Beveiligingsscans

Als u scans wilt uitvoeren op onze servers of de daaraan gekoppelde websites, is dit in principe toegestaan.
Met het oog op goede coördinatie en operationele stabiliteit willen we echter graag vooraf geïnformeerd worden over dergelijke scans. We behouden ons tevens het recht voor om activiteiten te blokkeren die de beschikbaarheid of prestaties van onze systemen kunnen beïnvloeden.

¶Omgaan met geïdentificeerde kwetsbaarheden

Mocht een scan potentiële kwetsbaarheden in onze systemen aan het licht brengen, dan ontvangen we daar uiteraard graag informatie over. Het zij echter opgemerkt dat wij zelf doorlopend uitgebreide beveiligingsscans uitvoeren en eventuele bevindingen afhandelen in overeenstemming met de geldende praktijk.

Het is belangrijk om er rekening mee te houden dat veel geautomatiseerde scantools hun beoordelingen baseren op bijvoorbeeld versienummers of open poorten – zonder noodzakelijkerwijs te verifiëren of de betreffende kwetsbaarheid daadwerkelijk aanwezig is. De tools houden vaak ook geen rekening met of de relevante software al is gepatcht tegen bekende kwetsbaarheden. Wij dringen er daarom op aan om eventuele bevindingen te valideren en kritisch te beoordelen voordat ze aan ons worden gerapporteerd.

Let op: geïdentificeerde kwetsbaarheden in websites die slechts op onze servers worden gehost, hoeven niet noodzakelijk verband te houden met onze infrastructuur of software. De verantwoordelijkheid voor het onderhoud en de beveiliging van deze websites ligt in principe bij de betreffende eigenaar of ontwikkelaar. Verzoeken met betrekking tot dergelijke bevindingen moeten daarom rechtstreeks aan de betreffende partij worden gericht.

¶Omgaan met CVEs

Wij behandelen doorlopend alle relevante CVEs (Common Vulnerabilities and Exposures) in onze infrastructuur en de software die wij beheren. Mocht een kwetsbaarheid een wezenlijke impact hebben waarover wij onze klanten willen informeren, dan melden wij dit in ons statusoverzicht, dat te vinden is in ons Controlepaneel.
Het feit dat een CVE niet wordt vermeld, betekent niet dat wij deze niet hebben beoordeeld of er niet op hebben gereageerd; het is onze taak om eventuele CVE's af te handelen, en dat doen wij.