Meld een kwetsbaarheid - ons beleid voor verantwoord melden
Meld een kwetsbaarheid — ons beleid voor verantwoord melden
Waarom dit beleid?
Zoals elk ziekenhuis werken wij met veel digitale systemen: een patiëntenportaal, een website, apps, netwerken. Geen enkel systeem is perfect. Als iemand — een onderzoeker, een ethische hacker, of gewoon iemand die toevallig iets opmerkt — een zwakke plek ontdekt, willen we dat zo snel mogelijk weten, op een veilige en duidelijke manier.
Dit beleid legt uit hoe je een kwetsbaarheid bij ons kan melden, wat we van jou verwachten, en wat je van ons mag verwachten.
Toepassingsgebied
Dit beleid geldt voor onze publieke website, patiëntenportaal, online formulieren, apps en de netwerkdiensten die van buitenaf bereikbaar zijn. Concreet gaat het minstens om:
• https://jobs.sintandriestielt.be
• https://kinderafdeling.sintandriestielt.be/nl/
• patiëntenportaal
Het geldt niet voor:
• systemen van externe leveranciers of partners (tenzij zij hier zelf mee instemmen);
• medische toestellen en zorgkritische systemen (bv. beeldvorming, monitoring, infuuspompen) — meld een vermoeden hierover meteen, maar test hier zelf niet actief op, want dit kan de zorg voor patiënten in gevaar brengen;
• phishing, social engineering of pogingen om fysiek binnen te geraken;
• (D)DoS-aanvallen, ook niet als test.
• Spamming
• de installatie van een toestel dat het mogelijk maakt om niet voor het publiek toegankelijke communicatie of elektronische communicatie te onderscheppen, op te slaan of er kennis van te nemen.
• het met opzet onderscheppen, opslaan of kennisnemen van niet voor het publiek toegankelijke communicatie of van elektronische communicatie.
• het met opzet gebruiken, bijhouden, meedelen of verspreiden van de inhoud van niet voor het publiek toegankelijke communicatie of van gegevens van een informaticasysteem waarvan de deelnemer redelijkerwijze had moeten weten dat ze onwettig werden verkregen.
Wat vragen we van jou?
Ga zorgvuldig te werk en doe niet meer dan nodig om het probleem aan te tonen. Concreet:
• verstoor onze dienstverlening niet;
• kopieer, wijzig of verwijder geen gegevens — zeker geen patiëntgegevens;
• installeer geen malware en gebruik geen brute-force of gestolen wachtwoorden;
• deel de informatie die je vindt met niemand anders dan met ons, tenzij we samen anders afspreken;
• kom je toevallig persoonsgegevens tegen? Kijk er niet verder naar, bewaar ze niet, en laat het ons meteen weten. Kom je toevallig patiëntgegevens tegen, meld dit dan ook meteen aan onze functionaris gegevensbescherming (DPO) via informatieveiligheid@sintandriestielt.be.
• gebruik je automatische scantools, hou dan rekening met onze systemen: max. 10 requests per seconde, zodat de dienstverlening niet in het gedrang komt.
Melden onder pseudoniem mag, zolang we je kunnen bereiken voor bijkomende vragen. Twijfel je of iets mag? Neem eerst contact met ons op via onderstaand adres, vóór je verder gaat.
Wat mag je van ons verwachten?
Handel je te goeder trouw en volgens dit beleid, en heb je geen andere inbreuken begaan, dan ondernemen wij geen juridische stappen tegen jou. We bevestigen je melding snel, houden je op de hoogte van de voortgang, en werken aan een oplossing. Pas nadat het probleem is opgelost, overleggen we samen of en hoe we het naar buiten brengen.
Indien de kwetsbaarheid ook andere organisaties in België kan treffen, kunnen de deelnemer of het ziekenhuis dit niettemin melden aan het CCB.
Hoe meld je een kwetsbaarheid?
Mail naar verdacht@sintandriestielt.be . Beschrijf zo concreet mogelijk wat je gevonden hebt en hoe we het probleem kunnen reproduceren bij voorkeur in het Nederlands of Engels.
Kan het gevoelig liggen? Communiceer dan versleuteld.
Vertrouwelijkheid
Zonder voorafgaande en uitdrukkelijke toestemming van het Sint-Andriesziekenhuis mag de deelnemer in geen geval informatie die hij heeft verzameld in het kader van ons beleid delen met derden of verspreiden onder derden.
Het is evenmin toegestaan informatica-, communicatie- of persoonsgegevens mee te delen aan derden of te verspreiden onder derden.
Mogen we hierover naar buiten komen?
Pas nadat het probleem is opgelost, bekijken we samen of en hoe we dit publiek maken. Wil je zelf hierover publiceren? Verwittig ons dan minstens één maand op voorhand, zodat we kunnen reageren. Onze naam vermelden in jouw publicatie kan enkel met onze uitdrukkelijke toestemming.
Toepasselijk recht
Het Belgisch recht is van toepassing op geschillen in verband met de uitvoering van dit beleid.+
Duur
De regels van het beleid zijn toepasselijk vanaf 1 augustus 2026 tot ze eventueel worden gewijzigd of opgeheven door het Sint-Andriesziekenhuis.
Wij behouden ons het recht voor om de inhoud van dit beleid op elk gewenst moment te wijzigen, of om het beleid te beëindigen.
Een woord van dank
We voorzien geen financiële beloning, maar we waarderen elke melding die ons helpt om veiliger te worden. Op jouw vraag bevestigen we dit graag schriftelijk, en vermelden we je — als je dat wenst — in onze Hall of Fame op deze pagina.