Responsible Disclosure-beleid

1. Ons engagement  

De veiligheid van ons platform en de data van onze klanten is een topprioriteit bij Ravical. We investeren in veilige softwareontwikkeling, geautomatiseerde scanning en een bedrijfscultuur waarin het team bezorgdheden vroegtijdig aankaart. We weten ook dat geen enkele organisatie elke kwetsbaarheid op eigen houtje vindt. Denk je een beveiligingsprobleem te hebben gevonden in een van onze systemen? Dan horen we dat graag.

Dit beleid beschrijft hoe je een kwetsbaarheid meldt aan Ravical, wat je van ons mag verwachten en aan welke regels we onderzoekers vragen zich te houden.

2. Scope 

Binnen scope

• ravical.com en de subdomeinen, waaronder app.ravical.com

• Het Ravical agent platform (de webapplicatie en API's die je bereikt als geauthenticeerde gebruiker van je eigen account)

• Mobiele of desktopapplicaties die we publiceren onder de naam Ravical

  
  

Buiten scope

• Diensten van derden die we gebruiken maar niet beheren (bijvoorbeeld onze hosting-, identiteits- of analytics-providers). Meld deze problemen rechtstreeks bij de leverancier.

• Bevindingen die fysieke toegang vereisen tot Ravical-kantoren, -apparaten of -medewerkers

• Social engineering gericht op medewerkers, klanten, leveranciers of partners van Ravical (waaronder phishing, vishing, smishing en pretexting)

• Denial of service-, volumetrische, brute force- of loadtests

• Spam, e-mailspoofing of bevindingen beperkt tot ontbrekende of zwakke SPF-, DKIM- of DMARC-records zonder werkende exploit

• Self-XSS waarbij een gebruiker inhoud in zijn eigen browser moet plakken

• Ontbrekende of zwakke security headers zonder aantoonbare impact

• Clickjacking op pagina's zonder gevoelige acties die de systeemstatus wijzigen

• Het vrijgeven van openbare informatie, softwareversiebanners of directorystructuren zonder werkende exploit

• Meldingen over verouderde libraries of software zonder een werkende proof of concept die misbruik binnen onze context aantoont

• Theoretische problemen zonder aantoonbare impact op de beveiliging

Twijfel je of iets binnen de scope valt? Vraag het ons via security@ravical.com voordat je start met testen.

3. Hoe melden?

Stuur je rapport naar security@ravical.com.

Vermeld hierbij het volgende:

• Een duidelijke beschrijving van het probleem en het getroffen systeem, de URL of het onderdeel

• Stap-voor-stapinstructies om het probleem te reproduceren

• Een proof of concept (screenshots, request en response, kort script of video) waar relevant

• Je inschatting van de impact

• Je naam of alias en hoe we contact met je kunnen opnemen

• Of je een publieke vermelding wenst wanneer we de oplossing aankondigen

  
  

Rapporteer in het Nederlands of Engels. Eén probleem per rapport maakt de triage efficiënter. Vind je meerdere problemen, stuur deze dan apart in.

4. Gedragsregels  

Houd je tijdens het testen aan de volgende regels:

• Gebruik uitsluitend je eigen account, je eigen gegevens of testdata die jouw eigendom zijn

• Stop en meld het probleem zodra je een kwetsbaarheid bevestigt. Ga niet verder dan nodig is om het probleem aan te tonen.

• Vermijd acties die de beschikbaarheid, vertrouwelijkheid of integriteit van de dienst of van gegevens van andere gebruikers kunnen schaden

• Open, wijzig, kopieer, download, bewaar, verzend of verwijder geen gegevens die niet van jou zijn

• Gebruik geen geautomatiseerde scanners die overmatig verkeer genereren naar onze productieomgeving

• Maak geen gebruik van social engineering, fysieke binnendringing of denial of service

• Publiceer, deel of verkoop geen informatie over de kwetsbaarheid, geheel of gedeeltelijk, voordat we deze hebben opgelost en hebben bevestigd dat openbaarmaking is toegestaan

• Leef alle toepasselijke wet- en regelgeving na

Veroorzaakt het testen per ongeluk een onderbreking van de dienstverlening, een datalek of een ander onbedoeld effect? Stop dan onmiddellijk en meld dit via security@ravical.com.

5. Wat je van ons mag verwachten 

• We bevestigen de ontvangst van je rapport binnen 5 werkdagen.

• We beoordelen het rapport en laten je binnen 10 werkdagen ons eerste standpunt weten, inclusief of we de melding binnen de scope beschouwen.

• We houden je op regelmatige basis op de hoogte van de voortgang tijdens de triage en het oplossen van het probleem.

• We laten je weten wanneer het probleem is opgelost.

• Als je dat wilt, vermelden we je naam publiekelijk zodra we communiceren over de oplossing. Je kunt ook anoniem blijven.

• We behandelen je melding en identiteit vertrouwelijk en delen deze niet met derden zonder jouw toestemming, tenzij we hiertoe wettelijk verplicht zijn.

6. Safe harbour

Handel je te goeder trouw en in lijn met dit beleid, dan zal Ravical geen juridische stappen tegen je ondernemen of ondersteunen naar aanleiding van je onderzoek. Onderzoekers die kwetsbaarheden verantwoord melden, helpen ons immers onze klanten te beschermen.

Onderzoekers in België kunnen zich ook beroepen op het wettelijk kader van het Centrum voor Cybersecurity België (CCB) voor gecoördineerde bekendmaking van kwetsbaarheden, op voorwaarde dat aan de voorwaarden van dat kader is voldaan. Handelen conform dit beleid sluit hier naadloos op aan.

Deze safe harbour geldt niet voor activiteiten die buiten dit beleid vallen, die de bovenstaande gedragsregels schenden of die in strijd zijn met de toepasselijke wetgeving.

7. Geen bug bounty

Ravical biedt momenteel geen betaald bug bounty-programma aan. We voorzien mogelijk een blijk van waardering of een publieke vermelding, maar garanderen geen financiële vergoeding. We kunnen dit beleid in de toekomst herzien.

8. Wijzigingen aan dit beleid   

We kunnen dit beleid van tijd tot tijd bijwerken. De meest actuele versie vind je altijd op onze website en via het trust centre van Ravical. De datum bovenaan dit document toont wanneer de laatste update heeft plaatsgevonden.

9. Contact  

E-mail: security@ravical.com

Trust centre: trust.ravical.com