Beveiliging en privacy bij PrivaSee

Versleuteling en communicatie

Communicatie met PrivaSee vindt plaats via beveiligde verbindingen. Waar passend wordt informatie tijdens transport en opslag versleuteld.

Toegang en autorisatie

Toegang tot PrivaSee is gebaseerd op authenticatie en autorisatie. Gebruikers krijgen alleen toegang tot functionaliteit en informatie waarvoor zij geautoriseerd zijn. PrivaSee maakt gebruik van rolgebaseerde toegangsbeveiliging (RBAC) en scheiding tussen organisaties en gebruikersomgevingen.

Logging en monitoring

Beveiligingsrelevante gebeurtenissen worden gelogd en gemonitord. Logging wordt gebruikt voor beveiligingsmonitoring, onderzoek naar incidenten en het detecteren van afwijkend of ongewenst gedrag.

Bescherming van de infrastructuur

De infrastructuur waarop PrivaSee draait, wordt beveiligd door middel van technische maatregelen zoals netwerkbeveiliging, segmentatie, hardening, beveiligde configuraties en maatregelen tegen ongewenst of geautomatiseerd gebruik.

Back-ups en beschikbaarheid

PrivaSee maakt gebruik van back-ups en herstelvoorzieningen om de beschikbaarheid en herstelbaarheid van de dienstverlening te ondersteunen.

Contact

Meld beveiligingskwetsbaarheden via security@privasee.nl. Vermeld bij voorkeur:

• een duidelijke omschrijving van de kwetsbaarheid;
• het betreffende onderdeel, systeem of URL;
• de stappen waarmee de kwetsbaarheid kan worden gereproduceerd;
• de mogelijke beveiligingsimpact;
• eventuele technische informatie of een beperkte proof-of-concept die nodig is om de kwetsbaarheid te reproduceren.

Stuur geen persoonsgegevens, authenticatiegegevens of andere vertrouwelijke informatie mee, tenzij dit strikt noodzakelijk is om de kwetsbaarheid aan te tonen.

Scope

Dit CVD-beleid is van toepassing op publiek toegankelijke systemen, applicaties en diensten die door PrivaSee worden beheerd en waarvoor PrivaSee verantwoordelijk is. Systemen en diensten van derden vallen niet onder dit beleid, tenzij PrivaSee uitdrukkelijk heeft aangegeven dat deze onderdeel zijn van onze dienstverlening en binnen de scope van dit CVD-beleid vallen.

Twijfel je of een systeem binnen de scope valt? Neem dan eerst contact met ons op via security@privasee.nl.

Wat we van onderzoekers vragen

Bij beveiligingsonderzoek vragen we je om zorgvuldig en proportioneel te handelen. Doe alleen wat noodzakelijk is om een mogelijke kwetsbaarheid vast te stellen en aan te tonen. Maak geen gebruik van een kwetsbaarheid verder dan noodzakelijk voor het onderzoek, en:

• wijzig of verwijder geen gegevens;
• download of kopieer geen gegevens als dit niet noodzakelijk is;
• probeer geen toegang te krijgen tot accounts of gegevens van andere gebruikers;
• plaats geen malware of andere schadelijke software;
• voer geen Denial-of-Service- of Distributed-Denial-of-Service-aanvallen uit;
• maak geen gebruik van social engineering, phishing of fysieke aanvallen;
• verstoor de beschikbaarheid of werking van onze dienstverlening niet;
• voer geen geautomatiseerde scans uit die een onevenredige belasting van onze systemen veroorzaken;
• deel informatie over de kwetsbaarheid niet met derden voordat hierover met PrivaSee afspraken zijn gemaakt.

Persoonsgegevens en vertrouwelijke informatie

Kom je tijdens het onderzoek onbedoeld persoonsgegevens of andere vertrouwelijke informatie tegen, raadpleeg dan niet meer informatie dan strikt noodzakelijk om de kwetsbaarheid vast te stellen. Kopieer, download, wijzig, verwijder of verspreid deze informatie niet.

Stop het betreffende onderdeel van het onderzoek zodra voldoende duidelijk is dat ongeautoriseerde toegang mogelijk is, en meld de kwetsbaarheid zo snel mogelijk bij PrivaSee. Vermeld in je melding dat mogelijk toegang tot persoonsgegevens of vertrouwelijke informatie mogelijk was, maar stuur deze gegevens zelf niet mee tenzij dit noodzakelijk is voor het onderzoek en vooraf met ons is afgestemd.

Openbaarmaking

Maak informatie over een gemelde kwetsbaarheid niet openbaar voordat PrivaSee voldoende gelegenheid heeft gehad om de kwetsbaarheid te onderzoeken en passende maatregelen te treffen. Als openbaarmaking gewenst is, maken we hierover gezamenlijk afspraken. Ons uitgangspunt is dat openbaarmaking pas plaatsvindt nadat de kwetsbaarheid is opgelost of voldoende mitigerende maatregelen zijn getroffen.

Coördinatie

Wanneer een kwetsbaarheid ook producten, systemen of diensten van andere organisaties raakt, kunnen we in overleg met de melder samenwerken met de betreffende leverancier, organisatie of een bevoegde instantie om de kwetsbaarheid zorgvuldig te laten oplossen.