Koordinierte Offenlegung von Sicherheitslücken (CVD)

Bei einer CVD-Meldung bitten wir Sie um Folgendes

• Bericht erstellen
  Bitte melden Sie uns die Schwachstelle so schnell wie möglich nach ihrer Entdeckung. Das Verfahren zur Meldung ist unten beschrieben. Befunde können der Organisation ausschließlich auf diese Weise mitgeteilt werden.

  Bitte senden Sie Ihre Ergebnisse per E-Mail an cvd@apeldoorn.nl (nur für CVD-Meldungen zu verwenden). Sie können den Befund auch auf sichere und verschlüsselte Weise über die Website übermitteln https://crypt.apeldoorn.nl/.
  

• Informationen
  Darüber hinaus bitten wir Sie, uns ausreichende Informationen zur Verfügung zu stellen, damit wir das Problem nachstellen und somit schnell beheben können. Die IP-Adresse oder die URL des betreffenden Systems sowie eine Beschreibung des Sicherheitsproblems reichen aus. Zusätzliche relevante Informationen und Hinweise sind jederzeit willkommen, um das Problem möglicherweise schneller beheben zu können. Bitte vermeiden Sie dabei jedoch die Werbung für bestimmte (Sicherheits-)Tools.

  Die Informationen zu dem Sicherheitsproblem dürfen nicht an Dritte weitergegeben werden, bis das Problem behoben ist. Nach der Behebung ist es möglich, die Sicherheitslücke nach Absprache zu veröffentlichen.

• Kontakt
  Wir bitten Sie, Ihre Kontaktdaten anzugeben, damit wir gemeinsam an einer Lösung für den festgestellten Sachverhalt arbeiten können. Geben Sie bitte mindestens eine E-Mail-Adresse oder Telefonnummer an. Auf diese Weise kann unser Security Operations Center Kontakt mit Ihnen aufnehmen.

Die folgenden Handlungen sind nicht gestattet

• Das Anbringen von Malware.
• Das Brute-Force-Angriffe des Zugriffs auf Systeme.
• Die Nutzung von Social Engineering, es sei denn, dies erweist sich als unbedingt notwendig, um nachzuweisen, dass ein Mitarbeiter seiner Pflicht zum sorgfältigen Umgang mit sensiblen Informationen nicht nachkommt.

Dies darf nur auf völlig legale Weise geschehen, also nicht durch Erpressung oder andere unlautere Handlungen. Erkenntnisse, die durch Social Engineering gewonnen werden, müssen darauf abzielen, ein Sicherheitsproblem in den Abläufen und Arbeitsweisen der Gemeinde aufzudecken, und dürfen nicht dazu dienen, einem Mitarbeiter der Gemeinde zu schaden.

• Die Veröffentlichung/Offenlegung des Sicherheitsproblems, bevor dieses behoben wurde.
• Das Ausführen unnötiger Handlungen, die über das hinausgehen, was zur Feststellung und Meldung des Sicherheitsproblems unbedingt erforderlich ist. Das Herunterladen, Ändern und Löschen von Daten oder Konfigurationen eines Systems ist niemals zulässig.

Eine Alternative dazu ist die Erstellung einer Verzeichnisauflistung oder eines Screenshots.

• Der Einsatz von Techniken wie beispielsweise eines DoS-Angriffs, durch die die Verfügbarkeit und/oder Nutzbarkeit unserer Systeme oder Dienste eingeschränkt wird.

Was Sie außerdem erwarten können

Rechtlicher Aspekt

• Sofern Sie alle oben genannten Bedingungen erfüllen, werden wir dieser Meldung keine rechtlichen Konsequenzen folgen lassen. Sollte sich herausstellen, dass Sie die oben genannten Bedingungen dennoch verletzt haben, können wir dennoch beschließen, rechtliche Schritte gegen Sie einzuleiten.

Kontakt bezüglich der Meldung

• Wir senden Ihnen innerhalb eines Werktags eine (automatische) Empfangsbestätigung.
• Wir reagieren innerhalb von drei Werktagen auf Ihre Meldung mit einer (ersten) Einschätzung und geben dabei einen voraussichtlichen Termin für die Lösung an.
• Wir halten Sie über den Fortschritt bezüglich der Meldung auf dem Laufenden. Wir beheben das von Ihnen festgestellte Sicherheitsproblem so schnell wie möglich und bemühen uns, die Behebung des Problems innerhalb von 30 Tagen abzuschließen. Dabei sind wir häufig auch von Zulieferern abhängig.

Bearbeitung Ihres Antrags und der Meldung

• Wir behandeln Ihre Meldung vertraulich und geben Ihre personenbezogenen Daten nicht ohne Ihre Zustimmung weiter, es sei denn, wir sind gesetzlich oder aufgrund eines Gerichtsurteils dazu verpflichtet.
• Wir leiten die eingegangenen Meldungen stets an den Informationssicherheitsdienst für Kommunen (IBD) weiter. Auf diese Weise stellen wir sicher, dass die Kommunen ihre Erfahrungen in diesem Bereich untereinander austauschen können.
• In Absprache kann festgelegt werden, in welcher Form die Sicherheitslücke veröffentlicht werden kann. Dies geschieht erst, sobald das Problem behoben ist.

Vergütung

• Wir können Ihnen als Dank für Ihre Hilfe eine Belohnung anbieten. Je nach Schweregrad des Sicherheitsproblems und der Qualität der Meldung kann diese Belohnung von einem einfachen ‘Danke’ bis zu einem Betrag von maximal 300 € reichen. Dabei muss es sich jedoch um ein bisher unbekanntes und schwerwiegendes Sicherheitsproblem handeln.