Gratis tool

Gratis generator voor een beleid inzake het melden van kwetsbaarheden

De generator stelt een beleid voor het melden van kwetsbaarheden op, waarin het toepassingsgebied, de ‘safe harbor’-bepalingen en de reactietijden zijn vastgelegd, evenals het security.txt-bestand dat onderzoekers hiernaar verwijst.

Stel uw polis samen security.txt-generator
  • Beleid inzake openbaarmaking
  • Veilige haven
  • het bestand security.txt
  • Checklist voor publicatie

Stel uw beleid inzake het melden van kwetsbaarheden op.

Voer de 3 stappen uit en kopieer de resultaten in stap 4.

Vertel ons eens iets over uw organisatie

De pagina waarop je het beleid publiceert. Het bestand security.txt verwijst hiernaar.

Eén per regel. Laat het veld leeg om je website en de bijbehorende subdomeinen op te nemen.

Kies hoe mensen verslag uitbrengen

Vul ten minste één manier in om een melding te doen. Het bestand security.txt geeft ze in deze volgorde weer.

Je programmapagina op een platform zoals HackerOne, Bugcrowd, Intigriti of YesWeHack.

Over minder dan een jaar vanaf vandaag. Werk het bestand vóór die datum bij.

Een link naar je openbare sleutel, die onderzoekers gebruiken om hun rapporten te versleutelen. Het bestand bevat alleen een link naar de sleutel; de sleutel zelf staat er niet in opgeslagen.

Stel de regels vast

Beloningen
Testmethoden die niet zijn toegestaan
security.txt

Het bestand op zijn adres op uw website, en het beleid in één oogopslag.

Kopieer je policy- en security.txt-bestanden

Lees de tekst nog eens door voordat je hem publiceert. Deze volgt op je antwoorden hierboven.

Voer de naam van uw organisatie in om uw beleid en het security.txt-bestand te bekijken.

De generator stelt tekst op basis van uw antwoorden, RFC 9116 en gangbare sjablonen voor openbaarmakingsbeleid, zoals die van het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). Dit is geen juridisch advies. Bekijk het beleid voordat u het publiceert en laat de ‘safe harbor’-formulering door een advocaat controleren: deze heeft alleen betrekking op wat uw organisatie doet, niet op wat andere partijen of openbare aanklagers doen.

Waar kunt u uw beleid publiceren?

Onderzoekers zoeken naar een beveiligingspagina, een security.txt-bestand of een e-mailadres voor beveiligingszaken. Plaats het beleid op de plek waar ze zoeken en zorg ervoor dat er iemand reageert.

  1. Een eigen pagina. Publiceer het beleid via een korte link, zoals /security of /vulnerability-disclosure-policy.

  2. De voettekst van uw website. Plaats een link naar het beleid in de voettekst, naast uw privacybeleid en de algemene voorwaarden.

  3. Het bestand security.txt. Upload het bestand naar /.well-known/security.txt. De regel ‘Policy’ bevat een link naar de pagina.

  4. De meldingen-inbox. Stel het beveiligings-e-mailadres in en zorg ervoor dat iemand de berichten elke werkdag doorneemt.

  5. Uw producten. Vermeld, overeenkomstig de EU-wet inzake cyberweerbaarheid, de contactpersoon en de link naar het beleid in de gebruikersinformatie van elk product.

  6. Een testrapport. Stuur via elke route een testrapport, controleer de reactietijd en evalueer het beleid eenmaal per jaar.

De regels

Wat de regels voorschrijven.

In elke rij wordt een wet, een norm of een overheidsrichtlijn genoemd, wanneer deze van toepassing is en wat deze voorschrijft met betrekking tot uw openbaarmakingsbeleid.

Wetgeving en normen inzake het melden van kwetsbaarheden, wanneer deze van toepassing zijn en wat er wordt vereist
Wet of norm Wanneer dit van toepassing is Wat er wordt gevraagd
RFC 9116 (security.txt) Elke willekeurige website. Het is een vrijwillige internetstandaard. Een tekstbestand in de map /.well-known/security.txt, dat via HTTPS wordt aangeboden, met ten minste één regel met contactgegevens en een vervaldatum, bij voorkeur minder dan een jaar in de toekomst.
EU-wet inzake cyberweerbaarheid (Verordening (EU) 2024/2847) Fabrikanten van software en verbonden producten die in de EU worden verkocht. De rapportageverplichting geldt vanaf 11 september 2026, de overige vereisten vanaf 11 december 2027. Een gecoördineerd beleid inzake het melden van kwetsbaarheden en een contactadres voor meldingen (bijlage I, deel II), één centraal contactpunt dat in de gebruikersinformatie wordt vermeld (bijlage II), en meldingen van actief misbruikte kwetsbaarheden aan ENISA binnen 24 uur.
NIS2-richtlijn (EU) 2022/2555 Essentiële en belangrijke entiteiten in de EU, zoals aanbieders van clouddiensten, hostingdiensten en digitale infrastructuur. Omgang met en openbaarmaking van kwetsbaarheden als onderdeel van de beveiligingsmaatregelen (artikel 21). Nationale CSIRT’s coördineren de openbaarmaking tussen onderzoekers en bedrijven (artikel 12).
Het Britse regelgevingskader voor productveiligheid en telecommunicatie-infrastructuur (PSTI) Fabrikanten van verbonden consumentenproducten die sinds 29 april 2024 in het Verenigd Koninkrijk worden verkocht. Een officiële procedure voor het melden van beveiligingsproblemen, en de termijn waarbinnen melders een bevestiging en statusupdates ontvangen.
CISA Bindende operationele richtlijn 20-01, VS Amerikaanse federale civiele instanties. Het beleidsmodel dat zij hanteren, dient vaak als voorbeeld voor bedrijven. Een gepubliceerd beleid waarin de betreffende systemen worden vermeld, waarin wordt uitgelegd hoe meldingen moeten worden gedaan, waarin wordt toegezegd geen juridische stappen te ondernemen tegen onderzoek dat te goeder trouw wordt uitgevoerd, en waarin wordt bevestigd dat meldingen binnen drie werkdagen worden bevestigd.
ISO/IEC 29147 en ISO/IEC 30111 Elke organisatie. Het zijn internationale normen, waar vaak om wordt gevraagd bij beveiligingsbeoordelingen. Hoe u meldingen ontvangt en adviezen publiceert (29147), en hoe u elke melding binnen uw organisatie bevestigt, oplost en volgt (30111).

