Responsible disclosure
WIJschool vindt de veiligheid van haar systemen en de gegevens van leerlingen, docenten en scholen belangrijk. Ondanks onze zorg kan er een kwetsbaarheid zijn. Ontdek je er een? Meld het ons, dan lossen we het samen op.
Meldingen gaan naar tech@wijschool.nl. Wij antwoorden in het Nederlands of het Engels.
Wat we vragen
- Mail je bevinding naar tech@wijschool.nl.
- Geef genoeg informatie om het probleem te reproduceren.
- Misbruik de kwetsbaarheid niet verder dan nodig om die aan te tonen.
- Deel de kwetsbaarheid niet met anderen tot die is opgelost.
- Verwijder geen gegevens, verstoor geen diensten en raak geen gegevens van anderen aan. Gebruik geen social engineering, (D)DoS of fysieke aanvallen.
Wat we beloven
- We reageren binnen 5 werkdagen met een eerste inschatting.
- We houden je op de hoogte van de oplossing.
- We behandelen je melding vertrouwelijk en delen je gegevens niet zonder toestemming met derden.
- Bij een melding te goeder trouw ondernemen we geen juridische stappen.
Buiten scope
Meldingen die geen reëel beveiligingsrisico vormen, bijvoorbeeld ontbrekende best-practice headers zonder impact of theoretische bevindingen zonder werkende proof-of-concept, nemen we ter kennisgeving aan. Die krijgen geen prioriteit.
Dit beleid hoort bij het ROSA/IBP-beleid van WIJschool, maatregel V8 over het omgaan met kwetsbaarheden. Het machine-leesbare equivalent staat in /.well-known/security.txt.