Security Policy

Security Policy DUIDIT en Responsible Disclosure

Bij DUIDIT nemen wij de beveiliging van onze website, systemen, digitale dienstverlening en persoonsgegevens serieus. Ondanks zorgvuldige maatregelen kan nooit volledig worden uitgesloten dat een kwetsbaarheid aanwezig is.

Ontdekt u een mogelijk beveiligingsprobleem in een systeem dat aantoonbaar door DUIDIT wordt beheerd? Meld dit dan verantwoord en vertrouwelijk. Zo krijgen wij de gelegenheid de melding te onderzoeken en waar nodig passende maatregelen te nemen.

Een kwetsbaarheid melden

Stuur een beveiligingsmelding naar info@duidit.nl en vermeld in het onderwerp duidelijk Securitymelding. Gebruik dit adres uitsluitend voor meldingen die betrekking hebben op de beveiliging van DUIDIT.

Vermeld waar mogelijk:

een duidelijke beschrijving van de mogelijke kwetsbaarheid;
de URL, het systeem of onderdeel waarop de melding betrekking heeft;
de minimaal noodzakelijke stappen waarmee het probleem kan worden gereproduceerd;
screenshots, loggegevens of andere relevante informatie, zonder onnodige persoonsgegevens of vertrouwelijke gegevens mee te sturen;
de mogelijke beveiligingsimpact;
uw contactgegevens wanneer u op de hoogte wilt blijven.

Voorwaarden voor verantwoord onderzoek

Onderzoek uitsluitend systemen die expliciet binnen de hieronder beschreven scope vallen en beperk iedere test tot wat redelijkerwijs noodzakelijk is om de mogelijke kwetsbaarheid aan te tonen.

Wij vragen u om:

geen misbruik te maken van een kwetsbaarheid;
niet verder te gaan dan noodzakelijk om het probleem aan te tonen;
geen gegevens van derden in te zien, te kopiëren, te wijzigen, te verwijderen, te downloaden, te bewaren of openbaar te maken;
geen wachtwoorden, persoonsgegevens, tokens, sleutels of andere vertrouwelijke informatie te verzamelen of bewaren;
geen malware, achterdeuren, persistente toegang of andere schadelijke code te plaatsen;
geen beveiligingsmaatregelen te omzeilen wanneer dit niet strikt noodzakelijk is voor de melding;
geen systemen, accounts, websites of infrastructuur van klanten, leveranciers of andere derden te testen;
de beschikbaarheid, prestaties of normale werking van systemen niet te verstoren;
geen social engineering, phishing, fysieke aanvallen, brute-force- of denial-of-serviceaanvallen uit te voeren;
de kwetsbaarheid vertrouwelijk te houden totdat DUIDIT voldoende gelegenheid heeft gehad voor onderzoek en eventuele maatregelen.

Wanneer tijdens onderzoek onverwacht persoonsgegevens, vertrouwelijke gegevens of toegang tot gegevens van derden zichtbaar worden, stop dan met verder onderzoek, leg alleen vast wat noodzakelijk is voor de melding en meld dit direct aan DUIDIT.

Wat u van DUIDIT mag verwachten

Wij streven ernaar de ontvangst van een melding binnen vijf werkdagen te bevestigen.
Wij behandelen de melding zorgvuldig en delen informatie uitsluitend wanneer dit voor onderzoek, herstel, juridische verplichtingen of beveiliging redelijkerwijs noodzakelijk is.
Wij beoordelen de aard, reproduceerbaarheid en mogelijke impact van de melding.
Wanneer gewenst en redelijkerwijs mogelijk houden wij de melder op de hoogte van relevante voortgang.
Bij een bevestigde kwetsbaarheid bepalen wij op basis van risico, impact en beschikbare maatregelen welke vervolgstappen passend zijn.

De genoemde termijnen zijn streeftermijnen en vormen geen garantie, SLA of toezegging dat een kwetsbaarheid binnen een bepaalde termijn wordt onderzocht of opgelost.

Juridische positie bij verantwoord melden

Wanneer u te goeder trouw handelt, uitsluitend binnen de expliciete scope van dit beleid blijft en alle voorwaarden voor verantwoord onderzoek naleeft, zal DUIDIT in beginsel niet zelf juridische stappen tegen u initiëren uitsluitend vanwege dat onderzoek.

Deze verklaring is geen algemene toestemming, vrijwaring of garantie. Zij bindt geen derden, opsporingsinstanties, toezichthouders, klanten, leveranciers of andere rechthebbenden. Handelingen buiten de scope of in strijd met dit beleid vallen niet onder deze verklaring.

Scope

Dit beleid geldt uitsluitend voor publiek toegankelijke digitale onderdelen waarvan DUIDIT zelf eigenaar is of waarvoor DUIDIT aantoonbaar het technische beheer en de bevoegdheid heeft om beveiligingsonderzoek toe te staan, waaronder:

de publiek toegankelijke website en subdomeinen van DUIDIT die door DUIDIT zelf worden beheerd;
openbare contactformulieren en webfunctionaliteit op deze systemen;
andere systemen die DUIDIT vooraf en uitdrukkelijk schriftelijk als binnen de scope bevestigt.

