Responsible disclosure Next Senz | kwetsbaarheid melden

Responsible disclosure: meld een kwetsbaarheid

Next Senz nodigt onderzoekers uit om kwetsbaarheden in nextsenz.nl en in de producten IRIS, ILS, NDP (Next Data Platform) en NWP (Next Workflow Platform) te melden via info@nextsenz.com. Next Senz bevestigt een melding binnen 3 werkdagen, houdt de melder op de hoogte en onderneemt geen juridische stappen bij een melding die zich aan deze spelregels houdt.

Vind je een zwakke plek in onze systemen of producten? Meld het bij ons en wij lossen het op — zonder juridische naschok voor jou.

Home Responsible disclosure

Wat je van ons mag verwachten

Voor een partij die zelf dataplatformen bouwt, is dit beleid geen formaliteit maar een productclaim: wij nodigen mensen uit om onze eigen software te breken. Daarom eerst onze vier harde toezeggingen:

Bevestiging van je melding binnen [X werkdagen].
Een inhoudelijke reactie binnen [X werkdagen].
Updates over de voortgang tot het probleem is verholpen, en verificatie van de oplossing samen met jou.
Geen aangifte en geen civiele stappen, zolang je je aan de spelregels hieronder houdt.

Next Senz heeft [wel/geen] bug bounty-programma met geldbedragen; wel bieden we [vermelding in een hall of fame / blijk van waardering — invullen wat geldt]. Dat zeggen we vooraf, niet achteraf.

Spelregels voor onderzoek

Wel	Niet
Meld het probleem zodra je het vindt	Gegevens van anderen inzien, wijzigen of downloaden
Geef precies genoeg informatie om het te reproduceren	Denial of service
Houd de melding vertrouwelijk tot het is opgelost	Social engineering van medewerkers
—	Fysieke inbraak, spam en geautomatiseerd scannen dat de dienstverlening verstoort

In scope: nextsenz.nl en de klantomgevingen van IRIS, ILS, NDP en NWP voor zover door Next Senz beheerd. Buiten scope: systemen van klanten zelf en van derden.

Hoe je een kwetsbaarheid meldt

Stuur je melding naar info@nextsenz.com — versleuteld met de PGP-sleutel [vingerafdruk] als de melding gevoelig is.
Vermeld: het type kwetsbaarheid, de betrokken URL of component, de reproductiestappen, de impact en je contactgegevens.
Daarna: wij doen de triage, herstellen het probleem, verifiëren de oplossing samen met jou en kiezen in overleg voor publicatie of een stille oplossing.

Een security.txt-bestand op /.well-known/security.txt verwijst naar deze pagina.Meld een kwetsbaarheid via info@nextsenz.com — of download de PGP-sleutel.

Waarom wij dit publiceren

Next Senz werkt volgens de norm van ISO 27001 — certificering volgt binnenkort — en bouwt met NDP (Next Data Platform) een soeverein dataplatform waarop data van de klant blijft en op Europese hosting of on-premise draait. Zo’n belofte houdt alleen stand als buitenstaanders hem mogen testen. Wie zegt dat data veilig en autonoom bij hem staat, moet durven vragen: probeer maar.De scope van onze normen-werkwijze vind je bij de scope van onze ISO 27001-norm-werkwijze , de opbouw van het platform bij de architectuur van NDP . Raakt een kwetsbaarheid persoonsgegevens, dan volgt Next Senz daarnaast het datalekproces — zie hoe wij omgaan met datalekken . Bestaande klanten met een storing die geen kwetsbaarheid is, gebruiken de servicedesk voor bestaande klanten .

Veel gevraagd

Veelgestelde vragen

Loop ik juridisch risico als ik iets meld?

Nee, zolang je je aan de spelregels op deze pagina houdt: geen gegevens van anderen inzien of downloaden, geen verstoring van de dienstverlening en de melding vertrouwelijk houden tot het is opgelost. Next Senz doet in dat geval geen aangifte en onderneemt geen civiele stappen.

Krijg ik een beloning voor mijn melding?

Next Senz heeft [wel/geen] bug bounty-programma met geldbedragen. Wat je sowieso krijgt: een serieuze inhoudelijke reactie, inzicht in de oplossing en, als je dat wilt, vermelding als melder. We communiceren vooraf duidelijk wat je kunt verwachten in plaats van achteraf.

Wat valt binnen de scope van het disclosure-beleid?

Binnen scope vallen nextsenz.nl en de door Next Senz beheerde omgevingen van IRIS, ILS, NDP en NWP. Buiten scope vallen denial of service, social engineering, fysieke toegang, spam en systemen die eigendom zijn van klanten of derden. De volledige lijst met wel en niet toegestane handelingen staat op deze pagina.

Wat als de kwetsbaarheid in een klantomgeving zit?

Meld hem hier. Next Senz beoordeelt of de kwetsbaarheid in door ons beheerde componenten zit of bij de klant zelf, en informeert de betrokken organisatie via het afgesproken incidentproces. Raakt het persoonsgegevens, dan volgt Next Senz daarnaast de meldplicht datalekken uit de AVG.