Politique de divulgation responsable

Nous considérons la sécurité de nos systèmes comme une priorité absolue. Mais quels que soient les efforts que nous déployons pour assurer la sécurité de nos systèmes, il peut toujours y avoir des vulnérabilités.

Si vous découvrez une vulnérabilité, nous aimerions en être informés afin de pouvoir prendre des mesures pour y remédier le plus rapidement possible. Nous vous demandons de nous aider à mieux protéger nos clients et nos systèmes.

Si vous étudiez une vulnérabilité dans l'un de nos systèmes, gardez à l'esprit la proportionnalité de l'attaque. Vous n'avez pas à démontrer que si vous lancez la plus grande attaque DDoS de l'histoire de l'internet sur notre site web, nous serons hors service pendant un certain temps. Nous le savons. Cette proportionnalité s'applique également à la démonstration de la vulnérabilité elle-même. N'examinez pas ou ne modifiez pas plus de données que ce qui est strictement nécessaire pour démontrer la vulnérabilité. Par exemple, si vous modifiez notre page d'accueil, ajoutez un mot non controversé quelque part, plutôt que de copier la page entière. Si vous accédez à une base de données, une liste des tables ou la première ligne d'une des tables suffira.

Veuillez procéder comme suit :

• Envoyez vos résultats par courrier électronique à incident@delcom.nl . Cryptez vos résultats à l'aide de notre clé PGP afin d'éviter que ces informations critiques ne tombent entre de mauvaises mains ;

• Ne tirez pas profit de la vulnérabilité ou du problème que vous avez découvert, par exemple en téléchargeant plus de données que nécessaire pour démontrer la vulnérabilité ou en supprimant ou modifiant les données d'autres personnes ;

• Ne pas révéler le problème à d'autres personnes tant qu'il n'a pas été résolu ;

• Ne pas utiliser d'attaques de sécurité physique, d'ingénierie sociale, de déni de service distribué, de spam ou d'applications de tiers ; et

• Fournir suffisamment d'informations pour reproduire le problème, afin que nous puissions le résoudre le plus rapidement possible. En général, l'adresse IP ou l'URL du système affecté et une description de la vulnérabilité suffisent, mais les vulnérabilités complexes peuvent nécessiter davantage d'explications.

Ce que nous promettons :

• Nous répondrons à votre rapport dans un délai de trois jours ouvrables en indiquant notre évaluation du rapport et une date de résolution prévue ;

• Si vous avez suivi les instructions ci-dessus, nous n'engagerons aucune action en justice à votre encontre concernant le rapport ;

• Nous traiterons votre rapport dans la plus stricte confidentialité et ne transmettrons pas vos données personnelles à des tiers sans votre autorisation ;

• Nous vous tiendrons informé des progrès réalisés dans la résolution du problème ;

• Dans les informations publiques concernant le problème signalé, nous indiquerons votre nom en tant que découvreur du problème (à moins que vous ne souhaitiez qu'il en soit autrement) ; et

• Pour vous remercier de votre aide, nous vous offrirons une récompense pour chaque signalement d'une violation de la sécurité qui n'est pas déjà connue de nous. Nous déterminerons le montant de la récompense en fonction de la gravité de la fuite et de la qualité du rapport.

Nous nous efforçons de résoudre tous les problèmes le plus rapidement possible et nous aimerions jouer un rôle actif dans la publication finale du problème après sa résolution.