Responsible Disclosure

Werken aan systeemveiligheid
Elke dag werken specialisten bij de Robeco aan het verbeteren van de systemen en processen. Zo blijven de gegevens van onze klanten beschermd tegen misbruik en de beschikbaarheid van de dienstverlening gewaarborgd. Dat neemt niet weg dat er zich ook in onze systemen kwetsbaarheden kunnen voordoen. Bij het signaleren daarvan maken we graag gebruik van uw hulp.

Wat mogen we van elkaar verwachten?
U kunt problemen melden over de veiligheid van diensten die Robeco aanbiedt via internet. Mocht u een probleem of zwakke plek gevonden hebben, meld dit ons dan zo snel mogelijk. Voorbeelden van kwetsbaarheden die gemeld kunnen worden:

• cross site scripting kwetsbaarheden
• SQL-injectie kwetsbaarheden
• encryptie zwakheden

Wat verwachten wij van u?
Zorg ervoor dat u tijdens het onderzoeken van de gevonden kwetsbaarheid geen schade aanricht. In geen geval mag uw onderzoek tot onderbreking van de dienstverlening leiden of tot openbaarmaking van vermogensbeheerder- of klantgegevens.

Wat doen we met uw melding?
Een team van beveiligingsexperts onderzoekt uw melding en geeft zo spoedig mogelijk een eerste reactie. Wij vragen u om het probleem niet publiek te maken, maar met onze experts te delen. Geef hen de tijd het probleem op te lossen. Wij laten u weten wat we van uw melding vinden, of we een oplossing gaan toepassen en wanneer we dat doen.

Spelregels
Bij het onderzoek zou u mogelijk handelingen kunnen verrichten die strafbaar zijn. Als u te goeder trouw, zorgvuldig en volgens de aangegeven spelregels handelt, is er voor Robeco geen aanleiding om aangifte te doen. Volgt u daarom de regels zoals opgenomen in deze responsible disclosure-regeling en handel daarnaast niet op onevenredige wijze:

• Maak geen gebruik van social engineering om toegang te verkrijgen tot een systeem.
• Plaats geen backdoor in een informatiesysteem om vervolgens daarmee de kwetsbaarheid aan te tonen, aangezien daarmee aanvullende schade kan worden aangericht en onnodige veiligheidsrisico’s worden gelopen.
• Maak minimaal gebruik van een kwetsbaarheid. Doe alleen datgene wat noodzakelijk is om de kwetsbaarheid vast te stellen.
• Wijzig of verwijder geen enkel gegeven van het systeem en wees zo terughoudend mogelijk met het kopiëren van gegevens (als één record genoeg is om het probleem aan te tonen, ga dan niet verder).
• Breng geen systeemveranderingen aan.
• Probeer niet herhaaldelijk toegang tot het systeem te verkrijgen en deel de verkregen toegang niet met anderen.
• Gebruik geen zogeheten 'bruteforce' om toegang tot systemen te verkrijgen. Daarbij is immers geen sprake van een kwetsbaarheid, maar alleen van het herhaaldelijk proberen van wachtwoorden.