Laatst gewijzigd op: 11 september 2026
Introductie
Daikin Europe N.V. (“DENV”) is een volle dochteronderneming van de Japanse vennootschap Daikin Industries Ltd.. De Daikin Groep produceert, verkoopt, verdeelt en voert marketingactiviteiten uit voor airconditioning, verwarmings-, luchtreinigings- en koudetechniek en –oplossingen in samenwerking met zijn dochterondernemingen.
Daikin Europe N.V. streeft er samen met haar dochterondernemingen (hierna de “Daikin Europe Group” genoemd) naar om de veiligheid en integriteit van haar producten, systemen, diensten en toepassingen (hierna de “Activa” genoemd) te waarborgen, om onder andere de bescherming van gegevens, inclusief persoonsgegevens, en de privacy van eindgebruikers te beschermen en om een negatieve impact op de netwerkfunctionaliteit of het misbruik van netwerkbronnen te voorkomen.
Doel van dit beleid
Het doel van dit beleid is:
- het aanmoedigen van verantwoorde openbaarmaking van alle mogelijke kwetsbaarheden die zijn ontdekt in de Activa van Daikin Europe Group, en
- het vastleggen van een proces voor het melden van beveiligingskwetsbaarheden aan Daikin Europe Group en het snel, doeltreffend en in overeenstemming met de toepasselijke wetgeving aanpakken van dergelijke kwetsbaarheden.
Doelgroep
Personen die in aanmerking komen om kwetsbaarheden te melden zijn onder andere beveiligingsonderzoekers, eindgebruikers, onafhankelijke experts, partners uit de industrie en leden van het algemene publiek (hierna de “Melder”). Daikin Europe Group raadt u aan om dit beleid voor het openbaar maken van kwetsbaarheden volledig te lezen voordat u een kwetsbaarheid meldt en om er altijd naar te handelen.
Daikin Europe Group waardeert de bijdragen van alle belanghebbenden om Daikin Europe Group te helpen de veiligheid van Activa te verzekeren. Daikin Europe Group biedt echter geen geldelijke beloning voor het onthullen van kwetsbaarheden.
Bereik
Dit beleid voor het melden en openbaar maken van kwetsbaarheden is van toepassing op alle Activa die, indien gecompromitteerd, de Daikin Europe Group mogelijk schade zouden kunnen berokkenen of impact kunnen hebben op zijn activiteiten. Dit omvat, maar is niet beperkt tot, alle producten die worden vervaardigd en/of geleverd door Daikin Europe Group, evenals digitale activa, toepassingen van derden en IT-infrastructuur die worden gebruikt binnen de bedrijfsomgeving van Daikin Europe Group.
Melding
Als u een kwetsbaarheid in de beveiliging ontdekt, kunt u deze melden aan Daikin Europe Group via e-mail. We adviseren om onze openbare PGP-sleutel te gebruiken om de vertrouwelijkheid en authenticiteit van de communicatie over kwetsbaarheidsmeldingen te beschermen. Het gebruik van PGP is echter niet verplicht en meldingen die op een minder veilige manier worden ingediend, worden ook geaccepteerd:
Geef bij het melden van een kwetsbaarheid de volgende informatie:
- Modelna(a)m(en) of identificator(en) van de betrokken Activa en/of informatie die identificatie van de betrokken Activa mogelijk maakt;
- Beschrijving van de kwetsbaarheid, inclusief hoe deze kan worden geïdentificeerd of gereproduceerd;
- Potentiële impact van de kwetsbaarheid;
- Proof-of-concept code (indien beschikbaar) of ander bewijsmateriaal dat stappen aantoont om de kwetsbaarheid te reproduceren;
- de contactgegevens van de Melder (het verstrekken van persoonsgegevens is niet vereist).
Bevestiging van ontvangst
Na ontvangst van een kwetsbaarheidsmelding zal het Vulnerability Response Team van Daikin Europe Group de melder binnen 7 kalenderdagen een ontvangstbevestiging sturen.
De bevestiging bevat een volgnummer of identificatiecode voor referentiedoeleinden. Als er meer informatie nodig is om de gemelde kwetsbaarheid te onderzoeken, deelt het Vulnerability Response Team dit mee aan de Melder.
Onderzoek
Het Vulnerability Response Team van Daikin Europe Group zal onderzoek doen binnen de organisatie om ervoor te zorgen dat de geldigheid, de ernst en het bereik van elke gemelde kwetsbaarheid naar behoren worden beoordeeld.
Daikin Europe Group erkent het belang van transparantie en samenwerking bij het effectief beheren van gemelde beveiligingskwetsbaarheden. Daarom houdt het Vulnerability Response Team de Melder gedurende het onderzoeksproces op de hoogte van de voortgang, met een frequentie die in verhouding staat tot het risico en de complexiteit van de kwetsbaarheidsmelding, inclusief belangrijke bevindingen of verdere ontwikkelingen.
Herstel
Als Daikin Europe Group het nodig acht om een kwetsbaarheid aan te pakken en op te lossen door een patch, configuratiewijziging of andere herstelmaatregel (een “fix” of “fixes”) toe te passen om het risico te elimineren of te beperken, zullen Daikin Europe Group en/of zijn externe leveranciers de fixes voorbereiden. Fixes zullen worden ontworpen om de geïdentificeerde kwetsbaarheid te verhelpen zonder de functionaliteit of bruikbaarheid van de aangetaste Activa in gevaar te brengen.
