyClusters of zijn gebruikers. Gebruik uitsluitend accounts waarvan u de eigenaar bent of die u zelf hebt aangemaakt voor testdoeleinden.
  3. 03Als u per ongeluk toegang krijgt tot persoonsgegevens of gezondheidsgegevens, stop dan onmiddellijk met testen, sla de gegevens niet op en deel ze niet met anderen, en vermeld dit in uw melding.
  4. 04Voer geen tests uit die de dienstverlening voor andere gebruikers verstoren (geen DoS-aanvallen, geen geautomatiseerde scans met een frequentie die de prestaties beïnvloedt).
  5. 05Test geen accounts of omgevingen van patiënten of onderzoekspartners zonder hun uitdrukkelijke voorafgaande toestemming.
  6. 06Rapporten moeten in het Engels worden ingediend en voldoende details bevatten om het probleem te kunnen reproduceren.

Hoe meldt u een kwetsbaarheid?

Stuur uw melding naar security@myclusters.nl.

Rapport verzenden

Vermeld:

  • Een duidelijke beschrijving van de kwetsbaarheid en de gevolgen ervan.
  • Stapsgewijze instructies om het probleem te reproduceren, inclusief eventuele proof-of-concept-code, schermafbeeldingen of video's.
  • De betreffende URL / het betreffende eindpunt / het betreffende product en, indien van toepassing, de versie.
  • Uw contactgegevens, mocht u op de hoogte willen blijven en vermeld willen worden.

Wat u van ons kunt verwachten

  1. Een ontvangstbevestiging van uw melding binnen 5 werkdagen.

  2. Een beoordeling en een streeftermijn voor de herstelmaatregelen binnen 10 werkdagen.

  3. We houden u op de hoogte van de voortgang terwijl we het probleem onderzoeken en oplossen.

MyClusters heeft geen betaald bug bounty-programma en biedt geen geldelijke beloningen voor gemelde kwetsbaarheden.

Acceptatiecriteria en prioritering

Meldingen worden beoordeeld aan de hand van het Common Vulnerability Scoring System (CVSS), waarbij rekening wordt gehouden met de gevolgen voor de vertrouwelijkheid, integriteit en beschikbaarheid van onze diensten en de persoonsgegevens die wij verwerken. Elke gevalideerde melding krijgt een prioriteitsniveau toegekend: ‘Kritiek’, ‘Hoog’, ‘Gemiddeld’ of ‘Laag’, en op basis daarvan worden corrigerende maatregelen gepland.

De volgende meldingen nemen wij doorgaans niet in behandeling:

  • Theoretische kwesties zonder aantoonbare praktische gevolgen.
  • Ontbrekende ‘best practice’-headers of configuraties waarvan niet is aangetoond dat ze misbruikt kunnen worden.
  • Resultaten van geautomatiseerde scanners zonder validatie.
  • Kwetsbaarheden in systemen die buiten het toepassingsgebied vallen of waarvoor technieken buiten het toepassingsgebied nodig zijn (bijv. social engineering, fysieke toegang, DoS).