Beleid voor het melden van kwetsbaarheden

1. Onze toezegging

Taskstreamer neemt de beveiliging van haar platform serieus. Wij zijn een klein bedrijf en rekenen op de beveiligingsgemeenschap om ons te helpen problemen te vinden en op te lossen die wij over het hoofd hebben gezien. Dit beleid legt uit hoe u een beveiligingskwetsbaarheid aan ons kunt melden, wat u van ons kunt verwachten als u dat doet, en welke bescherming wij bieden aan onderzoekers die te goeder trouw met ons samenwerken.

Wij verwelkomen meldingen van iedereen. U hoeft geen professionele beveiligingsonderzoeker te zijn. Als u iets heeft opgemerkt dat niet in orde lijkt, horen wij dat graag.

2. Reikwijdte

2.1 Binnen de reikwijdte

Dit beleid geldt voor de volgende onderdelen van Taskstreamer:

• De Strategy-applicatie op strategy.taskstreamer.com en elk eigen domein van een tenant.
• Blueprint, geleverd via de Jira-plug-in die via directe links wordt verspreid.
• De uitvoeringslaag Conductor en de bijbehorende API's.
• Openbare marketing- en documentatiewebsites die door Taskstreamer worden beheerd.

2.2 Buiten de reikwijdte

Het volgende valt niet onder dit beleid. Meldingen die zich hierop richten, worden waarschijnlijk niet als beveiligingsprobleem behandeld:

• Denial-of-service-aanvallen, volumetrische tests of andere activiteiten die de beschikbaarheid voor andere gebruikers verminderen.
• Social engineering gericht op medewerkers, opdrachtnemers of klanten van Taskstreamer, of op onze hostingpartner Cyso.
• Fysieke aanvallen op faciliteiten van Taskstreamer of Cyso.
• Uitvoer van geautomatiseerde scanners zonder aangetoonde impact in de praktijk.
• Ontbrekende beveiligingsheaders die niet tot een misbruikbaar probleem leiden.
• Rate limiting op niet-geauthenticeerde endpoints waarbij geen impact op gebruikers kan worden aangetoond.
• Problemen in diensten van derden die niet onder controle van Taskstreamer staan. Meld deze rechtstreeks aan de betreffende leverancier.
• Clickjacking op pagina's zonder gevoelige handelingen.
• Verouderde versies van bibliotheken zonder aangetoonde manier om deze te misbruiken.

3. Hoe u een melding doet

Stuur uw melding naar security@taskstreamer.com.

Een bruikbare melding bevat:

• Een duidelijke beschrijving van het probleem.
• De betreffende URL, het endpoint of het onderdeel.
• De stappen om het probleem te reproduceren, waar relevant met voorbeeldverzoeken of payloads.
• De impact die u heeft waargenomen of die u mogelijk acht.
• Ondersteunend materiaal (screenshots, video, proof-of-conceptcode) dat ons helpt het probleem te begrijpen.
• De naam waaronder u erkend wilt worden, of een verklaring dat u anoniem wilt blijven.

4. Wat u van ons kunt verwachten

Wij zeggen ook toe dat wij u met respect behandelen, te goeder trouw met u in gesprek gaan over de technische details en uw bijdrage publiekelijk erkennen als u dat wilt (zie artikel 6).

5. Vrijwaring (safe harbour)

Deze vrijwaring kent grenzen. Zij geldt niet voor activiteiten die verder gaan dan de spelregels in artikel 7, en ook niet voor activiteiten die, los van de toestemming van Taskstreamer, in strijd zijn met Nederlands of Europees recht. Twijfelt u of iets dat u wilt testen binnen dit beleid valt, neem dan eerst contact op met security@taskstreamer.com en stel uw vraag. Wij voeren liever vooraf een gesprek dan dat wij er achteraf over horen.

6. Erkenning

Wij houden een openbare pagina met erkenningen bij op taskstreamer.com/nl/security-acknowledgements. Als uw melding tot een oplossing leidt en u publieke erkenning wilt, vermelden wij uw naam (of een alias naar keuze) samen met de datum en een korte beschrijving van het type probleem. Meldingen die nieuwe problemen of problemen met een grote impact aan het licht brengen, kunnen in overleg met u een uitgebreidere beschrijving krijgen.

Taskstreamer heeft op dit moment geen betaald bugbountyprogramma. Soms bedanken wij onderzoekers met tegoed of een andere attentie, en wij vermelden onderzoekers altijd in elk beveiligingsadvies dat wij publiceren, tenzij zij liever anoniem blijven.

7. Spelregels

Om ervoor te zorgen dat uw werk onder de vrijwaring valt, vragen wij u de volgende regels te volgen:

• Gebruik alleen accounts die van u zijn of accounts die Taskstreamer uitdrukkelijk voor onderzoek aan u ter beschikking heeft gesteld.
• Bekijk, download, wijzig of verwijder geen gegevens die niet van u of van een testaccount zijn.
• Als u ontdekt dat u per ongeluk toegang heeft gekregen tot gegevens van een andere klant, stop dan onmiddellijk, bewaar de gegevens niet en meld het ons direct.
• Gebruik geen geautomatiseerde scanners in een tempo dat de dienstverlening aan andere gebruikers beïnvloedt. Wilt u langdurig geautomatiseerd testen, neem dan eerst contact met ons op.
• Voer geen denial-of-service-tests, volumetrische tests of andere activiteiten uit die de beschikbaarheid verminderen.
• Gebruik een gevonden probleem niet als opstap om u lateraal door onze infrastructuur of klantomgevingen te bewegen.
• Maak het probleem niet openbaar voordat wij redelijkerwijs de gelegenheid hebben gehad het op te lossen. Standaard hanteren wij gecoördineerde openbaarmaking binnen 90 dagen, of eerder als een oplossing eerder wordt uitgerold.
• Geef ons de informatie die wij nodig hebben om het probleem te reproduceren en op te lossen. Betaalde openbaarmaking, losgeld of dreigementen zijn niet verenigbaar met dit beleid.

8. Juridisch

Op dit beleid is Nederlands recht van toepassing. Taskstreamer BV is gevestigd in Nederland. Niets in dit beleid houdt een afstand in van de rechten van Taskstreamer onder het toepasselijke recht, en niets verplicht u om afstand te doen van uw rechten.

Wij kunnen dit beleid wijzigen. De actuele versie staat altijd op taskstreamer.com/nl/vulnerability-disclosure. Wezenlijke wijzigingen worden gedateerd en samengevat in de versiegeschiedenis onderaan deze pagina.

9. Contact

E-mail: security@taskstreamer.com

10. Versiegeschiedenis

---