Wij moedigen het verantwoord melden van beveiligingskwetsbaarheden aan, in lijn met de leidraad Coordinated Vulnerability Disclosure (CVD) van het Nationaal Cyber Security Centrum (NCSC). Ontdekt u een kwetsbaarheid in FirstRing? Meld deze dan direct bij ons en maak deze niet openbaar.

4.1 Hoe te melden

E-mail: security@firstring.io

Vermeld in uw melding zo mogelijk:

• Een beschrijving van de kwetsbaarheid
• De stappen om het probleem te reproduceren
• De betrokken componenten of endpoints
• De mogelijke impact (vertrouwelijkheid, integriteit, beschikbaarheid)
• Een proof of concept of schermafbeelding (indien van toepassing)
• Uw contactgegevens

4.2 Reactietermijnen

Wij streven ernaar om:

• De ontvangst van uw melding te bevestigen binnen 2 werkdagen
• Een eerste beoordeling te geven binnen 7 werkdagen
• Een oplossing te ontwikkelen en uit te rollen binnen 30 dagen, afhankelijk van de ernst
• Openbaarmaking met u af te stemmen nadat gebruikers zijn beschermd

4.3 Classificatie

Wij classificeren kwetsbaarheden op basis van de CVSS-norm:

• Kritiek (9.0–10.0): directe mitigatie en patching
• Hoog (7.0–8.9): patching binnen 7 dagen
• Gemiddeld (4.0–6.9): patching binnen 30 dagen
• Laag (0.1–3.9): meegenomen in reguliere releases

4.4 Wat u van ons mag verwachten

• Wij bevestigen uw melding en houden u op de hoogte van de voortgang
• Wij vermelden u desgewenst als melder zodra het probleem is opgelost
• Wij ondernemen geen juridische stappen tegen melders die zich aan de spelregels hieronder houden

4.5 Spelregels

• Maak de kwetsbaarheid niet openbaar voordat wij een oplossing hebben uitgebracht
• Ga niet verder in systemen of gegevens dan nodig is om de kwetsbaarheid aan te tonen
• Voer geen denial-of-service-aanvallen of destructieve tests uit
• Gebruik geen social engineering richting onze medewerkers of gebruikers
• Geef ons redelijke tijd om het probleem op te lossen