BIT publiceert Responsible Disclosure beleid

BIT publiceert Responsible Disclosure beleid

23-07-2014 15:34:47
BIT neemt de beveiliging van zijn systemen serieus. Dat betekent ook dat BIT openstaat voor meldingen van beveiligingsproblemen op zijn systemen. Tot nu was het voor melders van beveiligingsproblemen niet vooraf duidelijk dat er iets met hun melding gebeurt en wat er met hun melding gebeurt. Met de publicatie van een Responsible Disclosure beleid (RD-beleid) wordt die duidelijkheid wel gegeven.

In het RD-beleid worden melders van lekken niet alleen beschermd tegen rechtsvervolging, maar worden ze ook bedankt en beloond voor hun inzet om de systemen van BIT nog veiliger te maken. De melder wordt gevraagd af te zien van misbruik van het lek en van publicatie totdat het lek gedicht is.

De Dutch Hosting Provider Association (DHPA), waar BIT deelnemer van is, heeft eerder dit jaar haar deelnemers opgeroepen een RD-beleid te publiceren. BIT geeft nu invulling aan deze oproep. BIT heeft ervoor gekozen om het door Floor Terra op www.responsibledisclosure.nl gepubliceerde beleid in licht aangepaste vorm te gebruiken. De belangrijkste wijzigingen zijn:

  • De melder wordt verzocht data te verwijderen direct na melding en niet pas na het dichten van het lek.
  • Niet alle applicaties van derden worden uitgesloten omdat daarmee ook bijvoorbeeld ssh clients worden uitgesloten. Meer specifiek worden in het RD-beleid vulnerability scanners uitgesloten.
BIT publiceert dit Responsible Disclosure beleid zowel in het Nederlands als in het Engels. Dit beleid wordt voor hergebruik beschikbaar gesteld onder een Creative Commons Naamsvermelding licentie.