Kwetsbaarheid of datalek

HLTsamen vindt het belangrijk dat haar systemen goed zijn beveiligd. Ondanks alle voorzorgsmaatregelen blijft het mogelijk dat er een zwakke plek in de systemen te vinden is. Wanneer u een zwakke plek in één van onze systemen ontdekt, hoort HLTsamen dit graag van u, zodat er snel gepaste maatregelen kunnen worden genomen.

Door het maken van een melding verklaart u zich als melder akkoord met de afspraken hieronder over Coordinated Vulnerability Disclosure. Wij zullen uw melding volgens de afspraken hieronder afhandelen.

HLTsamen vraagt het volgende van u:

• meld de kwetsbaarheid alstublieft zo snel mogelijk na ontdekking;
• stuur een versleutelde e-mail naar HLTsamen. Dit kan op twee manieren:
  • u maakt een gratis account aan bij Zivver. Mail de informatie versleuteld naar security@hltsamen.nl.
  • mail naar security@hltsamen.nl. Vermeld dat u een zwakte in het systeem van HLTsamen heeft gevonden en vermeld uw mobiele telefoonnummer en e-mailadres. Let op! Omschrijf het probleem niet. U ontvangt een versleutelde Zivver e-mail van HLTsamen en een code op uw mobiele telefoon. Wanneer u op ‘beantwoorden’ klikt, kunt u vervolgens de zwakke plek en eventuele bijlagen versleuteld naar HLTsamen versturen.
• vertel wat u precies doet waardoor de fout naar voren komt, stap voor stap, zodat HLTsamen dit kan herhalen. Op deze manier kan HLTsamen het probleem zo snel mogelijk oplossen. Meestal is het internetadres of de URL van het systeem en een omschrijving van de kwetsbaarheid voldoende, maar bij ingewikkelde kwetsbaarheden kan meer aanvullende informatie nodig zijn;
• HLTsamen luistert graag naar tips die helpen om het probleem op te lossen. Houd het hierbij op algemene en bekende informatie over de kwetsbaarheid die u gevonden heeft, en voorkom daarbij dat u reclame maakt voor specifieke (beveiligings-)producten.

Wat u mag verwachten:

• HLTsamen kan u een beloning bieden als dank voor uw hulp. Afhankelijk van de ernst van het beveiligingsprobleem en de kwaliteit van de melding, kan de beloning verschillen. Het moet hierbij wel gaan om een nog onbekend en serieus beveiligingsprobleem;
• indien u volgens bovenstaande stappen te werk gaat, doet HLTsamen geen strafrechtelijke aangifte tegen u en spant HLTsamen geen civielrechtelijke zaak tegen u aan. Als blijkt dat u een bovenstaande voorwaarde heeft geschonden, kan HLTsamen alsnog besluiten om gerechtelijke stappen tegen u te ondernemen;
• HLTsamen behandelt een melding vertrouwelijk en deelt geen persoonsgegevens van een melder met derden zonder diens toestemming, tenzij HLTsamen daar volgens de wet of een rechterlijke uitspraak toe verplicht is.
• HLTsamen deelt de melding altijd met de Informatiebeveiligingsdienst voor gemeenten (IBD). Zo zorgt HLTsamen ervoor dat organisaties hun ervaringen op dit vlak met elkaar delen.
• in overleg kan HLTsamen, als u dit wenst, uw naam vermelden als de ontdekker van de kwetsbaarheid. In alle andere gevallen blijft u anoniem.
• HLTsamen stuurt u binnen twee werkdagen een ontvangstbevestiging.
• HLTsamen reageert binnen drie werkdagen op een melding met een eerste beoordeling van de melding en (als het mogelijk is) een verwachte datum voor een oplossing.
• HLTsamen lost het beveiligingsprobleem zo snel mogelijk op. Daarbij probeert HLTsamen om u op de hoogte te houden van hoe het gaat en probeert HLTsamen dit op te lossen binnen een periode van 90 dagen. Deze periode is afhankelijk van medewerking van andere partijen.
• in overleg kan worden bepaald of en op welke manier er over het probleem wordt gepubliceerd, nadat het is opgelost.

