Responsible Disclosure

Scope

Dit beleid is van toepassing op beveiligingskwetsbaarheden die https://www.fni-solutions.be en bijbehorende door FNI SRL beheerde diensten beïnvloeden, tenzij een specifiek dienstbeleid anders bepaalt.

Hoe melden

Stuur meldingen naar security@fni-solutions.be. Indien niet beschikbaar, gebruik contact@fni-solutions.be met onderwerp "Security disclosure".

Gelieve voldoende detail te verstrekken zodat wij het probleem kunnen reproduceren en beoordelen.

• Betrokken URL, systeem of component
• Stappen om te reproduceren
• Impactbeoordeling
• Proof-of-concept indien beschikbaar (niet-destructief)
• Uw contactgegevens voor opvolging

Wat wij van onderzoekers vragen

Handel te goeder trouw, vermijd schendingen van privacy en geef ons redelijke tijd om te onderzoeken en te verhelpen vóór openbare bekendmaking.

• Geen toegang tot, wijziging, verwijdering of exfiltratie van gegevens
• Geen denial-of-service-aanvallen
• Geen spam of social engineering
• Geen fysieke aanvallen
• Geen persistentie op systemen
• Geen openbare bekendmaking vóór coördinatie

Wat wij toezeggen

Wij bevestigen meldingen binnen een redelijke termijn, onderzoeken te goeder trouw en streven ernaar geen juridische stappen te ondernemen tegen te goeder trouw gemelde meldingen die dit beleid respecteren.

Buiten scope

Het volgende valt doorgaans buiten scope, tenzij het een duidelijke, exploiteerbare beveiligingsimpact op FNI SRL-systemen aantoont:

• Ontbrekende beveiligingsheaders zonder aangetoonde exploit
• Rate limiting op niet-gevoelige endpoints
• Social engineering van personeel of klanten
• Fysieke beveiligingsproblemen zonder verband met onze digitale diensten
• Problemen in diensten van derden buiten de controle van FNI SRL

Veilig testen

Gebruik uitsluitend niet-destructief testen. Degradeer de beschikbaarheid van diensten niet en compromitteer geen gebruikersgegevens.