Kwetsbaarheid melden

Zo meldt u het

• Mail naar info@clinicbase.nl, met in het onderwerp "Kwetsbaarheid".
• Beschrijf wat u vond, waar (de pagina of het adres), en hoe we het kunnen nazien: de stappen, en zo mogelijk een schermafdruk. Een eenvoudige beschrijving is genoeg.
• Laat een e-mailadres of telefoonnummer achter, zodat we met u kunnen overleggen. Anoniem melden mag ook.

Wat we van u vragen

• Meld het zo snel mogelijk, en vertel het niemand anders tot het probleem is opgelost.
• Kijk niet verder dan nodig is om de kwetsbaarheid aan te tonen. Bekijk, kopieer, wijzig of verwijder geen gegevens van klinieken of hun cliënten. Komt u toch gegevens van anderen tegen, stop dan, bewaar ze niet en meld het ons.
• Gebruik een eigen testpraktijk: een account aanmaken is gratis. Log niet in op accounts van anderen.
• Geen aanvallen die de dienst verstoren of overbelasten (denial of service), geen spam, geen social engineering van ons of van klinieken, geen fysieke toegang en geen malware.
• Plaats niets in de dienst dat er blijft (een achterdeur, een gewijzigd bestand) en gebruik de kwetsbaarheid niet voor iets anders dan het aantonen ervan.

Wat wij doen

• We bevestigen uw melding binnen drie werkdagen en geven binnen tien werkdagen onze beoordeling en een verwachte datum voor de oplossing.
• We houden u op de hoogte en lossen een ernstig probleem zo snel mogelijk op, meestal binnen enkele dagen.
• Hebt u zich aan de regels hierboven gehouden, dan doen we geen aangifte en starten we geen juridische stappen tegen u.
• We behandelen uw melding vertrouwelijk en geven uw gegevens niet zonder uw toestemming aan anderen, tenzij de wet ons daartoe verplicht.
• Als u wilt, noemen we uw naam als ontdekker wanneer we over het probleem berichten. Een beloning is niet gegarandeerd; voor een melding die ons echt helpt bedanken we u graag.
• Raakte de kwetsbaarheid gegevens van cliënten, dan volgen we ook onze meldplicht: we informeren de betrokken klinieken, zoals de verwerkersovereenkomst beschrijft.

Niet nodig om te melden

Dingen zonder aantoonbaar risico, zoals ontbrekende headers zonder voorbeeld van misbruik, de openbare Firebase-configuratie in de broncode van de app (die is bedoeld om openbaar te zijn; de toegang regelen de regels op de server), of meldingen die alleen uit een automatische scan komen.

Deze regeling volgt de leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum. Ons contact staat ook in security.txt. Hoe we de gegevens beveiligen, leest u op Veiligheid.

In English

Found a security vulnerability in ClinicBase? Email info@clinicbase.nl with "Vulnerability" in the subject: what you found, where, and the steps to reproduce it. Please report it quickly and tell no one else until it is fixed; do not go further than needed to show the problem; do not view, copy, change or delete data of clinics or their clients (use your own free test practice); no denial of service, spam, social engineering or malware. We confirm your report within three working days, assess it within ten, keep you informed and fix serious issues as fast as we can. If you followed these rules, we will not take legal action against you. With your permission we credit you when we write about the issue.