Twijfelt u of een systeem binnen de scope valt? Voer dan geen test uit en neem eerst contact op met DUIDIT.

Buiten de scope

Onder andere de volgende systemen, activiteiten en situaties vallen buiten dit beleid:

systemen, websites, accounts, cloudomgevingen, hostingomgevingen of gegevens van klanten;
systemen, software, infrastructuur en diensten van hostingproviders, SaaS-leveranciers, pluginleveranciers, registrars en andere externe partijen;
brute-force-, denial-of-service- en distributed-denial-of-serviceaanvallen;
spam, phishing, social engineering en fysieke aanvallen;
automatische of agressieve scans die grote hoeveelheden verkeer, verzoeken of meldingen veroorzaken;
testen waarbij persoonsgegevens of gegevens van derden worden benaderd wanneer dat niet strikt noodzakelijk is;
kwetsbaarheden zonder aantoonbare beveiligingsimpact;
meldingen die uitsluitend betrekking hebben op ontbrekende beveiligingsheaders zonder concrete impact;
clickjacking op pagina's zonder gevoelige handelingen;
self-XSS of situaties waarvoor reeds toegang tot het apparaat of account van het slachtoffer vereist is;
problemen die uitsluitend voortvloeien uit verouderde browsers, apparaten of software van de gebruiker.

Systemen van klanten en leveranciers

Een kwetsbaarheid in een systeem, website, account of omgeving van een klant of externe leverancier valt niet automatisch onder dit beleid, ook niet wanneer DUIDIT werkzaamheden voor die organisatie heeft uitgevoerd.

Test dergelijke systemen niet op basis van deze Security Policy. Meld een mogelijke kwetsbaarheid bij de betreffende eigenaar of verantwoordelijke partij. Alleen wanneer DUIDIT vooraf uitdrukkelijk schriftelijk bevestigt dat een specifiek systeem binnen de scope van dit beleid valt, mag het overeenkomstig die bevestiging worden onderzocht.

Geen beveiligingsgarantie of SLA

Deze Security Policy beschrijft hoe DUIDIT met verantwoorde beveiligingsmeldingen omgaat. Het beleid vormt geen garantie dat websites, systemen of dienstverlening volledig veilig, foutloos of vrij van kwetsbaarheden zijn.

Dit beleid creëert geen SLA, resultaatsverplichting, garantie, aanvullende zorgplicht of andere contractuele toezegging tegenover klanten, onderzoekers of derden. Contractuele dienstverlening aan klanten wordt uitsluitend beheerst door de betreffende overeenkomst en de daarop toepasselijke algemene voorwaarden.

Privacy bij beveiligingsmeldingen

DUIDIT verwerkt persoonsgegevens uit een beveiligingsmelding voor het ontvangen, onderzoeken, afhandelen, beveiligen en documenteren van de melding en, waar nodig, voor het vaststellen, uitoefenen of verdedigen van rechten. Meer informatie vindt u in ons privacybeleid.

Verstrek niet meer persoonsgegevens dan noodzakelijk. Gegevens worden niet langer bewaard dan redelijkerwijs nodig is voor deze doeleinden of zolang een wettelijke verplichting, beveiligingsbelang, geschil of mogelijke aanspraak dit noodzakelijk maakt.

Geen bug bounty of vergoeding

DUIDIT voert geen structureel bug-bounty- of beloningsprogramma. Een melding, onderzoek of gemaakte kosten geven geen recht op een financiële vergoeding, vergoeding van uren of kosten, cadeau of andere beloning, tenzij DUIDIT dit vooraf uitdrukkelijk schriftelijk heeft toegezegd.

Publicatie en erkenning

Maak informatie over een mogelijke of bevestigde kwetsbaarheid niet openbaar zonder voorafgaand overleg met DUIDIT. Eventuele publicatie, timing en inhoud worden waar mogelijk gezamenlijk afgestemd nadat voldoende gelegenheid voor onderzoek en passende maatregelen is geboden.

Wanneer een melding geldig en zorgvuldig is gedaan, kan DUIDIT op verzoek bespreken of en op welke wijze de bijdrage van de melder wordt erkend. Hieraan kan geen recht op erkenning of vergoeding worden ontleend.

Wijzigingen van dit beleid

DUIDIT kan deze Security Policy aanpassen wanneer de dienstverlening, risico's, techniek of wet- en regelgeving daartoe aanleiding geeft. Voor beveiligingsonderzoek geldt de versie die op het moment van het onderzoek op de website is gepubliceerd.

Dank voor uw hulp

Wij waarderen verantwoorde meldingen die bijdragen aan de beveiliging van onze eigen digitale omgeving. Door zorgvuldig binnen de scope van dit beleid te handelen, helpt u risico's te beperken zonder klanten, gebruikers of derden onnodig bloot te stellen.

Laatst bijgewerkt: 8 augustus 2026