De volgende handelingen zijn niet toegestaan:

• het plaatsen van malware op de systemen van HLTsamen of op die van anderen.
• het zogeheten bruteforcen van toegang tot systemen, behalve wanneer dat noodzakelijk is om te laten zien dat de beveiliging op dit vlak ernstig tekort schiet.
• het gebruik maken van social engineering, behalve wanneer dit noodzakelijk is om te laten zien dat de beveiliging op dit vlak ernstig tekortschiet.
• het openbaar maken of aan derden doorgeven van informatie over het beveiligingsprobleem voordat het probleem is opgelost.
• het uitvoeren van meer stappen dan nodig om het beveiligingsprobleem aan te tonen en te melden. In het bijzonder waar het gaat om het verwerken (waaronder het inzien of kopiëren) van vertrouwelijke gegevens waar u door de kwetsbaarheid toegang toe heeft gehad. In plaats van een complete database te kopiëren, kunt u ook bijvoorbeeld alleen een directory listing noemen. Het veranderen of verwijderen van gegevens in het systeem is nooit toegestaan.
• het gebruik maken van technieken waarmee de bereikbaarheid en/of bruikbaarheid van het systeem of diensten worden verminderd (DoS-aanvallen).
• het op wat voor manier dan ook misbruik maken van de kwetsbaarheid.

HLTsamen gaat zorgvuldig om met uw persoonsgegevens. Toch kan het gebeuren dat er iets misgaat, bijvoorbeeld als persoonsgegevens per ongeluk zijn ingezien, gewijzigd, verloren of gedeeld met iemand die daar geen recht op heeft. Dit noemen we een datalek. Denkt u dat er bij HLTsamen iets is misgegaan met persoonsgegevens? Dan horen wij dat graag, zodat wij het snel kunnen onderzoeken en oplossen.

Er is bijvoorbeeld sprake van een datalek als:

• u een brief van HLTsamen heeft ontvangen die niet voor u bedoeld is, maar waarin gegevens over een andere persoon staan (zoals medische gegevens, een BSN of informatie over schulden).
• uw gegevens per ongeluk openbaar zijn gemaakt.
• u een e-mail ontvangt van HLTsamen met informatie die niet voor u bestemd is.

Hoe kunt u een datalek melden?

U kunt een datalek eenvoudig melden door een e-mail te sturen naar datalekmelden@hltsamen.nl. Vermeld in uw e-mail alleen de minimale informatie die nodig is:

• wat er precies is gebeurd;
• wanneer het is gebeurd (of ongeveer wanneer);
• om welke gegevens het gaat (bijvoorbeeld uw naam, adres, BSN, e-mailadres, enz.);
• uw naam en contactgegevens, zodat wij u kunnen bereiken als wij meer informatie nodig hebben.

Wij nemen contact met u op om, als dat nodig is, meer informatie te vragen en samen te bekijken wat er aan de hand is.

Wat gebeurt er na uw melding?

Uw melding komt direct bij het team Privacy en Informatieveiligheid terecht. Ons team:

• bekijkt wat er precies is gebeurd;
• onderzoekt of er inderdaad sprake is van een datalek;
• bepaalt welke stappen nodig zijn om het probleem op te lossen;
• houdt u op de hoogte van de uitkomst.

Uw melding wordt vertrouwelijk behandeld. Wij gebruiken uw gegevens alleen om uw melding te onderzoeken. Bij HLTsamen vinden wij privacy belangrijk. Door een mogelijk datalek te melden, helpt u ons om persoonsgegevens goed te beschermen. Samen zorgen wij ervoor dat uw gegevens veilig blijven.