Een beveiligingsmelding van een ethische onderzoeker ontvangen

Reageer snel, maar kort en neutraal. Een onderzoeker die geen antwoord krijgt, kan besluiten elders te publiceren; een antwoord dat te veel belooft, brengt je later in een lastige positie.

1. Bevestig de ontvangst en bedank de afzender. Noem geen schuldvraag en geen beloningen.
2. Vraag ontbrekende gegevens: welke URL of welk onderdeel, welke stappen, wanneer vastgesteld, en of er echte gegevens van klanten zijn ingezien.
3. Geef één aanspreekpunt en een manier om veilig te antwoorden. Vraag niet om gevoelige gegevens per gewone mail.
4. Zeg niets toe over uitkomst of termijn dat je niet kunt waarmaken. Vermijd absolute uitspraken zoals 'het is opgelost' voor je dat hebt gecontroleerd.
5. Bewaar het originele bericht met afzender, tijdstip en eventuele bijlagen.

Stuur de mail intern door naar één verantwoordelijke, niet naar een brede groep.

Een beveiligingsmelding bevat soms precies de informatie die een kwaadwillende zou helpen. Hanteer daarom het principe 'alleen wie het nodig heeft'. Maak één dossier met de melding, je antwoorden en je notities, en bepaal wie toegang krijgt.

• Kernteam: de beslisser (eigenaar of zaakvoerder), de technisch verantwoordelijke en eventueel je externe webbouwer of host.
• Niet breed delen: geen doorsturen naar de hele teamchat, geen foto's van het scherm op sociale kanalen, geen bespreking in een publiek kanaal.
• Gevoelige bijlagen apart houden: screenshots met inloggegevens of klantgegevens horen niet in een gewone mailthread.
• Log wie wat inziet: schrijf op wie het dossier ontving en wanneer.

Controleer ook de toegangsbeveiliging van de accounts van het kernteam. De uitleg van Google over tweestapsverificatie beschrijft hoe een extra beveiligingslaag helpt als je wachtwoord wordt gestolen; de bron merkt wel op dat codes via sms of telefoon kwetsbaar kunnen zijn voor aanvallen op telefoonnummers (Google Account Help: tweestapsverificatie). Gebruik je een account via werk of school, dan kunnen de stappen verschillen en regelt soms een beheerder de instellingen.

Deze matrix helpt je bepalen wie wat doet en hoe snel. Je vult haar in op basis van de eerste lezing; ze wordt bijgesteld zodra de technische beoordeling klaar is.

De ernst is een werkhypothese. Een melding die laag lijkt, kan in combinatie met iets anders zwaarder wegen; laat de eindinschatting aan de technisch verantwoordelijke.

Probeer nooit zelf een aanval 'na te spelen' op je live site. Laat de beoordeling doen door iemand met technische kennis, bij voorkeur op een kopie of testomgeving.

1. Lees de stappen van de melder en zet ze om in een korte lijst die iemand anders kan volgen.
2. Reproduceer in een testomgeving zonder echte klantgegevens. Heb je er geen, vraag dan je webbouwer of host wat veilig mogelijk is.
3. Noteer wat je ziet: werkt het zoals beschreven, werkt het deels, of niet? Een melding die niet reproduceerbaar is, is daarom nog niet fout; er kan context ontbreken.
4. Toets tegen bekende zwakheidsklassen. De beveiligingsdocumentatie van MDN beschrijft veelvoorkomende aanvallen en beschrijft beveiligingspraktijken zoals HTTPS, een Content Security Policy en beperkte cookie-instellingen (MDN: webbeveiliging). Gebruik dat als vocabulaire om de bevinding te benoemen.
5. Leg vast wat je niet kunt vaststellen. Een gebrek aan bewijs is geen bewijs van afwezigheid.

Laat je bevindingen schriftelijk vastleggen, zonder exploitdetails in een gewone mailthread.

Fictief scenario, alleen invoer: een onderzoeker meldt dat een zoekveld op je site ingevoerde tekst in de pagina terugtoont, wat op een script-injectie zou kunnen wijzen. Hij bezorgt de URL en een korte beschrijving, zonder klantgegevens.

Verwachte technische controles: (1) bevestig ontvangst en vraag om de exacte stappen; (2) laat een technisch verantwoordelijke de stappen in een testomgeving volgen; (3) controleer of ingevoerde tekst wordt gesaneerd of ge-encodeerd voor die op de pagina verschijnt; (4) controleer of er een Content Security Policy staat die inline scripts beperkt, als extra verdediging naast correcte output-encoding en niet als vervanging ervan; (5) bekijk of vergelijkbare invoervelden elders hetzelfde gedrag vertonen; (6) herstel, test opnieuw en leg de wijziging vast.

Afronden met de melder: laat hem weten dat je de melding hebt beoordeeld en het aangepaste onderdeel hebt hertest. Vraag of hij wil bevestigen dat zijn stappen niet meer werken, en spreek af of en wanneer hij over de melding mag communiceren. Vermeld nooit zonder instemming zijn naam in publieke berichten.

Wil je weten welke publieke signalen van je website nu zichtbaar zijn, bekijk ze dan via Marketing Scan. Een publieke scan meet zichtbare signalen en bewijst geen volledige technische implementatie of beveiliging.