De gemeente Meppel hecht veel waarde aan de beveiliging van haar systemen. Hoewel wij volop aandacht hebben voor de beveiliging van onze ICT-systemen kan een zwakke plek aanwezig zijn. Wanneer u een zwakke plek in één van onze systemen ontdekt horen wij dit graag van u, zodat wij snel gepaste maatregelen kunnen nemen. Door het maken van een melding gaat u akkoord met de afspraken over Coordinated Vulnerability Disclosure. Wij handelen uw melding volgens deze afspraken af.

Ons verzoek

• Meld de gevonden kwetsbaarheid zo snel mogelijk nadat u deze ontdekt hebt.
• Geef voldoende informatie te geven om de kwetsbaarheid na te doen, zodat wij het zo snel mogelijk kunnen oplossen
• Laat uw contactgegevens achter als u dit wilt. Zo kunnen wij contact met u opnemen om samen te werken aan het oplossen van de kwetsbaarheid
• Geef aan hoe u de kwetsbaarheid hebt gevonden
• Geef (indien mogelijk) aan wat gedaan kan worden om de kwetsbaarheid te verhelpen. Beperk dit tot controleerbare feiten die betrekking hebben op de kwetsbaarheid.
• Vermijd dat uw advies neerkomt op reclame voor specifieke (beveiligings-)producten

Wat u van ons mag verwachten

• Binnen 5 werkdagen reageren wij op uw melding met onze beoordeling en de verwachte oplossingsdatum
• We behandelen uw melding vertrouwelijk
• Uw persoonlijke gegevens delen wij niet zonder uw toestemming met derden, tenzij dat wettelijk gezien of door een gerechtelijke uitspraak nodig is.
• Het maken van een anonieme melding of melden onder een pseudoniem is mogelijk
• Wij lossen het door u gemelde beveiligingsprobleem zo snel mogelijk op
• Wij houden u op de hoogte van de voortgang van de oplossing van de kwetsbaarheid
• In onderling overleg bepalen we of en op welke wijze over het probleem wordt gepubliceerd nadat het is opgelost
• In berichtgeving over de kwetsbaarheid vermelden wij – als u dat wenst – uw naam als ontdekker. In alle andere gevallen blijft u anoniem
• We ondernemen geen juridische stappen tegen u als u zich aan de voorwaarden houdt. Als blijkt dat u een voorwaarde toch heeft geschonden, kunnen wij alsnog besluiten om gerechtelijke stappen tegen u te ondernemen
• We delen de melding met de Informatiebeveiligingsdienst voor gemeenten (IBD)

Voorwaarden

• U maakt informatie over het beveiligingsprobleem niet openbaar en deelt ook geen informatie met derden voordat de kwetsbaarheid is verholpen
• U verricht geen handelingen die verder gaan dan wat strikt noodzakelijk is om het beveiligingsprobleem aan te tonen of te melden
• U maakt geen gebruik van social engineering of aanvallen op fysieke beveiliging om op die manier toegang te krijgen tot het systeem
• U plaatst geen eigen backdoor in een informatiesysteem om vervolgens daarmee de kwetsbaarheid aan te tonen
• U brengt geen veranderingen in het systeem aan
• U buit de gevonden kwetsbaarheid niet uit, op wat voor manier dan ook
• U maakt geen gebruik van malware, (distributed) denial of service ((D)DoS-aanvallen), spam of ‘bruteforcen’ van toegang tot systemen
• Het op wat voor (andere) manier dan ook misbruik maken van de kwetsbaarheid is strikt verboden