Zodra fixes zijn ontwikkeld en getest op effectiviteit, worden ze verspreid via reguliere kanalen, zoals over-the-air updates, firmware updates, softwarepatches, afhankelijk van de aard van de kwetsbaarheid. Indien nodig zullen de handelspartners van Daikin Europe Group, met inbegrip van wederverkopers en installateurs, op de hoogte worden gebracht van de vereiste acties van hun kant, zoals helpen bij de distributie van patches naar eindgebruikers of begeleiding bieden bij het toepassen van patches. Voor elke fix kan een embargoperiode worden afgesproken.
Nadat de gemelde kwetsbaarheden zijn verholpen, zal Daikin Europe Group de herstelmaatregel monitoren en post-mortem analyses uitvoeren om de doeltreffendheid van de ontwikkelings-, onderhouds- en reactieprocessen te evalueren en gebieden voor verbetering te identificeren. De lessen die uit elke poging tot herstel van kwetsbaarheden worden geleerd, worden gedocumenteerd en opgenomen in toekomstige reactieprocedures om het proces van afhandeling van gemelde kwetsbaarheden te verbeteren.
De betrokken partijen zullen op de hoogte worden gebracht van de implementatie van fixes en eventuele extra stappen die worden genomen om de kwetsbaarheid te verhelpen.
Vertrouwelijkheid en openbaarmaking van gemelde kwetsbaarheden
Daikin Europe Group zet zich in voor een verantwoorde bekendmaking van beveiligingskwetsbaarheden aan betrokken partijen. Zodra een kwetsbaarheid volledig is onderzocht, zal Daikin Europe Group een geschikt openbaarmakingsplan opstellen, zoals de communicatie over de beschikbaarheid van oplossingen en instructies over hoe ze toe te passen. Het Vulnerability Response Team zal de Melder hiervan op de hoogte stellen. De Daikin Europe Group publiceert security advisories en vermeldt daarin, indien afgesproken, de melder. Het doel is om ervoor te zorgen dat de betrokken partijen op de hoogte zijn van ernstige beveiligingsrisico's en advies krijgen over hoe ze deze risico's kunnen beperken.
Product security advisories van de Daikin Europe Group
Daikin Europe Group erkent de inherente risico's die gepaard gaan met het vroegtijdig bekendmaken van kwetsbaarheden en benadrukt daarom aan de Melders dat een dergelijke bekendmaking, zolang de kwetsbaarheid onopgelost blijft, een aanzienlijke bedreiging vormt voor de veiligheid, in het bijzonder voor eindgebruikers van de betrokken Activa.
Voortijdige openbaarmaking kan mogelijk misbruik door kwaadwillende entiteiten vergemakkelijken. Daarom vraagt de Daikin Europe Group aan Melders van mogelijke kwetsbaarheden om strikte vertrouwelijkheid te bewaren en geen informatie over de vermoedelijke kwetsbaarheid bekend te maken aan derden, tenzij de Daikin Europe Group hiervoor uitdrukkelijk schriftelijk toestemming heeft gegeven of de toepasselijke wetgeving dit vereist.
Richtlijnen ethisch hacken
Wat een Melder NIET MAG doen:
- Illegale activiteiten: Vermijd elke handeling die in strijd is met de toepasselijke wet- en regelgeving.
- Buitensporige gegevenstoegang: Beperk de toegang tot gegevens tot wat nodig is voor het onderzoek.
- Wijziging gegevens: Verander geen gegevens in de systemen van de organisatie.
- Destructief testen: Vermijd het gebruik van tools die de systemen van de organisatie kunnen beschadigen of verstoren.
- Denial-of-service attacks: Tracht de services niet te overbelasten of uit te schakelen.
- Ontwrichtend gedrag: Onthoud u van acties die de activiteiten van de organisatie kunnen verstoren.
- Niet-uitbuitbare kwetsbaarheden: Meld geen kwetsbaarheden die niet uitgebuit kunnen worden of kleine configuratieproblemen zijn.
- Zwakke TLS-configuratie: Vermijd meldingen van kwetsbaarheden die te maken hebben met zwakke TLS-configuraties, tenzij ze een significant beveiligingsrisico vormen.
- Ongeautoriseerde communicatie: Maak kwetsbaarheden uitsluitend bekend aan het aangewezen beveiligingsteam of via de aangegeven kanalen.
- Social engineering of fysieke aanvallen: Tracht niet het personeel of de infrastructuur van de organisatie te misleiden of fysiek te beschadigen.
- Afpersing: Eis geen betaling voor het onthullen van kwetsbaarheden.
Wat een Melder MOET doen:
- Gegevensbescherming: Respecteer de privacy van de gebruikers en het personeel van Daikin Europe Group.
- Gegevensbeveiliging: Sla alle gegevens die tijdens het onderzoek zijn verkregen veilig op.
- Tijdige gegevensverwijdering: Verwijder gegevens onmiddellijk, zodra ze niet langer nodig zijn. In uitzonderlijke omstandigheden, waarbij onmiddellijke verwijdering technisch onmogelijk is of wettelijk beperkt (bv. vanwege back-ups, wettelijke bewaarplicht), moeten de gegevens binnen een maand nadat de kwetsbaarheid is verholpen, worden verwijderd. Dit tijdsbestek van een maand vertegenwoordigt de absolute maximale bewaarperiode en er moet alles aan worden gedaan om gegevens zo snel mogelijk te verwijderen.
Kennisgeving
Dit Beleid voor het melden en openbaar maken van kwetsbaarheden wordt regelmatig herzien en kan indien nodig worden bijgewerkt of gewijzigd om veranderingen in technologie, toepasselijke wetten of beste praktijken weer te geven.