安全政策与协同漏洞披露

1 适用范围

本政策适用于可证明由 Finass Advies B.V. 管理的、可公开访问的网站、域名和系统，其中包括 www.finassverzekert.nl。

保险公司、银行、比价平台、托管服务商和其他外部供应商的服务、模块和网站不在我们的管理范围内。外部系统中的漏洞，请直接向其所有者或供应商报告。

2 报告一个漏洞

请把您的报告发送至 info@finassverzekert.nl，主题写为 安全报告.

最好写明：

• 该报告所涉及的 URL、域名、IP 地址或系统；
• 对该漏洞及其可能影响的清楚说明；
• 我们据以复现该发现的步骤；
• 可能的屏幕截图或有限的技术证据；
• 您的联系方式，以便我们进一步询问。

如果不是绝对必要，请不要随附个人数据、客户数据、口令或完整的数据文件。如果报告内容非常敏感，请先与我们联系，约定一种合适的安全交换方式。

3 我们对您的要求

请审慎行事，并仅在证明该漏洞所必需的范围内进行操作。

• 不得利用该漏洞。
• 查看、复制、修改或删除的数据，不得超过取证所严格必需的范围。
• 一旦您已充分证明该漏洞存在，请立即停止研究。
• 不得植入恶意软件，不得获取对系统的持续访问权限。
• 不得使用社会工程、钓鱼、物理攻击或针对员工的攻击。
• 不得实施拒绝服务攻击，不得使用会给系统造成过度负载的自动化扫描。
• 不得作出影响系统可用性、完整性或运行的改动。
• 在我们有足够时间调查并解决问题之前，不得与第三方分享该漏洞，也不得公开披露。

4 您可以对我们期待什么

我们力求在五个工作日内确认收到您的报告。

我们会评估该报告，并在可能的情况下于十个工作日内把初步结论和预计后续步骤告知您。

所需的修复时间取决于漏洞的性质、严重程度和复杂性，以及对供应商的可能依赖。我们会在合理可能的范围内让您了解进展。

只要您本着善意行事并遵守本政策，我们原则上不会因您所进行的研究而对您采取法律行动。该承诺在故意滥用、造成损害、敲诈、未经协调公开披露或其他违法行为的情况下不适用。

5 公开披露

任何公开披露请事先与我们协调。作为原则，我们请您在漏洞尚未修复之前不要公开细节，并且在我们发出收讫确认后的 90 天内一律不要公开，除非我们另以书面约定其他期限。

当解决方案依赖外部供应商，或者公开披露会给客户或系统带来具体风险时，我们可以请您推迟公开。

6 奖励与致谢

Finass Advies B.V. 没有公开的奖励计划或漏洞赏金计划。因此，提交报告不会自动产生获得金钱报酬或其他奖励的权利。

对于审慎报告的、有价值的漏洞，我们可以在征得您同意后署上您的名字以示致谢。

7 一般问题请勿使用此渠道

本报告渠道仅用于技术性安全漏洞。关于保险、出险、隐私、账单、垃圾邮件或一般服务的问题，请发送至 info@finassverzekert.nl。

您怀疑发生了涉及个人数据的泄露吗？请同样紧急地通过 info@finassverzekert.nl 或电话 072 - 509 24 56 报告，以便我们赶上法定的报告期限。

8 变更

当我们的系统、流程或法定义务发生变化时，我们可以对本政策作出调整。本页顶部的日期表明本政策最近一次更新的时间。