Beleid voor gecoördineerde melding van kwetsbaarheden

De beveiliging van onze systemen en van de gegevens van onze klanten is een prioriteit. Denkt u een kwetsbaarheid te hebben ontdekt, dan willen we dat zo snel mogelijk weten om ze te verhelpen. Dit beleid legt de regels vast voor een gecoördineerde melding.

Toepassingsgebied

de websites zeborne.be en zeborne.com en hun subdomeinen, met inbegrip van het ZMS-portaal (portal.zeborne.com);
de app ZEborne Mobility Services;
de programmeerinterfaces (API) van ZMS.

Buiten het toepassingsgebied: diensten van derden die we gebruiken zonder ze te beheren (hosting, appwinkels, exploitanten van laadnetwerken), laadpalen bij onze klanten zonder hun voorafgaand schriftelijk akkoord, en ook denial-of-serviceaanvallen, social engineering, phishing en elke fysieke inbraak.

Hoe meldt u?

Schrijf naar security@zeborne.com met:

het betrokken systeem (adres, app, versie);
de beschrijving van de kwetsbaarheid en de mogelijke impact;
de stappen om ze te reproduceren;
uw contactgegevens, als u wilt dat we u contacteren.

Het bestand /.well-known/security.txt van deze website bevat dezelfde informatie.

Onze verbintenissen

uw melding bevestigen binnen 5 werkdagen;
u op de hoogte houden van de analyse en de oplossing;
bevestigde kwetsbaarheden zo snel mogelijk verhelpen, met een streefdoel van ten hoogste 90 dagen;
met u de datum van een eventuele publicatie afspreken;
u vermelden als u dat wenst, zodra de kwetsbaarheid is verholpen;
geen vervolging instellen tegen iemand die dit beleid te goeder trouw naleeft.

Regels

enkel toegang nemen tot de gegevens die strikt nodig zijn om de kwetsbaarheid aan te tonen, ze niet kopiëren, wijzigen of verwijderen, en ons elke toegang tot persoonsgegevens onmiddellijk melden;
onze diensten en die van onze klanten niet verstoren, en geen geautomatiseerde tools met hoog volume gebruiken;
geen achterdeur installeren en niet proberen toegang te behouden;
de kwetsbaarheid niet bekendmaken vóór de oplossing of zonder ons akkoord;
geen financiële tegenprestatie vragen: dit programma voorziet geen beloning.

Wettelijk kader in België

De wet van 26 april 2024 (de "NIS2-wet", artikelen 22 en 23) beschermt wie een kwetsbaarheid zoekt en meldt, onder bepaalde voorwaarden, onder meer:

handelen zonder bedrieglijk opzet of het oogmerk om te schaden;
binnen 24 uur na de ontdekking een vereenvoudigde melding sturen, en binnen 72 uur een volledige melding, aan de betrokken organisatie en aan het Centrum voor Cybersecurity België (CCB), op vulnerabilityreport@ccb.belgium.be;
zijn handelingen beperken tot wat strikt noodzakelijk en evenredig is;
niets publiek bekendmaken zonder het akkoord van het CCB.

De details van de procedure staan op de website van het CCB.