Kwetsbaarheid melden (Coordinated Vulnerability Disclosure)

Wij vinden de beveiliging van onze systemen belangrijk. Vind je toch een kwetsbaarheid, dan horen wij dat graag, zodat wij die snel kunnen oplossen.

Waar het om gaat

Dit beleid geldt voor twentynice.com en de systemen van TwentyNice B.V. Het geldt niet voor de UEM-platforms van onze leveranciers (zoals Microsoft, Samsung, Ivanti, SOTI, Omnissa en BlackBerry). Meld kwetsbaarheden in die producten bij de betreffende leveranciers.

Hoe je meldt

• Mail je bevindingen naar security@twentynice.com.
• Beschrijf de kwetsbaarheid, de stappen om die te reproduceren en, als dat kan, het IP-adres of de URL van het getroffen systeem.
• Laat een e-mailadres of telefoonnummer achter, zodat wij contact met je kunnen opnemen.

Wat wij van je vragen

• Maak geen misbruik van de kwetsbaarheid. Download, wijzig of verwijder niet meer gegevens dan nodig is om de kwetsbaarheid aan te tonen.
• Deel de kwetsbaarheid niet met anderen totdat deze is opgelost.
• Gebruik geen aanvallen op fysieke beveiliging, social engineering, (D)DoS of spam.
• Plaats geen malware en installeer geen achterdeur.

Wat wij beloven

• Wij bevestigen je melding binnen 3 werkdagen en geven binnen 10 werkdagen een eerste beoordeling en een verwachte termijn voor oplossing.
• Wij houden je op de hoogte van de voortgang.
• Wij behandelen je melding vertrouwelijk en delen je gegevens niet zonder jouw toestemming met derden, tenzij de wet ons daartoe verplicht.
• Als je je aan de voorwaarden hierboven houdt, doen wij geen aangifte.
• Wij vermelden je naam als ontdekker als je dat wilt.
• Wij bieden geen geldelijke beloning, maar kunnen als dank een attentie geven.

English summary

Found a vulnerability in twentynice.com or TwentyNice systems? Report it to security@twentynice.com with steps to reproduce. Do not exploit or share it until fixed; no social engineering, DoS or physical attacks. We confirm receipt within 3 working days, keep you informed and will not take legal action if you follow these rules. Vulnerabilities in vendor platforms we support must be reported to that vendor.

Dit beleid is gebaseerd op de Leidraad Coordinated Vulnerability Disclosure van het NCSC. Melden kan via security@twentynice.com.