Generator voor een beleid inzake aanvaardbaar gebruik

Uw beleid inzake aanvaardbaar gebruik legt de regels vast voor alle anderen.

De TermsFeed-generator voor beleidsregels inzake aanvaardbaar gebruik verbiedt het onderzoeken of testen van uw dienst zonder schriftelijke toestemming, en vraagt gebruikers om kwetsbaarheden aan u te melden. Uw openbaarmakingsbeleid verleent die toestemming aan onderzoekers die zich eraan houden.

Een beleid voor aanvaardbaar gebruik opstellen

Veelgestelde vragen.

Antwoorden op veelgestelde vragen over het beleid inzake het melden van kwetsbaarheden.

Wat is een beleid inzake het melden van kwetsbaarheden?

Een beleid inzake het melden van kwetsbaarheden legt beveiligingsonderzoekers uit hoe ze een kwetsbaarheid die ze in uw systemen aantreffen moeten melden, en wat u met die melding gaat doen.

Een beleid omvat doorgaans het volgende.

  • De systemen die onder het beleid vallen, en de systemen die daar niet onder vallen.
  • De testmethoden die niet zijn toegestaan, zoals denial-of-service-aanvallen.
  • Hoe u een kwetsbaarheid moet melden en welke informatie u daarbij moet vermelden.
  • Hoe snel u reageert en wanneer de details openbaar worden gemaakt.
  • Een toezegging om geen juridische stappen te ondernemen tegen onderzoek dat te goeder trouw wordt uitgevoerd, ook wel bekend als 'safe harbor'.

Heb ik een beleid voor het melden van kwetsbaarheden nodig?

Sommige wetten schrijven dit voor, en elke website heeft er baat bij.

  • De EU-wet inzake cyberweerbaarheid (Cyber Resilience Act) verplicht fabrikanten van software en verbonden producten die in de EU worden verkocht tot een gecoördineerd beleid voor het melden van kwetsbaarheden, met ingang van 11 december 2027.
  • Het Britse PSTI-stelsel verplicht fabrikanten van verbonden consumentenproducten om te publiceren hoe beveiligingsproblemen kunnen worden gemeld.
  • De EU-NIS2-richtlijn rekent het melden van kwetsbaarheden tot de beveiligingsmaatregelen van essentiële en belangrijke entiteiten.

Zonder een dergelijk beleid weet een onderzoeker die een kwetsbaarheid ontdekt niet aan wie hij dit moet melden, en maakt hij deze soms openbaar zonder u hiervan op de hoogte te stellen.

Is een beleid inzake het melden van kwetsbaarheden hetzelfde als een bug-bounty-programma?

Nee. Een beleid inzake het melden van kwetsbaarheden moedigt het melden aan. Een bug-bounty-programma moedigt het melden aan en betaalt daarvoor.

  • Een beleid kan gratis worden gepubliceerd en werkt op zichzelf.
  • Een bugbountyprogramma voegt beloningen toe en wordt vaak uitgevoerd op een platform zoals HackerOne of Bugcrowd, volgens de regels die het platform stelt.

De meeste organisaties beginnen met een beleid en voegen later beloningen toe.

Wat houdt ‘safe harbor’ in binnen een openbaarmakingsbeleid?

De 'safe harbor'-bepaling houdt in dat u toezegt dat onderzoek dat in overeenstemming is met het beleid, is toegestaan en dat u hiertegen geen juridische stappen zult ondernemen.

  • Het heeft betrekking op de activiteiten van uw organisatie.
  • Het weerhoudt andere partijen, zoals een hostingprovider of het Openbaar Ministerie, er niet van om op te treden.
  • Het onderzoek moet het beleid volgen: de reikwijdte, de testmethoden en de regels voor openbaarmaking.

Laat de tekst door een advocaat controleren voordat u deze publiceert.

Hoe snel moeten we op een melding reageren?

Veel beleidsdocumenten bevestigen dat ze binnen drie werkdagen een melding hebben ontvangen, zoals in het CISA-sjabloon.

  • Kies reactietijden waaraan uw team altijd voldoet: een uitblijvende reactie is de meest voorkomende reden waarom onderzoekers hun bevindingen vroegtijdig publiceren.
  • Het Britse PSTI-regime vraagt u om uw reactietermijnen bekend te maken, niet om aan een vast aantal dagen te voldoen.
  • Een termijn van 90 dagen voordat de details openbaar worden gemaakt, is gebruikelijk.

Is de ‘Vulnerability Disclosure Policy Generator’ gratis?

Ja, de Generator voor het beleid inzake het melden van kwetsbaarheden is gratis.

  • Voor de generator is geen account nodig.
  • De generator maakt ook het security.txt-bestand aan.

Stel uw beleid op met de bovenstaande generator.