Responsible disclosure

1. Waarvoor deze policy geldt

Deze policy geldt voor alle systemen van Harmony die vanaf het publieke internet bereikbaar zijn, waaronder de website harmonygroup.eu.

Onderzoek buiten deze grenzen valt niet onder deze policy en kan strafbaar zijn.

Deze policy is ook geen uitnodiging om ons netwerk actief te scannen op zwakke plekken. Dat doen we zelf.

2. Een melding doen

Stuur je bevindingen zo snel mogelijk na je ontdekking naar security@harmonygroup.eu. Vermeld daarbij zo volledig mogelijk:

• om welk type kwetsbaarheid het gaat, en op welk systeem (URL of IP-adres);
• hoe je ze vond en hoe we ze kunnen nabootsen, met de tools die je gebruikte en het tijdstip van je onderzoek;
• bewijs, zoals screenshots, zonder vertrouwelijke gegevens;
• je contactgegevens (e-mailadres of telefoonnummer), zodat we je op de hoogte kunnen houden.

Onderzoek je een systeem in België, lees dan ook punt 6: om wettelijk beschermd te zijn, meld je de kwetsbaarheid daar in twee stappen aan ons én aan het CCB.

3. Wat wij met je melding doen

• Je krijgt binnen drie werkdagen een ontvangstbevestiging.
• Binnen vijf werkdagen na die bevestiging laten we je weten hoe we de melding beoordelen en wanneer we een oplossing verwachten. Ook daarna houden we je op de hoogte.
• We behandelen je melding vertrouwelijk en delen je gegevens niet met anderen zonder je toestemming, tenzij de wet of een rechter ons daartoe verplicht.
• Treft de kwetsbaarheid ook anderen, zoals een leverancier van de software, dan brengen we hen op de hoogte voor er iets over bekendgemaakt wordt.
• Hoor je niets van ons, dan kan je het CCB vragen om te bemiddelen (vulnerabilityreport@ccb.belgium.be).

4. Spelregels

We vragen je om verantwoordelijk te handelen:

• Doe niet meer dan nodig is om de kwetsbaarheid aan te tonen. Is ze op kleine schaal aangetoond, stop dan.
• Maak geen misbruik van de kwetsbaarheid: download niet meer gegevens dan nodig, en bekijk, wijzig of verwijder geen gegevens van anderen.
• Breng geen wijzigingen aan in onze systemen en installeer er geen malware of andere software op.
• Verstoor onze diensten niet: geen (D)DoS-aanvallen en geen bruteforce-technieken.
• Gebruik geen social engineering, phishing of spam om toegang te krijgen.
• Onderschep of bekijk geen communicatie die niet voor jou bedoeld is.
• Probeer niet vaker dan nodig toegang tot een systeem te krijgen.
• Kom je persoonsgegevens of andere vertrouwelijke gegevens tegen, kijk dan niet verder, bewaar ze niet. Mocht je ze toch bewaard hebben: wis ze meteen.
• Deel wat je vond met niemand anders, tot het probleem is opgelost en we samen over bekendmaking hebben beslist.
• Vraag geen geld of andere tegenprestatie voor je bevindingen.
• Maak je waar mogelijk kenbaar tijdens je onderzoek, bijvoorbeeld met een herkenbare header in je verzoeken.
• Beveilig je eigen systemen goed, zodat je bevindingen niet uitlekken.

5. Bekendmaking

We beslissen samen met jou of en hoe we over de kwetsbaarheid berichten, en pas nadat ze is opgelost.

Gaat het om een systeem in België, dan mag een kwetsbaarheid volgens de Belgische wet alleen openbaar worden met akkoord van het CCB.

6. Geen aangifte of schadeclaim

Onderzoek naar kwetsbaarheden kan handelingen inhouden die strafbaar zijn. Houd je je te goeder trouw aan deze policy, zonder kwade bedoelingen en zonder er voordeel uit te halen, dan doet Harmony geen aangifte en stelt ze geen schadeclaim in.

Harmony beslist daarbij niet in de plaats van het Openbaar Ministerie in Nederland of het parket in België, die zelf over vervolging oordelen.

In België beschermt de wet ethische hackers ook zelf (de NIS2-wet van 26 april 2024, artikels 22 en 23). Die bescherming geldt alleen als je je aan de voorwaarden van die wet houdt. Je meldt de kwetsbaarheid dan in twee stappen, zowel aan ons als aan het CCB (vulnerabilityreport@ccb.belgium.be): een beknopte melding binnen 24 uur na je ontdekking, en een volledige melding binnen 72 uur. Hoe dat gaat, lees je in de meldprocedure van het CCB (opent in een nieuw tabblad).

Die wettelijke bescherming geldt alleen in België. Ligt een systeem geheel of gedeeltelijk in een ander land, dan gelden daar de regels van dat land.

7. Beloning

Wil je dat, dan vermelden we je naam als ontdekker wanneer we over de kwetsbaarheid berichten. Bij een ernstige, nog onbekende kwetsbaarheid kunnen we je daarnaast een beloning geven; dat beslissen we per melding.

8. Je persoonsgegevens

Voor een melding deel je mogelijk persoonsgegevens met ons, zoals je naam en e-mailadres. We gebruiken ze alleen om je melding op te volgen, en verwijderen ze uiterlijk een maand nadat het probleem is opgelost. Meer lees je in onze privacyverklaring.

9. Wat je hier niet meldt

Het adres security@harmonygroup.eu is niet bedoeld voor:

• meldingen dat onze website of een van onze diensten niet beschikbaar is;
• klachten;
• valse e-mails (phishing);
• ontbrekende HTTP-beveiligingsheaders, tenzij dat aantoonbaar tot een beveiligingsprobleem leidt;
• technische informatie zoals versienummers of IP-adressen, tenzij die direct misbruikt kan worden;
• cross-site scripting op pagina's zonder gevoelige gegevens;
• beveiligingsproblemen zonder realistisch scenario om ze te misbruiken.

Medewerkers van Harmony en van verbonden ondernemingen volgen de interne procedure voor incidenten.

10. Waarop deze policy gebaseerd is

Op de Leidraad Coordinated Vulnerability Disclosure van het Nationaal Cyber Security Centrum (Ministerie van Justitie en Veiligheid, Nederland), en op de gids voor CVD-beleid (opent in een nieuw tabblad) van het Centrum voor Cybersecurity België en het wettelijk kader in de Belgische NIS2-wet.