Security

Toegankelijkheid

Deze website is bedoeld om voor iedereen toegankelijk te zijn. Bij de inrichting van de website worden de WCAG-richtlijnen continu gevolgd. Ervaar je een probleem met de toegankelijkheid van de website? Laat het weten via mail@davidvanes.nl.

Deze website draait op WordPress. Er zijn passende technische en organisatorische beveiligingsmaatregelen getroffen om de website en verwerkte informatie te beschermen.

Het platform wordt actueel gehouden;
Er wordt gemonitord op kwetsbaarheden;
Beveiligingsadviezen van leveranciers worden opgevolgd;
Er wordt gebruikgemaakt van een breed toegepast basistemplate;
De website wordt gehost bij de Nederlandse hostingprovider Mijn.host;
Beheeraccounts zijn beveiligd en voorzien van beperkte toegangsrechten.

Privacy en cookies

Deze website gebruikt geen cookies voor webstatistieken. Er worden geen trackingcookies gebruikt. De Do Not Track-instelling van browsers wordt daarom niet ondersteund.

Melden van kwetsbaarheden

Wordt er een kwetsbaarheid op de website gevonden, dan kan deze worden gemeld. Het melden van kwetsbaarheden gebeurt volgens het principe van Coordinated Vulnerability Disclosure (CVD). Op deze pagina staat het CVD-beleid.

Als je je aan onderstaande verwachtingen houdt, dan zullen wij geen juridische stappen tegen je ondernemen ten aanzien van je melding. Sterker nog, we vinden de rol van beveiligingsonderzoekers essentieel en werken dus graag samen aan een veiligere wereld.

Voor welke kwetsbaarheden kun je een CVD-melding bij ons maken?

Je kan bij ons kwetsbaarheden melden die een risico vormen voor de beveiliging van een systeem. Voorbeelden hiervan zijn kwetsbaarheden die het mogelijk maken om een login-formulier te omzeilen of op een onbedoelde manier toegang te krijgen tot een database met persoonsgegevens.

Niet elke afwijking in een systeem is een kwetsbaarheid. Over het algemeen leiden de volgende afwijkingen niet tot een onveilige situatie. We willen je daarom vriendelijk vragen om voor onderstaande afwijkingen geen CVD-melding bij ons te maken:

Een afwijking die geen impact heeft op de beschikbaarheid, integriteit of vertrouwelijkheid van informatie.
De beschikbaarheid van WordPress xmlrpc.php-functionaliteit wanneer misbruik ervan beperkt is tot een zogenaamde ping-back denial-of-service.
De beschikbaarheid van versie-informatie via bijvoorbeeld een info.php-bestand. Een mogelijke uitzondering hierop is wanneer uit de versie-informatie blijkt dat het systeem gebruikmaakt van software met bekende kwetsbaarheden.
De afwezigheid van HTTP security headers zoals gebruikt door onder andere Cross-Origin Resource Sharing (CORS), tenzij deze afwezigheid aantoonbaar tot een beveiligingsprobleem leidt.

Wanneer je twijfelt of de afwijking die je heeft gevonden onder een van bovenstaande uitzonderingen valt, kunt je deze afwijking uiteraard gewoon bij ons melden. Wij zullen vervolgens bepalen of het om een kwetsbaarheid gaat en de juiste vervolgacties uitzetten.

Hoe doet je een CVD-melding bij ons?

Wij vragen je de volgende procedure te volgen:

Mail jouw bevindingen naar mail@davidvanes.nl.
Beschrijf in jouw melding zo duidelijk mogelijk hoe het probleem kan worden gereproduceerd; dit draagt bij aan een snelle oplossing. Meestal is het IP-adres of de URL van het getroffen systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer informatie nodig zijn. Wij nemen daarover dan contact met je op.
Laat ten minste een e-mailadres of telefoonnummer achter zodat wij bij vragen contact met je kunnen opnemen. Communicatie via e-mail heeft onze voorkeur.

Zorg ervoor dat:

je de melding zo snel mogelijk na ontdekking van de kwetsbaarheid doet.
je de informatie over het beveiligingsprobleem niet met anderen deelt totdat je van ons hoort of het is opgelost.
je verantwoordelijk omgaat met de kennis over het beveiligingsprobleem, bijvoorbeeld door geen handelingen te verrichten die verder gaan dan noodzakelijk om het beveiligingsprobleem aan te tonen.

Wat moet je niet doen?

Vermijd altijd de volgende handelingen:

Plaatsen van malware.
Kopiëren, wijzigen of verwijderen van gegevens in een systeem.
Aanbrengen van veranderingen in het systeem.
Herhaaldelijk toegang tot het systeem verkrijgen.
De toegang delen met anderen.
Gebruikmaken van ‘brute force’ om toegang tot een systeem te verkrijgen.
Gebruikmaken van denial-of-service of ‘social engineering’.

De uitgangspunten van ons CVD-beleid

Wanneer je de melding volgens de procedure doet, hebben wij geen reden om juridische consequenties te verbinden aan jouw melding. Wij behandelen jouw melding vertrouwelijk en delen persoonlijke gegevens niet zonder uw toestemming met derden, tenzij dit wettelijk of uit hoofde van een rechterlijke uitspraak verplicht is.
Alleen met jouw toestemming vermelden wij jouw naam als de ontdekker van de gemelde kwetsbaarheid.
Wij sturen je binnen één werkdag een bevestiging van ontvangst. Binnen drie werkdagen reageren wij op jouw melding met de beoordeling van de melding. Wij houden je op de hoogte van de voortgang van het oplossen van het probleem.
Wij streven ernaar het door jou gemelde beveiligingsprobleem in een systeem uiterlijk binnen 60 dagen op te laten lossen. In overleg bepalen we, na oplossen van het probleem, of en op welke wijze erover wordt gepubliceerd.
Wij bieden een beloning als dank voor de hulp. De beloning is afhankelijk van de ernst van het beveiligingsprobleem en de kwaliteit van de melding. Het moet wel gaan om een nog onbekend en serieus beveiligingsprobleem.

Dank

Voor het CVD-beleid is gebruik gemaakt van het voorbeeld van NCSC.

Copyright

Er wordt zorg besteed aan het verstrekken van betrouwbare en actuele informatie. Toch kan niet worden gegarandeerd dat deze altijd volledig, foutloos of actueel is. Aan de inhoud kunnen geen rechten worden ontleend.

Copyright

De website en teksten van davidvanes.nl vallen onder het auteursrecht, tenzij anders vermeld.

Materiaal van derden

Foto’s van personen op davidvanes.nl zijn auteursrechtelijk beschermd en mogen niet zonder voorafgaande toestemming worden gebruikt.