Beveiligingsbeleid

01 Beleid voor verantwoorde openbaarmaking

InfoPeak waardeert security-onderzoekers en verwelkomt verantwoorde openbaarmaking van kwetsbaarheden. Ontdekt u een beveiligingsprobleem in een InfoPeak-dienst, dan verzoeken wij u dit aan ons te melden.

02 Reikwijdte

De volgende diensten en assets vallen onder verantwoorde openbaarmaking:

• infopeak.io - hoofdapplicatie en website
• auth.infopeak.io - authenticatiedienst
• InfoPeak Pass - browserextensie
• InfoPeak VPN - mobiele en desktop-apps

03 Richtlijnen voor openbaarmaking

Wij vragen security-onderzoekers deze richtlijnen te volgen:

• Geef voldoende details om de kwetsbaarheid te reproduceren.
• Raad geen gegevens van andere gebruikers aan, wijzig ze niet en verwijder ze niet.
• Voer geen denial-of-service-aanvallen of social engineering uit.
• Geef ons redelijke tijd (90 dagen) om het probleem op te lossen vóór openbare openbaarmaking.

04 Reactietijdlijn

De termijnen gelden voor meldingen binnen het bereik van sectie 02 die aan de eisen in sectie 09 voldoen.

05 Safe Harbor

InfoPeak zal geen juridische stappen ondernemen tegen security-onderzoekers die kwetsbaarheden te goeder trouw ontdekken en melden conform dit beleid. Wij beschouwen security-onderzoek onder dit beleid als geautoriseerd en starten geen juridische claims voor het omzeilen van technische maatregelen wanneer het onderzoek conform dit beleid plaatsvindt.

06 Incidentrespons & melding van datalekken

Bij een beveiligingsincident of datalek volgt InfoPeak deze procedures conform de NIS2-richtlijn (EU) 2022/2555 en AVG-artikelen 33 en 34:

• Binnen 24 uur: Vroege waarschuwing aan het relevante nationale CSIRT (Computer Security Incident Response Team).
• Binnen 72 uur: Volledige incidentmelding aan de toezichthouder (AVG) en CSIRT (NIS2), inclusief omvangsbeoordeling en mitigerende maatregelen.
• Zonder onnodige vertraging: Getroffen gebruikers worden per e-mail geïnformeerd met duidelijke informatie over de aard van het lek, betrokken gegevens, genomen maatregelen en aanbevolen acties.
• Binnen 1 maand: Een eindrapport wordt ingediend bij de bevoegde autoriteiten met oorzaakanalyse en preventieve maatregelen.

07 Beveiligingsarchitectuur

InfoPeak past de volgende beveiligingsmaatregelen toe als onderdeel van onze inzet voor de Cyber Resilience Act (CRA):

• Versleuteling at rest: Je inhoud wordt versleuteld met AES-256-GCM. De sleutels worden in je browser afgeleid met PBKDF2-SHA256 (210.000 iteraties) en bereiken onze servers nooit.
• Versleuteling in transit: TLS 1.3 voor alle verbindingen.
• Zero-knowledge-architectuur: Persoonlijke versleutelingssleutels worden client-side afgeleid. InfoPeak heeft geen toegang tot uw versleutelde inhoud.
• Alleen EU-hosting: Alle infrastructuur bevindt zich binnen de Europese Unie.
• Regelmatige beveiligingsupdates: Afhankelijkheden en infrastructuur worden continu gemonitord en bijgewerkt.

08 Buiten het bereik

Het volgende wordt geregistreerd maar niet als kwetsbaarheid behandeld. Meldingen die alleen deze punten betreffen, krijgen geen individueel antwoord:

• Ontbrekende beveiligingsheaders zonder aangetoonde exploit - bijvoorbeeld CSP, HSTS of X-Frame-Options op pagina's zonder gevoelige inhoud.
• SPF-, DKIM- en DMARC-configuratie en andere DNS-aanbevelingen zonder aangetoonde spoofing.
• Self-XSS en aanvallen waarbij het slachtoffer zelf code in de eigen browserconsole moet plakken.
• Clickjacking op pagina's zonder statuswijzigende acties.
• Ontbrekende rate limiting op endpoints die niet authenticeren en geen mail versturen.
• Versie- en technologie-openbaarmaking en meldingen over verouderde bibliotheken zonder aangetoonde aanvalsroute.
• Uitvoer van automatische scanners zonder geverifieerde, reproduceerbare exploit.
• Denial of service, volumetrische aanvallen, social engineering en fysieke toegang.

09 Eisen aan een melding

Een melding moet leesbaar en reproduceerbaar zijn zonder dat wij hoeven na te vragen. Stuur deze als tekst in de e-mail zelf:

• Betrokken URL of endpoint en met welk account of welke rol u hebt getest.
• Reproductiestappen op schrift. Een video alleen is niet genoeg - meldingen waarvan de stappen alleen in een videobestand staan, verwerken wij niet.
• De concrete impact. Welke gegevens of acties toegankelijk worden, en voor wie.
• Eén bevinding per melding. Gebundelde meldingen met meerdere losstaande bevindingen worden niet getriageerd.
• Geen links naar externe bestandsdiensten. Voeg bewijs direct bij de e-mail.

Meldingen die niet aan deze eisen voldoen, worden zonder antwoord gesloten. Dat is geen beoordeling van de bevinding - wij hebben niet de capaciteit om een melding voor de afzender te reconstrueren.