Responsible disclosure, in het Nederlands verantwoorde bekendmaking, is een publieke afspraak tussen een organisatie en de buitenwereld. Vindt iemand een beveiligingslek in je website of software, dan meldt hij dat eerst bij jou en geeft hij je de tijd om het te repareren. In ruil beloof jij dat je geen aangifte doet tegen een melder die zich netjes aan de regels houdt.
Ook voor een klein bedrijf is dit nuttiger dan het klinkt. Zonder meldpunt weet een welwillende vinder niet waar hij aan moet kloppen, en belandt de melding in een algemene inbox of helemaal nergens. Met een duidelijke pagina en een mailadres hoor je problemen van mensen die je willen helpen, in plaats van dat je erachter komt als het lek al misbruikt is.
Praktisch zet je er een korte pagina voor op je site: waar melden, wat je van de melder verwacht (niet meer data bekijken dan nodig, niets wijzigen, niets publiceren voor de fix) en binnen hoeveel dagen je reageert. Vaak plaats je ook een security.txt-bestand op je website zodat onderzoekers het contactadres automatisch vinden. Een beloning is niet verplicht; een bedankje en een vermelding werken al goed.
Wat OkayICT hierin doet: wij helpen je een meldpunt inrichten en pakken binnenkomende meldingen technisch op, van beoordeling tot patch.
Meer lezen: Wat is een kwetsbaarheid? · Wat is een pentest?
