Beveiligingsmaatregelen
Hosting
De website en het klantenportaal worden gehost in Frankrijk, in de datacenters van OVH SAS, société par actions simplifiée.
Afscherming tussen klanten
Het platform is een gedeelde SaaS: elke klantorganisatie heeft een eigen tenant, afgeschermd van de andere, op een gedeelde infrastructuur. De gegevens van een oefening — het beschreven informatiesysteem, de genoemde leveranciers, de veronderstelde kwetsbaarheden — zijn van nature gevoelig: de afscherming tussen tenants is een architectuurprincipe, geen configuratieoptie.
Concreet hoort elk gegeven — scenario, oefening, account, rapport — bij één organisatie, en elk verzoek wordt aan serverzijde gefilterd op de organisatie van het aangemelde account: een gebruiker kan de gegevens van een andere organisatie lezen noch wijzigen. Binnen een organisatie zien deelnemers het scenario, de komende injects en het beoordelingsraster niet.
Provisioning en betaling
De website die u leest heeft geen toegang tot de database of tot de betaaldienstverlener: het is een statische site, zonder sessie. Instanties worden aangemaakt en geschorst door een aparte dienst die nooit rechtstreeks vanaf het web bereikbaar is; betalingsgebeurtenissen worden gelogd en daarna idempotent verwerkt, zodat een netwerkincident bij de betaaldienstverlener geen dubbele instantie kan aanmaken.
Authenticatie
Wachtwoorden tellen minstens 12 tekens en worden alleen gehasht bewaard; herhaalde pogingen op een account worden vertraagd. De tweede authenticatiefactor (TOTP, eenmalige code) is verplicht voor het beheer van het platform, en elke klantorganisatie kan hem opleggen aan haar beheerders. Deelnemers kunnen inloggen via de single sign-on (OpenID Connect) van hun organisatie. Sessies kunnen op elk moment worden ingetrokken.
Versleuteling
Het verkeer van en naar het platform is versleuteld met minimaal TLS 1.2, bij voorkeur TLS 1.3, ook tussen de applicatie en haar database. Back-ups van de database zijn versleuteld (AES-256). Gevoelige geheimen in de database — de tweede authenticatiefactor, de SSO-configuratie van klanten — zijn versleuteld (AES-256-GCM); wachtwoorden worden alleen gehasht bewaard.
Logging en bewijs
Een oefening levert een tijdlijn met tijdstempels van de beslissingen, die als bewijs dient in het evaluatierapport. Die tijdlijn kan na het afsluiten van de sessie niet meer worden gewijzigd en is exporteerbaar. Ze staat los van het technische auditlogboek van het platform (aanmeldingen, wijzigingen van rechten, beheeracties), dat elke organisatie via syslog naar haar eigen SIEM kan doorsturen.
Een kwetsbaarheid melden
Mail naar contact@vordurcyber.com met als onderwerp „[Beveiliging]”: het betrokken adres of de functie, de stappen om het te reproduceren en de mogelijke impact. Nog geen PGP-versleuteling: beschrijf persoonsgegevens van derden in plaats van ze mee te sturen. Zie ook security.txt.
Bereik. Het Crisis Room-platform en deze website. Uitgesloten: denial of service en belastingstests, social engineering, fysieke toegang, diensten van derden (hosting, e-mail, identiteitsproviders van klanten), bevindingen zonder aangetoonde impact (ontbrekende header, versiebanner, ruwe scanneruitvoer).
Testregels. Test met uw eigen account (testaccount op aanvraag). Raadpleeg gegevens van een andere klant alleen voor zover strikt nodig voor het bewijs en stop zodra u persoonsgegevens of oefeningsgegevens bereikt. Wijzig of verwijder niets wat niet van u is, behoud geen toegang, respecteer de snelheidslimieten en houd de bevinding vertrouwelijk tot ze is verholpen.
Onze toezeggingen. Ontvangstbevestiging binnen 3 werkdagen, eerste beoordeling (ontvankelijkheid, ernst volgens CVSS) binnen 10 werkdagen. Beoogde oplossing binnen 30 dagen voor een kritieke of hoge kwetsbaarheid, 90 dagen voor de overige. Publicatie in overleg met u, anders 90 dagen na de melding; betrokken klanten worden vooraf geïnformeerd. Publieke vermelding als u dat wenst; voorlopig geen financiële beloning.
Onderzoek te goeder trouw. Wij ondernemen geen juridische stappen tegen onderzoek dat deze regels volgt; mocht een derde dat doen, dan maken wij bekend dat het onderzoek was toegestaan.