Cookiemelding

Welkom bij Voogd & Voogd. Op deze website maken wij gebruik van cookies. Een cookie is een klein tekstbestand dat bij het eerste bezoek aan onze website wordt opgeslagen op uw computer, tablet of smartphone. De cookies zijn noodzakelijk voor de technische werking van de website en voor uw gebruiksgemak. Ze zorgen ervoor dat de website goed functioneert en ze onthouden bijvoorbeeld uw voorkeursinstellingen.

Cookies kunnen worden verdeeld in een drietal categorieën: Functionele Cookies, Analytische Cookies en Tracking Cookies. Voogd & Voogd maakt op deze website uitsluitend gebruik van Functionele en Analytische Cookies. In ons Cookiestatement kunt u meer over de werking van deze cookies lezen.

Akkoord
Niet akkoord

Responsible Disclosure

We vinden het belangrijk dat onze klanten veilig gebruik kunnen maken van onze dienstverlening.

Ontdekt u een kwetsbaarheid in een van onze systemen? Dan werken we graag samen met u aan een oplossing. Een mogelijke zwakke plek kunt u aan ons melden via security@voogd.com.

Wij stellen het zeer op prijs als u een zwakke plek eerst aan ons meldt, voordat u dit aan de
buitenwereld verspreidt. Zo hebben wij de kans om op tijd maatregelen te nemen en een oplossing te zoeken, voordat eventuele kwaadwillenden er misbruik van kunnen maken. Wij noemen dit Responsible Disclosure.

Goede beveiliging heeft prioriteit
De veiligheid en betrouwbaarheid van onze systemen vinden we heel belangrijk. Daarom nemen wij uw melding uiterst serieus. De digitale wereld verandert in een hoog tempo en we realiseren ons als geen ander dat we waakzaam moeten zijn voor kwetsbaarheden. Ondanks onze inspanningen kunnen er toch nog situaties ontstaan waarin sprake is van een zwakke plek in onze beveiliging.

Wat kunt u melden?
Heeft u een veiligheidsprobleem of zwakke plek ontdekt? Meld dit dan zo snel mogelijk, zodat wij snel actie kunnen ondernemen. Voorbeelden van kwetsbaarheden die u kunt melden:

  • Cross-Site Scripting (XSS) kwetsbaarheden
  • Large scale Users’ Sensitive Information Leakage
  • Remote Code Execution (RCE)
  • XML External Entity Attacks (XXE)
  • Access Control Issues
  • Server-Side Request Forgery (SSRF)
  • Cross-site Scripting (XSS)
  • Cross-site Request Forgery (CSRF)
  • SQL injection

Kwetsbaarheden out of scope:

  • Self-XSS that cannot be used to exploit other users
  • Vulnerabilities affecting users of outdated browsers or platforms
  • Verbose messages/files/directory listings without disclosing any sensitive information
  • CORS misconfiguration on non-sensitive endpoints
  • Missing cookie flags
  • Missing security headers
  • Cross-site Request Forgery with no or low impact
  • Presence of autocomplete attribute on web forms
  • Reverse tabnabbing
  • Bypassing rate-limits or the non-existence of rate-limits.
  • Best practices violations (password complexity, expiration, re-use, etc.)
  • Clickjacking on pages with no sensitive actions
  • CSV Injection
  • Host Header Injection
  • Sessions not being invalidated (logout, enabling 2FA, ..)
  • Hyperlink injection/takeovers
  • Mixed content type issues
  • Cross-domain referer leakage
  • Anything related to email spoofing, SPF, DMARC or DKIM
  • Content injection
  • Username / email enumeration
  • E-mail bombing
  • HTTP Request smuggling without any proven impact
  • Homograph attacks
  • XMLRPC enabled
  • Banner grabbing / Version disclosure
  • Open ports without an accompanying proof-of-concept demonstrating vulnerability
  • Weak SSL configurations and SSL/TLS scan reports
  • Not stripping metadata of images
  • Disclosing credentials without proven impact
  • Disclosing API keys without proven impact
  • Same-site scripting
  • Subdomain takeover without taken over the subdomain
  • Arbitrary file upload without proof of the existence of the uploaded file
  • Physical or social engineering attacks
  • Attacks requiring MITM or physical access to a user's device 

Hoe moet ik een melding doen?
Stuur een e-mail naar security@voogd.com. Beschrijf hierin zo concreet mogelijk de ontdekte
kwetsbaarheid. Uw melding wordt door specialisten wordt; een korte specifieke beschrijving of bewijs is daarom vaak voldoende. Stuur ook uw contactgegevens (zoals een telefoonnummer waarop u bereikbaar bent) mee, zodat wij eventueel contact kunnen opnemen voor aanvullende informatie.

Privacy
Wij geven uw identiteit niet door aan derden en gebruiken uw gegevens niet voor andere doeleinden dan om u te laten weten wat we doen met uw melding. Als de bevoegde autoriteiten uw gegevens opvragen, zijn wij echter verplicht deze verstrekken, zonder voorafgaande toestemming.
Wat doen wij met uw melding?

Een team van beveiligingsexperts onderzoekt uw melding. Binnen 1 werkdag ontvangt u van ons een ontvangstbevestiging. Binnen 5 werkdagen geven we een reactie op de inhoud van uw melding.

Wat verwachten wij van u?
Maak het probleem niet openbaar, het risico is dat kwaadwillenden dit dan kunnen uitbuiten. Praat met onze experts en geef hen de tijd het probleem op te lossen. Wij laten u zo snel mogelijk weten wat we met uw melding hebben gedaan en - indien nodig - welke maatregelen we nemen. Spelregels

Als u ons wilt helpen zwakke plekken te vinden, moet u mogelijk handelingen verrichten die strafbaar zijn. Voogd & Voogd doet geen aangifte bij de politie, zolang u te goeder trouw, zorgvuldig en volgens de hieronder aangegeven spelregels handelt:
1. Plaats geen backdoor in een informatiesysteem om vervolgens daarmee de kwetsbaarheid aan te tonen, aangezien daarmee aanvullende schade kan worden aangericht en onnodige veiligheidsrisico’s worden gelopen
2. Maak geen gebruik van social engineering om toegang te krijgen tot een systeem
3. Maak zo minimaal mogelijk gebruik van een kwetsbaarheid, doe alleen datgene wat noodzakelijk is om de kwetsbaarheid vast te stellen
4. Kopieer, wijzig of verwijder geen gegevens van het systeem. Maak eventueel een directory listing of screenshot
5. Breng geen wijzigingen aan in onze systemen;
6. Probeer niet herhaaldelijk toegang tot het systeem te verkrijgen en deel de verkregen toegang niet met anderen;
7. Gebruik geen ‘bruteforce’ om toegang te krijgen tot systemen, dan is immers geen sprake van een kwetsbaarheid, maar van het herhaaldelijk proberen van wachtwoorden
8. Maak geen gebruik van geautomatiseerde tooling om kwetsbaarheden te ontdekken.

Nationaal Cyber Security Centrum
Deze responsible disclosure regeling is gebaseerd op de Leidraad Responsible Disclosure van het NCSC. Zie ook de website van het NCSC: www.ncsc.nl.