Beleid voor het melden van kwetsbaarheden

SAM verwelkomt meldingen van kwetsbaarheden in zijn producten. Deze pagina beschrijft hoe u ons bereikt, wat wij toezeggen en wat wij in ruil verwachten.

Reikwijdte

Dit beleid geldt voor SAM TOOL MANAGER, de software op de SAM'URAI-uitgifte-eenheden, en voor SAM TOOL SUPERVISOR, het platform waarvan verschillende functies van de eenheid afhankelijk zijn. Samen vormen zij één product en vallen zij onder één beleid.

De bedrijfswebsite, de e-mail en de interne informatiesystemen van SAM vallen buiten dit beleid. Een melding daarover blijft welkom op hetzelfde adres en wordt doorgestuurd naar het bevoegde team.

Een kwetsbaarheid melden

Contactadres : rssi@sam.eu

Zodat wij snel kunnen beoordelen, vermeld indien mogelijk:

• het betrokken onderdeel en de waargenomen versie;
• de stappen om het probleem te reproduceren, zo nauwkeurig mogelijk;
• de impact die u inschat en wat een aanvaller zou verkrijgen;
• de voorwaarden, in het bijzonder of fysieke toegang tot de eenheid of een geldig account nodig is.

Stuur geen persoonsgegevens of klantgegevens mee met uw melding. Als uw demonstratie die heeft opgeleverd, meld dat dan in plaats van ze bij te voegen.

Onze toezeggingen

• Ontvangstbevestiging binnen 5 werkdagen. Hoort u daarna niets, stuur dan een herinnering: ga ervan uit dat het bericht verloren is gegaan.
• Beoordeling en onderbouwd antwoord: wij laten weten of wij de melding aannemen en zo niet, waarom.
• Informatie over de voortgang tot het herstel of de afsluiting. Wij noemen vooraf geen vaste hersteltermijn, maar wij geven aan welke koers wij kiezen en laten het weten als die verandert.
• Vermelding bij publicatie als u dat wenst, onder de naam of het pseudoniem van uw keuze.

Wat wij van u vragen

• Blijf binnen onderzoek te goeder trouw: toon de kwetsbaarheid aan, buit haar niet uit.
• Verkrijg, kopieer, wijzig of vernietig geen gegevens die niet van u zijn. Krijgt u er per ongeluk toegang toe, stop dan en meld het.
• Tast de beschikbaarheid van de dienst of van een eenheid in bedrijf niet aan.
• Gebruik geen social engineering tegen medewerkers, klanten of dienstverleners van SAM.
• Voer geen fysieke aanval uit op een bij een klant geïnstalleerde eenheid.
• Gun ons een redelijke termijn vóór publicatie. Onze richtlijn is 90 dagen vanaf de ontvangstbevestiging, in onderling overleg aan te passen naargelang de ernst en de moeilijkheid van het herstel.

Onderzoek te goeder trouw

Onderzoek dat binnen bovenstaande regels wordt uitgevoerd, beschouwen wij als toegestaan en wij zullen daartegen geen stappen ondernemen. Handelt een derde naar aanleiding van een melding die aan dit beleid voldoet, dan zullen wij kenbaar maken dat het onderzoek was toegestaan. Deze toezegging geldt niet voor handelingen buiten dat kader, noch voor wat de wet aan de beschikking van partijen onttrekt.

Publicatie van herstelmaatregelen

Herstelde kwetsbaarheden worden beschreven in de release-opmerkingen van de update die ze verhelpt, met het betrokken onderdeel en de aard van het probleem. Wij stellen publicatie uit wanneer die nog niet bijgewerkte eenheden meer risico zou opleveren dan stilzwijgen.